Ce que je propose # Trois domaines, six services. Sécuriser les identités et les accès, éclairer les décisions de gouvernance et déployer l’IA en confiance. ## Identités & accès ### 1. Pentest Active Directory Repérer les chemins de compromission avant un attaquant. - Droits, délégations et GPO - Comptes privilégiés et comptes de service - Plan de remédiation priorisé [Voir le détail](#pentest-active-directory) ### 2. Diagnostic IAM & identités non humaines (NHI) Les bons accès, pour les bonnes personnes et les bons services, pendant la bonne durée. - Cycle de vie et revues d’accès - SSO, MFA et accès privilégiés - Comptes techniques, clés API et secrets [Voir le détail](#diagnostic-iam) ## Gouvernance & conformité ### 3. Analyse de risques EBIOS RM Relier vos enjeux métier aux scénarios de risque pour décider où agir. - Ateliers et scénarios de risque - Plan de traitement et arbitrages - Restitution aux métiers et à la direction [Voir le détail](#analyse-risques-ebios-rm) ### 4. Préparation d’audit ISO 27001, NIS2 et AI Act Transformer vos écarts en feuille de route et en preuves. - Analyse d’écarts multi-référentiels - SMSI, PSSI et dossier de preuves - Audit blanc et suivi des corrections [Voir le détail](#preparation-audit) ## Sécurité de l’IA ### 5. Sécurité des projets IA Sécuriser vos projets IA et agentiques dès l’architecture. - Architecture et flux de données - Risques de fuite et de détournement - Gouvernance des usages et mesure du gain [Voir le détail](#securite-projets-ia) ### 6. Pentest IA agentique Tester vos LLM et vos agents contre l’injection et le détournement. - Injection de prompt directe et indirecte - Abus d’outils et accès aux données - Garde-fous et tests de non-régression [Voir le détail](#pentest-ia-agentique) Identités & accès ## Pentest Active Directory : de l’attaque à la remédiation Tester les chemins de compromission avant qu’ils ne soient exploités, puis donner à vos équipes un plan de correction priorisé. - Reconnaissance & chemins d’attaque : analyse des droits, délégations, GPO et relations de confiance pour repérer les accès qui mènent aux comptes les plus sensibles. Gain → une vision claire des chemins d’attaque prioritaires. - Tests d’exploitation contrôlés : validation des scénarios retenus avec vos équipes, dans le périmètre autorisé et les créneaux d’intervention convenus. Gain → des constats étayés par des preuves et classés selon le risque. - Remédiation & durcissement : administration en tiers, séparation des accès administratifs, droits minimaux, sécurisation des comptes de service et suivi des corrections. Gain → un plan d’action qui distingue les corrections rapides des chantiers structurants. [Cadrer mon pentest AD](https://www.bexen.fr/contact/index.html?objet=pentest-ad)[Voir le périmètre de l’audit](https://www.bexen.fr/audit-active-directory/index.html) ### Pentest Active Directory Tests & remédiation Identités & accès ## Diagnostic IAM : identités humaines et non humaines (NHI) J’évalue la façon dont les accès sont attribués, contrôlés et retirés, pour vos collaborateurs comme pour vos applications et vos agents IA. - Annuaires & authentification : configuration d’Entra ID, SSO, MFA, accès conditionnels et comptes à privilèges. Gain → des points d’exposition identifiés et des priorités de sécurisation. - Identités non humaines (NHI) & secrets : inventaire des comptes de service, clés API et identités d’applications et d’agents, avec leurs propriétaires, le moindre privilège, la rotation et la révocation des secrets. Gain → des identités techniques connues, attribuées et maîtrisées. - Cycle de vie & gouvernance : arrivées, mobilités et départs, revues d’accès, rôles, responsabilités et traçabilité des habilitations. Gain → une gouvernance des accès documentée et vérifiable en audit. [Cadrer mon diagnostic IAM](https://www.bexen.fr/contact/index.html?objet=diagnostic-iam)[Voir le périmètre de l’audit](https://www.bexen.fr/perimetre-audit-iam/index.html) ### Sécurité des identités IAM & identités non humaines (NHI) Gouvernance & conformité ## Analyse de risques EBIOS RM : du métier au plan de traitement Je conduis les cinq ateliers de la méthode de l’ANSSI pour traduire les risques cyber en décisions de direction et en actions suivies. - Cadrage & socle de sécurité (atelier 1) : identification des valeurs métier, des biens supports, des événements redoutés et des écarts au socle de sécurité. Gain → un périmètre et des enjeux partagés avec la