Une sécurité que votre direction peut assumer
Avec NIS2, la cybersécurité est devenue une responsabilité de la direction. Nous vous aidons à décider quoi protéger d'abord, à mettre en place les bons contrôles et à conserver la preuve datée qu'ils fonctionnent.
La cybersécurité se décide désormais au conseil
Depuis l'entrée en vigueur de la loi belge NIS2 en octobre 2024, l'organe de direction doit approuver les mesures de sécurité, en superviser la mise en œuvre et se former. Les entités financières répondent aussi à DORA, et les rançongiciels cherchent toujours le maillon le plus faible.
Une responsabilité au sommet
Les dirigeants peuvent être tenus responsables si les obligations ne sont pas respectées. Il leur faut une vision sur laquelle agir, pas un rapport technique illisible.
Des délais qui n'attendent pas
Un incident significatif doit être signalé au CCB dans les 24 heures. Qui décide et qui notifie se règle à l'avance, pas dans la nuit de l'incident.
Un risque qui arrive par les fournisseurs
Prestataires, logiciels et comptes partagés font partie de votre surface d'attaque, et NIS2 attend que vous les gériez comme tels.
Ce que nous faisons
Analyse de risque et sensibilisation
Nous identifions ce qui est critique pour votre activité, hiérarchisons les menaces et formons vos équipes à reconnaître le phishing et les tentatives de fraude qui les visent.
Sécurité des applications
Authentification, droits d'accès, gestion des secrets, intégrations avec les fournisseurs : les bonnes pratiques intégrées à vos applications dès la conception.
Accompagnement réglementaire
NIS2, CyberFundamentals, DORA, préparation à l'ISO 27001 : nous traduisons les textes en plan priorisé, en mesures concrètes et en preuves documentées.
Vérification
Nous testons que les protections tiennent réellement, y compris que ce qui doit être refusé l'est bien, et nous consignons chaque résultat avec sa date.
Expertise et technologies
- Entra ID, OAuth/JWT et rôles applicatifs
- Passerelles API zéro confiance
- Secrets dans Azure Key Vault
- Gestion automatisée des certificats
- Contrôles de la chaîne d'approvisionnement en CI/CD
- Préparation ISO 27001
- NIS2 et CyberFundamentals
- Tests négatifs des contrôles d'accès
Notre façon de travailler
- 01
Sécurisé par défaut
Tout est protégé par défaut. Chaque exception est déclarée, justifiée et a un responsable nommé.
- 02
Tôt dans le projet
Les contrôles de sécurité ont lieu avant la mise en test, quand une correction coûte une discussion plutôt qu'une refonte.
- 03
Prouvé et daté
Un contrôle ne compte qu'une fois vérifié. Nous documentons la preuve, pour que vous puissiez la montrer plutôt que l'affirmer.
Ce qui change pour votre direction
Une vision claire pour le conseil
Des risques classés en termes métier et des décisions consignées : la direction peut montrer qu'elle a approuvé et supervisé les mesures.
Des preuves prêtes avant qu'on les demande
Politiques, contrôles et résultats de tests classés et datés, prêts pour un auditeur, un organisme d'évaluation, un régulateur ou le questionnaire d'un client.
Une équipe qui sait quoi faire
Rôles, escalade et étapes de notification convenus à l'avance : un incident grave se traite avec méthode, sans improvisation.
Appelez-nous quand
- Vous ne savez pas si NIS2 vous concerne, ni dans quelle catégorie
- Votre conseil attend une réponse claire sur le risque cyber
- Une évaluation de conformité ou un audit ISO 27001 approche
- Un client important vous envoie un questionnaire de sécurité
- Vous avez besoin d'un CISO, mais pas à temps plein
Deux façons de travailler ensemble
Un expert sécurité dans votre équipe
Un profil qui renforce votre équipe sécurité ou sécurise vos projets, jusqu'à un CISO à temps partiel (CISO-as-a-Service) qui rend compte à la direction et pilote le programme.
Une mission de sécurité cadrée
Une analyse d'écart par rapport à NIS2, aux CyberFundamentals ou à l'ISO 27001, un plan d'action priorisé et sa mise en œuvre, sur un périmètre convenu et avec des livrables clairs.
Les questions qu'on nous pose
NIS2 s'applique-t-elle à mon organisation ?
Cela dépend de votre secteur et de votre taille. Nous examinons les critères avec vous et documentons le raisonnement. Même hors champ, vos clients concernés peuvent vous transmettre des exigences de sécurité en tant que fournisseur.
Keystone peut-elle nous certifier ?
Non, et c'est voulu. Les évaluations de conformité et les certifications sont réalisées par des organismes habilités à cet effet. Notre rôle est de vous y préparer : mesures en place, preuves en ordre, écarts comblés avant l'arrivée de l'évaluateur.
Que fait concrètement un CISO à temps partiel ?
Il fixe les priorités de sécurité avec la direction, pilote le plan d'action, rend compte au conseil, tient les fournisseurs à leurs engagements et sert de point de contact en cas de crise. Le temps consacré est convenu avec vous et ajusté selon vos besoins.
Nous sommes une entité financière. Couvrez-vous DORA ?
Oui. DORA s'applique depuis janvier 2025, avec ses propres exigences sur le risque informatique, la notification des incidents, les tests de résilience et les prestataires tiers de services TIC. Nous les relions à vos mesures existantes, pour mener un seul programme plutôt que deux.
Que montreriez-vous à votre conseil demain ?
Faisons le point ensemble sur ce qui est protégé, ce qui est prouvé, et ce qui ne l'est pas encore.
