Cybersécurité, audit & pentest à Paris

1. Cadrage. Nous définissons ensemble le périmètre exact (applications, plages d'adresses, comptes fournis), les objectifs, les contraintes de production et les fenêtres d'intervention. Cette étape fixe aussi les règles d'engagement et l'autorisation formelle de test, indispensable juridiquement.

2. Exécution. Nous conduisons les tests selon le niveau d'information convenu, en combinant outillage et travail manuel. L'essentiel des vulnérabilités à fort impact — enchaînements logiques, contournements d'autorisation, élévations de privilèges — ne se détecte pas par un scanner automatisé.

3. Rapport priorisé. Chaque constat est décrit, reproduit pas à pas, évalué en impact métier et accompagné d'une recommandation de correction concrète. Le rapport comporte une synthèse destinée à la direction et un détail technique exploitable par vos équipes.

4. Restitution. Nous présentons les résultats à Paris, devant vos équipes techniques et vos décideurs. C'est le moment où le plan d'action est arbitré : ce qui doit être corrigé immédiatement, ce qui peut attendre, ce qui relève d'un chantier de fond.

5. Retest. Après vos corrections, nous rejouons les tests sur les vulnérabilités identifiées afin de vérifier qu'elles sont réellement fermées et qu'aucune régression n'a été introduite.

Selon le niveau d'information dont nous disposons au départ : en boîte noire, nous partons sans aucune information privilégiée, comme un attaquant externe ; en boîte grise, vous nous fournissez des comptes utilisateurs standard, ce qui permet de tester la solidité des cloisonnements entre profils ; en boîte blanche, nous disposons du code source et de la documentation, pour la couverture la plus complète.

Selon le périmètre : test d'intrusion externe sur votre exposition Internet (services publiés, VPN, messagerie) ; test interne simulant un attaquant déjà présent sur le réseau, par exemple après un phishing réussi ; test applicatif web ciblant vos applications métier, espaces clients et API ; test d'environnement cloud portant sur la configuration Azure ou Microsoft 365, les identités et les droits.

Le choix du type de test dépend de ce que vous voulez démontrer. Un test externe répond à « sommes-nous attaquables depuis Internet ? ». Un test interne répond à « que se passe-t-il si un poste est compromis ? ». Les deux questions n'ont pas la même réponse, et la seconde est trop souvent négligée.

Les missions sont conduites par Suat Izmir, fondateur d'IZMIR CLOUD, certifié OSCP (Offensive Security Certified Professional) et auteur de la vulnérabilité CVE-2026-39201, publiée au catalogue MITRE et donc vérifiable publiquement par n'importe qui.

Cette pratique se nourrit de recherche continue et de bug bounty : chercher des vulnérabilités réelles sur des systèmes en production maintient un niveau technique que la seule veille documentaire ne permet pas d'atteindre.

Concrètement, cela signifie que vous obtenez des constats démontrés plutôt que des alertes de scanner à trier vous-même.

Notre siège se situe en Normandie, à environ une heure de Paris Saint-Lazare. Nous sommes donc en mesure d'intervenir sur site en Île-de-France sous 48 heures pour un cadrage, une réunion technique ou une restitution, sans les délais d'agenda habituels des cabinets très sollicités.

Cette implantation a une seconde conséquence, directement financière : notre structure de coûts est normande, pas parisienne. À niveau d'expertise comparable, nos tarifs se situent en dessous de ceux pratiqués par les cabinets parisiens [À VALIDER : formulation prix exacte et positionnement tarifaire à confirmer par Suat].

Vous bénéficiez ainsi de la disponibilité d'un acteur de proximité et d'un budget contenu, sans renoncer à l'expertise offensive.

Un test d'intrusion est souvent demandé dans un cadre réglementaire ou contractuel : mise en conformité NIS2, exigences d'un donneur d'ordre, questionnaire sécurité d'un grand compte, ou préparation d'une certification.

Nos rapports sont conçus pour être transmissibles à un tiers : périmètre explicite, méthodologie décrite, constats horodatés et plan de remédiation. Ils constituent une preuve d'audit exploitable auprès de vos clients et de vos assureurs.

Nous distinguons toujours ce qui relève de la conformité de ce qui relève du risque réel. Les deux se recoupent largement, mais pas totalement, et il serait malhonnête de laisser croire qu'une case cochée équivaut à un système protégé.