Ce qu'Internet publie déjà sur votre entreprise

La première question

Que sait-on déjà de mon entreprise ?

Votre nom de domaine, vos serveurs de messagerie, vos certificats, les sous-domaines que vous avez oubliés, les noms qui imitent le vôtre : tout cela est public. Un attaquant commence par là, et cela ne lui coûte rien.

Le diagnostic vous montre la même chose, avec ce qu'il faut corriger. Beaucoup de dirigeants découvrent à cette étape un service qu'ils croyaient fermé, ou un nom de domaine qui arrive à échéance.

Ce que ce diagnostic fait différemment

De qui dépendez-vous, et que se passe-t-il si l'un d'eux tombe ?

Sur une petite entreprise — site sur un serveur mutualisé, messagerie chez un grand fournisseur, comptabilité en ligne — un examen depuis l'extérieur mesure surtout la posture de vos prestataires, pas la vôtre. Beaucoup d'outils vous vendent le contraire.

Nous partons de là, parce que c'est ce qui rend la suite utile : la vraie question devient qui tient quoi, et que se passe-t-il si l'un d'eux s'arrête. Une partie de vos constats porteront donc sur vos prestataires — avec la phrase exacte à leur transmettre. C'est souvent la partie la plus rentable, et elle ne coûte qu'un courriel.

Le chiffre que personne ne vous donne

Combien un incident me coûterait-il, à moi ?

Pas « le coût moyen d'une cyberattaque », qui mélange des entreprises qui n'ont rien à voir avec la vôtre. Le diagnostic estime ce qu'un sinistre vous coûterait à vous, à partir de votre chiffre d'affaires et de votre marge, et l'exprime en jours d'activité — la seule unité dans laquelle un dirigeant lit un montant.

Chaque paramètre du calcul porte sa source, son niveau de preuve et sa réserve. Ceux dont la source est trop faible ne sont pas appliqués : ils sont inscrits comme lacunes, à la vue de tous. Vous pouvez contester ligne à ligne.

Ce qui vous est réellement opposable

Suis-je obligé à quelque chose ?

Vous entendez parler de NIS 2, de DORA, du RGPD. Dans la très grande majorité des cas, une TPE n'est pas assujettie à NIS 2 : la directive ne vise que les entreprises moyennes et au-delà, et encore faut-il relever d'un type d'activité qu'elle nomme. Le diagnostic vous le dit, avec l'article qui le fonde.

Vous dire que vous êtes concerné quand vous ne l'êtes pas vous ferait acheter une conformité que vous ne devez pas. Vous dire l'inverse vous laisserait exposé. Quand la réponse dépend d'une donnée que nous n'avons pas, nous l'écrivons et nous nommons ce qui trancherait.

La question qu'il faut poser

Pourquoi est-ce gratuit ?

Vos observations alimentent les modèles de quantification du risque cyber de CyQuant Management, qui servent à tarifer de l'assurance. Ce n'est pas une note de bas de page : c'est écrit en toutes lettres dans le mandat que vous signez, sans renvoi vers des conditions générales, et vous pouvez le refuser ou le retirer à tout moment, sans motif.

Un service gratuit qui ne dit pas ce qu'il gagne mérite qu'on s'en méfie. Nous préférons vous le dire avant que vous ne le demandiez.

Ce qui vous protège de nous

Un diagnostic se juge aussi à ce qu'il s'interdit

Ces refus ne sont pas des promesses commerciales : ils sont dans le code, verrouillés par des tests automatiques, et la méthode complète est publiée.

• Aucune note, aucun score Ni note sur 100, ni lettre de A à F. Un score additionne des choses qui ne s'additionnent pas : un chiffrement irréprochable ne restitue pas une donnée détruite.
• Rien vers vos serveurs sans preuve Aucune requête ne part vers vos machines tant que vous n'avez pas publié un enregistrement DNS prouvant que le domaine est à vous. Votre parole ne suffit pas — la nôtre non plus.
• Aucune intrusion Nous ne tentons jamais d'entrer, ni d'exploiter une faille, ni de contourner une authentification. Ce niveau n'existe pas dans l'outil et ne peut pas être débloqué.
• Aucun identifiant en clair Si vos adresses apparaissent dans une fuite, vous voyez un décompte et des empreintes chiffrées. Rien n'est conservé en clair. Votre adresse IP non plus.
• Vous pouvez tout arrêter Retrait du mandat en un bouton, sans motif. Et si vous ne voulez rien du tout, une page d'opposition rend votre domaine définitivement hors de portée, y compris de la première étape.

Concrètement

Ce que vous avez à faire

1. Votre nom de domaineCelui de votre site ou de vos adresses e-mail. Aucun compte, aucune adresse à laisser.
2. Un enregistrement DNSPour prouver que le domaine est à vous. Deux lignes à publier, ou à transmettre à votre prestataire.
3. Votre rapportImprimable, à tendre à votre prestataire, à votre expert-comptable ou à votre assureur.