1. Pentest Active Directory
Repérer les chemins de compromission avant un attaquant.
- Droits, délégations et GPO
- Comptes privilégiés et comptes de service
- Plan de remédiation priorisé
Ce que je propose
Trois domaines, six services.
Sécuriser les identités et les accès, éclairer les décisions de gouvernance et déployer l’IA en confiance.
Identités & accès
2. Diagnostic IAM & identités non humaines (NHI)
Les bons accès, pour les bonnes personnes et les bons services, pendant la bonne durée.
- Cycle de vie et revues d’accès
- SSO, MFA et accès privilégiés
- Comptes techniques, clés API et secrets
Gouvernance & conformité
3. Analyse de risques EBIOS RM
Relier vos enjeux métier aux scénarios de risque pour décider où agir.
- Ateliers et scénarios de risque
- Plan de traitement et arbitrages
- Restitution aux métiers et à la direction
4. Préparation d’audit ISO 27001, NIS2 et AI Act
Transformer vos écarts en feuille de route et en preuves.
- Analyse d’écarts multi-référentiels
- SMSI, PSSI et dossier de preuves
- Audit blanc et suivi des corrections
Sécurité de l’IA
5. Sécurité des projets IA
Sécuriser vos projets IA et agentiques dès l’architecture.
- Architecture et flux de données
- Risques de fuite et de détournement
- Gouvernance des usages et mesure du gain
6. Pentest IA agentique
Tester vos LLM et vos agents contre l’injection et le détournement.
- Injection de prompt directe et indirecte
- Abus d’outils et accès aux données
- Garde-fous et tests de non-régression
Identités & accès
Pentest Active Directory : de l’attaque à la remédiation
Tester les chemins de compromission avant qu’ils ne soient exploités, puis donner à vos équipes un plan de correction priorisé.
- Reconnaissance & chemins d’attaque : analyse des droits, délégations, GPO et relations de confiance pour repérer les accès qui mènent aux comptes les plus sensibles.
Gain → une vision claire des chemins d’attaque prioritaires. - Tests d’exploitation contrôlés : validation des scénarios retenus avec vos équipes, dans le périmètre autorisé et les créneaux d’intervention convenus.
Gain → des constats étayés par des preuves et classés selon le risque. - Remédiation & durcissement : administration en tiers, séparation des accès administratifs, droits minimaux, sécurisation des comptes de service et suivi des corrections.
Gain → un plan d’action qui distingue les corrections rapides des chantiers structurants.
Identités & accès
Diagnostic IAM : identités humaines et non humaines (NHI)
J’évalue la façon dont les accès sont attribués, contrôlés et retirés, pour vos collaborateurs comme pour vos applications et vos agents IA.
- Annuaires & authentification : configuration d’Entra ID, SSO, MFA, accès conditionnels et comptes à privilèges.
Gain → des points d’exposition identifiés et des priorités de sécurisation. - Identités non humaines (NHI) & secrets : inventaire des comptes de service, clés API et identités d’applications et d’agents, avec leurs propriétaires, le moindre privilège, la rotation et la révocation des secrets.
Gain → des identités techniques connues, attribuées et maîtrisées. - Cycle de vie & gouvernance : arrivées, mobilités et départs, revues d’accès, rôles, responsabilités et traçabilité des habilitations.
Gain → une gouvernance des accès documentée et vérifiable en audit.
Gouvernance & conformité
Analyse de risques EBIOS RM : du métier au plan de traitement
Je conduis les cinq ateliers de la méthode de l’ANSSI pour traduire les risques cyber en décisions de direction et en actions suivies.
- Cadrage & socle de sécurité (atelier 1) : identification des valeurs métier, des biens supports, des événements redoutés et des écarts au socle de sécurité.
Gain → un périmètre et des enjeux partagés avec la direction. - Sources de risque & scénarios (ateliers 2 à 4) : choix des sources de risque et de leurs objectifs, étude de l’écosystème, puis construction des scénarios stratégiques et opérationnels et estimation de leur vraisemblance.
Gain → des scénarios qui relient la menace aux impacts sur vos activités. - Traitement du risque (atelier 5) : mesures priorisées, plan de traitement, décisions sur les risques résiduels et modalités de suivi avec les responsables concernés.
Gain → une feuille de route pour arbitrer les moyens et suivre la réduction du risque.
Gouvernance & conformité
Préparation d’audit : ISO 27001, NIS2 et AI Act
Je prépare vos équipes, vos documents et vos preuves pour anticiper les écarts avant un audit de certification ou de conformité, selon les exigences applicables à votre périmètre.
- Analyse d’écarts multi-référentiels : maturité du SMSI et des mesures ISO 27001, exigences NIS2, y compris la maîtrise des fournisseurs, et obligations AI Act selon vos usages et votre rôle.
Gain → une feuille de route commune qui rapproche les exigences et les actions prioritaires. - Documentation & preuves : structuration du SMSI, de la PSSI, de la déclaration d’applicabilité et des analyses de risques, ainsi que l’inventaire et la documentation des usages IA.
Gain → un dossier de preuves organisé, avec des responsabilités et une traçabilité claires. - Audit blanc & accompagnement : entretiens de préparation, revue des preuves, identification des écarts et suivi des corrections avec vos équipes.
Gain → des points à corriger identifiés avant l’audit et un plan d’action suivi.
Sécurité de l’IA
Security by Design pour l’IA
Revue d’architecture, analyse de risques et mesures concrètes pour vos projets IA et agentiques, dans la continuité de mes missions en cybersécurité.
- Revue d’architecture : examen des flux de données, des composants IA, des outils connectés et des accès, pour intégrer la sécurité en amont.
Gain → des choix d’architecture documentés avant le déploiement. - Analyse de risques : identification des scénarios de fuite de données, de détournement des instructions et d’actions non maîtrisées, en lien avec vos enjeux métier.
Gain → des risques priorisés et des décisions partagées avec les équipes projet. - Mesures & gouvernance des usages : droits minimaux, protection des données et des secrets, validation humaine des actions sensibles, journalisation, règles d’usage et indicateurs de gain.
Gain → des exigences applicables par vos équipes et un usage de l’IA dont la valeur est mesurée.
Sécurité de l’IA
Pentest IA agentique : de l’injection à la remédiation
Je teste vos LLM et vos agents IA pour révéler les détournements d’instructions, d’outils et de données, puis prioriser les corrections avec vos équipes.
- Cartographie & surface d’attaque : revue des instructions système, du RAG, de la mémoire, des outils, des connexions MCP et des privilèges, pour définir les scénarios à tester.
Gain → une vision des accès et des actions sensibles de vos agents. - Exploitation contrôlée : tests d’injection directe et indirecte, de détournement d’objectif, d’abus d’outils et d’accès aux données, dans un environnement et un périmètre autorisés.
Gain → des constats reproductibles, avec preuves et priorités de correction. - Remédiation & durcissement : moindre privilège, isolation des outils, validation humaine des actions sensibles, contrôles à l’exécution et tests de non-régression.
Gain → des garde-fous vérifiés et un suivi de la réduction des risques.