Jour et nuit, nous surveillons vos systèmes.

Ce que nous surveillons et testons, ce sont vos systèmes, pas les nôtres. Nos propres systèmes, nos routeurs, notre plateforme et nos produits sont testés et audités régulièrement en interne, dans un cadre distinct. Vous ne pouvez pas les tester, sauf s'il s'agit d'un test de vos prestataires exigé par votre régulateur, dans les conditions prévues par l'avenant DORA de votre contrat. Notre service de cybersécurité intervient sur votre infrastructure, vos services et vos applications, hébergés chez nous ou ailleurs, et uniquement à votre demande. En revanche, si votre auditeur ou votre régulateur exige un pentesteur qui n'intervienne à aucun autre titre sur vos systèmes, nous ne pouvons pas jouer ce rôle pour ceux que nous hébergeons ou surveillons.

Au choix. Nous pouvons surveiller vos systèmes depuis notre SOC 24/7, ou épauler votre équipe si vous avez un SOC interne : une permanence de nuit, de week-end et de jours fériés, des règles de détection qui vous appartiennent, du purple teaming, du threat hunting, des playbooks, un abonnement de réponse aux incidents, entre autres.

Un scan de vulnérabilités est automatisé : il recherche des failles connues sur les systèmes que vous lui indiquez, et ce n'est pas un test d'intrusion. Dans un test d'intrusion, nos propres pentesteurs tentent ce que tenterait un attaquant, dans le périmètre convenu, et montrent ce qui pourrait être atteint. Un exercice de red team ne se limite pas à une liste de systèmes : il poursuit un objectif unique de votre choix, comme le ferait un attaquant, dans les limites de votre contrat.

Un rapport écrit : les constats classés par gravité, avec pour chacun ce qu'un attaquant pourrait en faire et la correction recommandée. Un contre-test peut être inclus pour vérifier l'efficacité des corrections. Si votre contrat nous donne les accès, nous pouvons nous charger des corrections ; sinon, elles sont transmises aux contacts que vous avez désignés.

Dans les limites de votre contrat, et pas au-delà. Il précise ce que nous pouvons tester et jusqu'où nous pouvons aller, et il ne peut porter que sur des systèmes que vous êtes en droit de nous faire tester. Dans ce cadre, nous vérifions aussi si les vulnérabilités connues de vos systèmes sont exploitables.

Pour la préparation aux exigences NIS2, DORA, ISO 27001, ENS (le cadre national de sécurité espagnol) et RGPD, nous réalisons un état des lieux : où vous en êtes, ce qui manque et ce qu'il faut corriger en premier. C'est notre évaluation de votre niveau de préparation, et non une promesse de conformité ni une certification.

Il vous conseille et prépare vos dossiers sécurité, sans que vous ayez à recruter un RSSI à plein temps : une feuille de route et le dossier budgétaire qui l'accompagne, les politiques qui vous manquent, des analyses de risques, des rapports pour votre direction, la formation que NIS2 et DORA prévoient pour vos dirigeants, des formations de sensibilisation pour vos équipes, de l'aide pour répondre aux questionnaires sécurité de vos clients, un plan de réponse aux incidents et des exercices, la préparation des audits et la due diligence avant un rachat. Il prépare les arbitrages ; votre direction décide.

Le SOC fonctionne 24/7 : la nuit, les étapes sont les mêmes qu'en journée. Un analyste vérifie l'alerte, nous agissons sur les serveurs et les postes de travail que nous surveillons, dans les limites de votre contrat, et nous appelons le contact que vous avez désigné. Le délai de chacune de ces étapes est fixé dans votre contrat ; nous ne publions pas de délai de réponse.

Non. Nous surveillons et testons vos systèmes, qu'ils soient chez nous, chez un autre fournisseur ou sur vos propres serveurs.

Non. La supervision de nos services infogérés vérifie que vos systèmes tournent. La supervision de sécurité guette les attaques qui les visent, et c'est un service à part entière.

Vous. C'est à vous de décider si un incident doit être déclaré, et la déclaration vous revient. Notre rapport écrit sur ce qui s'est passé peut vous servir d'élément de preuve.

Notre équipe SecOps. Nos propres pentesteurs réalisent les tests, et seules des personnes basées dans l'UE voient vos logs.

Service par service. Le SOC fonctionne dans le cadre d'un contrat qui fixe ce que nous surveillons et jusqu'où nous agissons, et la réponse aux incidents en fait partie. Votre SOC interne peut s'appuyer sur un abonnement de réponse aux incidents, avec des délais de réponse fixés dans votre contrat. Chaque test a son propre périmètre, et un contre-test peut être inclus. La cartographie de la surface d'attaque se fait ponctuellement ou sur abonnement. Pour le renfort de votre SOC interne, le périmètre se définit prestation par prestation. Nous ne publions pas de prix.

Non, pas sous forme d'intervention d'urgence : nous ne prenons pas d'appels pour incident de la part d'organisations qui ne sont pas clientes. Notre réponse aux incidents couvre les systèmes que surveille notre SOC et les équipes que nous épaulons dans le cadre de notre abonnement de réponse aux incidents.

Un crédit d'heures, une semaine par mois ou un accompagnement récurrent, avec une astreinte 24/7 en option. Au quotidien, le RSSI travaille à distance, ou dans vos locaux si vous êtes à Madrid, Munich, Helsinki ou Amsterdam. Pour une évaluation sur site, nous nous déplaçons chez vous.

Par l'appel de diagnostic, qui est gratuit. Pendant 60 minutes, vous échangez avec un ingénieur plutôt qu'avec un commercial, puis vous recevez un diagnostic écrit sous une semaine. Cet échange n'est ni une évaluation de sécurité, ni un test, ni un scan, ni une prestation de réponse aux incidents. Déjà client ? Même appel, même formulaire.

Non. Aucun des deux n'impose que vos données ou vos logs restent dans l'UE. Tous deux vous imposent de maîtriser les risques liés à vos fournisseurs, y compris celui qui surveille vos systèmes.

Pour le SOC que nous gérons pour vous, seules des personnes basées dans l'UE les voient. Ils sont stockés dans nos datacenters, et la durée de conservation est fixée avec vous : en général 90 jours, plus courte ou plus longue selon ce qu'exige votre secteur. Quand nous intervenons sur votre propre plateforme, vos logs restent là où elle les conserve.

Pour les logs que nous conservons : DIVERSITY est une entreprise européenne sans maison mère, américaine ou autre, si bien qu'il n'y a au-dessus de nous aucune entité à qui signifier une injonction extra-européenne. La réponse tient à notre structure, et non à une règle interne.