Sécurité informatique.

La sécurité informatique protège votre infrastructure numérique contre l'intrusion, la dégradation et le vol de données, sans bouleverser le quotidien des utilisateurs. Elle se construit sur trois temps : prévenir, en fermant les chemins d'entrée les plus courants ; détecter, en surveillant ce qui se passe réellement sur le réseau et les terminaux ; réagir, en disposant d'une procédure écrite et d'une équipe capable de l'appliquer.

Chez Blue, cela prend la forme d'un accès contrôlé au système, avec authentification forte, bastion et pare-feu, puis d'une supervision de l'infrastructure, avec des règles de détection et une remédiation automatisée des incidents.

Trois automatismes simples, à mettre en place avant tout outil. Supprimer les droits d'administration inutiles et travailler avec un compte à privilège bien identifié. Réaliser des sauvegardes régulières sur des stockages distincts, et vérifier qu'elles sont restaurables. Sensibiliser les collaborateurs aux attaques courantes, en leur donnant des réflexes sur les mots de passe et sur l'origine des courriels.

S'y ajoute un quatrième point, souvent oublié : formaliser une politique de sécurité écrite. Sans ce cadre, la sensibilisation reste un discours sans référence.

Les dangers évoluent vite, le système d'information se transforme en permanence et s'ouvre aux prestataires comme aux services en ligne, et les défenses traditionnelles deviennent partiellement inopérantes. Un arrêt d'activité de plusieurs jours après un rançongiciel touche la production, la facturation et la relation client en même temps.

La cybersécurité ne sera jamais suffisante au sens absolu du terme. Ce qui se joue est un changement d'approche : la traiter comme un sujet de direction, avec une anticipation, un budget et des responsabilités désignées, plutôt que comme une dépense technique.

En six étapes. Un audit de l'existant identifie les risques et fixe l'ordre des travaux. Les accès sont fermés en premier, avec authentification forte, bastion et pare-feu doté d'IPS et de WAF. Les terminaux reçoivent ensuite l'EDR et le XDR. Les sources de journaux sont raccordées au SIEM, puis les scénarios de remédiation sont écrits dans le SOAR. L'exploitation courante prend le relais, avec une couverture 24 h sur 24 et un responsable opérationnel de compte.

Chaque étape est chiffrée séparément, et vous pouvez vous arrêter après l'une d'elles.

Un antivirus ne détecte une menace qu'à partir d'une signature déjà répertoriée. Il est donc aveugle aux variantes et aux attaques nouvelles. L'EDR analyse les comportements sur le terminal, ce qui lui permet de repérer une attaque qu'il n'a jamais vue. Le XDR élargit ce regard au-delà du poste, aux messageries, aux applications cloud, au réseau et aux identités, et sait isoler une machine compromise.

Blue déploie SentinelOne et Cortex de Palo Alto. Le détail figure sur la page consacrée aux solutions EDR et XDR.

Le Security Operations Center est l'équipe qui supervise votre système d'information, détecte les incidents de sécurité et conduit leur remédiation. Il s'organise en trois niveaux d'analystes : le niveau 1 trie, le niveau 2 investigue, le niveau 3 chasse les menaces.

Le monter en interne suppose de recruter et de maintenir une astreinte permanente, ce que peu d'organisations peuvent immobiliser. C'est la raison pour laquelle le SOC de Blue est mutualisé, avec des consignes d'escalade écrites pour chaque client.

Le SIEM observe. Il centralise et corrèle les journaux de vos équipements et de vos applications, puis génère des alertes et des rapports sur le niveau de sécurité réel. Le SOAR agit. C'est un conteneur dans lequel nous écrivons des playbooks, des listes d'actions qui exécutent la remédiation de l'incident détecté.

Les deux fonctionnent en paire, et Blue utilise QRadar et QRadar SOAR d'IBM. Sans SIEM, le SOAR n'a rien à traiter ; sans SOAR, les alertes du SIEM attendent qu'un humain soit disponible.

Par les accès, puis par la sauvegarde. C'est là que le rapport entre l'effort consenti et le risque évité est le plus favorable. Authentification forte sur les comptes d'administration, bastion pour encadrer ces comptes, et sauvegarde externalisée testée pour pouvoir repartir.

Le SIEM et le SOAR viennent ensuite, quand il existe assez de sources de journaux pour que la corrélation produise autre chose que du bruit. Déployer un SIEM sur un système dont les accès ne sont pas maîtrisés revient à installer des caméras sans fermer la porte.

Les données restent dans nos deux datacenters, situés à Rennes et à Nantes, qui nous appartiennent et affichent un taux de disponibilité de 99,98 %. Ils sont certifiés ISO 27001 et HDS. Les équipes qui exploitent le service sont françaises, et aucun opérateur soumis à une législation extraterritoriale n'a accès à vos environnements.

Blue est engagé dans une démarche de qualification SecNumCloud auprès de l'ANSSI. Cette qualification est en cours et n'est pas acquise à ce jour, nous ne la présentons pas autrement. Les outils que nous exploitons, eux, sont édités par IBM, Palo Alto, SentinelOne et Wallix.