direction. - Sources de risque & scénarios (ateliers 2 à 4) : choix des sources de risque et de leurs objectifs, étude de l’écosystème, puis construction des scénarios stratégiques et opérationnels et estimation de leur vraisemblance. Gain → des scénarios qui relient la menace aux impacts sur vos activités. - Traitement du risque (atelier 5) : mesures priorisées, plan de traitement, décisions sur les risques résiduels et modalités de suivi avec les responsables concernés. Gain → une feuille de route pour arbitrer les moyens et suivre la réduction du risque. [Cadrer mon analyse de risques](https://www.bexen.fr/contact/index.html?objet=analyse-risques)[Découvrir la démarche EBIOS RM](https://www.bexen.fr/analyse-risque-ebios-rm/index.html) ### Analyse EBIOS RM Méthode ANSSI · Gouvernance Gouvernance & conformité ## Préparation d’audit : ISO 27001, NIS2 et AI Act Je prépare vos équipes, vos documents et vos preuves pour anticiper les écarts avant un audit de certification ou de conformité, selon les exigences applicables à votre périmètre. - Analyse d’écarts multi-référentiels : maturité du SMSI et des mesures ISO 27001, exigences NIS2, y compris la maîtrise des fournisseurs, et obligations AI Act selon vos usages et votre rôle. Gain → une feuille de route commune qui rapproche les exigences et les actions prioritaires. - Documentation & preuves : structuration du SMSI, de la PSSI, de la déclaration d’applicabilité et des analyses de risques, ainsi que l’inventaire et la documentation des usages IA. Gain → un dossier de preuves organisé, avec des responsabilités et une traçabilité claires. - Audit blanc & accompagnement : entretiens de préparation, revue des preuves, identification des écarts et suivi des corrections avec vos équipes. Gain → des points à corriger identifiés avant l’audit et un plan d’action suivi. [Préparer mon audit de conformité](https://www.bexen.fr/contact/index.html?objet=audit-conformite)[Voir les méthodes et les livrables](https://www.bexen.fr/methodes-livrables-cybersecurite/index.html) ### Préparation d’audit ISO 27001 · NIS2 · AI Act Sécurité de l’IA ## Security by Design pour l’IA Revue d’architecture, analyse de risques et mesures concrètes pour vos projets IA et agentiques, dans la continuité de mes missions en cybersécurité. - Revue d’architecture : examen des flux de données, des composants IA, des outils connectés et des accès, pour intégrer la sécurité en amont. Gain → des choix d’architecture documentés avant le déploiement. - Analyse de risques : identification des scénarios de fuite de données, de détournement des instructions et d’actions non maîtrisées, en lien avec vos enjeux métier. Gain → des risques priorisés et des décisions partagées avec les équipes projet. - Mesures & gouvernance des usages : droits minimaux, protection des données et des secrets, validation humaine des actions sensibles, journalisation, règles d’usage et indicateurs de gain. Gain → des exigences applicables par vos équipes et un usage de l’IA dont la valeur est mesurée. [Cadrer ma revue d’architecture IA](https://www.bexen.fr/contact/index.html?objet=architecture-ia)[Découvrir l’accompagnement IA](https://www.bexen.fr/gouvernance-ia-ai-act/index.html) ### Sécurité des projets IA Architecture & maîtrise des risques Sécurité de l’IA ## Pentest IA agentique : de l’injection à la remédiation Je teste vos LLM et vos agents IA pour révéler les détournements d’instructions, d’outils et de données, puis prioriser les corrections avec vos équipes. - Cartographie & surface d’attaque : revue des instructions système, du RAG, de la mémoire, des outils, des connexions MCP et des privilèges, pour définir les scénarios à tester. Gain → une vision des accès et des actions sensibles de vos agents. - Exploitation contrôlée : tests d’injection directe et indirecte, de détournement d’objectif, d’abus d’outils et d’accès aux données, dans un environnement et un périmètre autorisés. Gain → des constats reproductibles, avec preuves et priorités de correction. - Remédiation & durcissement : moindre privilège, isolation des outils, validation humaine des actions sensibles, contrôles à l’exécution et tests de non-régression. Gain → des garde-fous vérifiés et un suivi de la réduction des risques. [Cadrer mon pentest IA](https://www.bexen.fr/contact/index.html?objet=pentest-ia)[Voir les scénarios testés](https://www.bexen.fr/scenarios-pentest-ia-agentique/index.html) ### Pentest IA agentique Red team & remédiation