Réalisations
Des infrastructures critiques, livrées
Banque, gouvernement, industrie, PME et OBNL : un aperçu anonymisé de nos interventions.
Nos interventions, par secteur
Banque
Segmentation Zero Trust d’un réseau bancaire national
Contexte. Un cœur de réseau plat héritait de vingt ans de croissance : un poste compromis pouvait atteindre les systèmes de paiement.
Intervention. Cartographie complète des flux, définition de zones de confiance, puis bascule par vagues réversibles avec fenêtres de retour arrière validées à chaque étape.
Résultats
- Isolation des systèmes de paiement
- Traçabilité complète des accès inter-zones
- Dossier d’audit livré au régulateur
0
interruption de service pendant la migration
Gouvernement
Migration WAN multi-sites d’un organisme public
Contexte. Liens hétérogènes, contrats opérateurs en fin de vie et aucune visibilité centralisée sur la disponibilité réelle des sites.
Intervention. Architecture WAN cible unique, migration site par site hors heures de service au public, supervision centralisée déployée en amont de la bascule.
Résultats
- Coûts de liens réduits
- Supervision unifiée sur tous les sites
- Aucune interruption des services aux citoyens
40+
sites migrés en 9 mois
Industrie
Wi-Fi haute densité et convergence OT/IT en usine
Contexte. Chariots connectés et terminaux de production perdaient leur lien dans les zones à forte structure métallique, générant des arrêts de ligne.
Intervention. Étude de couverture sur site, redimensionnement des points d’accès, puis segmentation des réseaux OT et inventaire complet des actifs connectés.
Résultats
- Arrêts de ligne liés au réseau éliminés
- Réseaux OT isolés de la bureautique
- Inventaire des actifs industriels à jour
99,9 %
de couverture sur l’ensemble du site
PME
Audit et mise en conformité Loi 25 d’un manufacturier québécois
Contexte. Aucune politique de sécurité formalisée, sauvegardes non testées et exigences de conformité découvertes lors d’un appel d’offres client.
Intervention. Diagnostic, activation des fonctions de sécurité déjà incluses dans leurs licences existantes, MFA généralisé, sauvegardes supervisées et registre de traitements.
Résultats
- Conformité Loi 25 documentée
- Reprise après sinistre testée
- Appel d’offres client remporté
4 mois
pour atteindre la conformité Loi 25
OBNL
Mise à niveau des standards technologiques
Contexte. Parc vieillissant, budget fermé issu d’une subvention et aucune ressource TI interne pour piloter la mise à niveau.
Intervention. Priorisation des remplacements par risque, choix d’équipements au coût total maîtrisé et transfert de compétences à un référent interne.
Résultats
- Postes et réseau renouvelés
- Référent interne autonome
- Budget subventionné respecté à 100 %
100 %
du budget subventionné respecté
Banque
Supervision intelligente AIOps sur infrastructure critique
Contexte. Des milliers d’alertes quotidiennes noyaient les signaux réels ; les incidents étaient détectés par les utilisateurs avant les équipes TI.
Intervention. Corrélation automatisée des événements, seuils dynamiques appris sur le comportement réel du réseau et tableaux de bord orientés service.
Résultats
- Bruit d’alertes fortement réduit
- Détection avant impact utilisateur
- Incidents en baisse de 35 % sur un an
-35 %
d’incidents en un an
Des interventions sur des environnements où l’arrêt coûte cher
Les projets ci-dessous sont anonymisés à la demande de nos clients, mais les périmètres, les contraintes et les résultats sont réels. Ils partagent un point commun : dans chacun, une interruption de service ou une fuite de données aurait eu un coût direct, réglementaire ou réputationnel majeur.
Nous documentons systématiquement l’état initial, les décisions d’architecture et les résultats mesurés. C’est ce qui permet à nos clients de justifier leurs investissements devant un comité de direction, un auditeur ou un régulateur.
L’essentiel
- Des mandats documentés en banque, secteur public, industrie, PME et OBNL.
- Anonymisés à la demande des clients, là où l’intervention est elle-même sensible.
- Chaque cas indique l’état initial, les décisions d’architecture et le résultat mesuré.
- Des références nommées sont fournies sur demande, dans un cadre confidentiel.
Vous devez choisir sans pouvoir vérifier, et nous en tenons compte
Toutes les firmes de sécurité affichent des réussites, aucune n’affiche ses échecs, et les chiffres se ressemblent d’un site à l’autre. Un dirigeant qui compare trois prestataires n’a donc rien à comparer, sinon des documents écrits par ceux qu’il doit évaluer.
Nous ne sortons pas de cette asymétrie par une affirmation supplémentaire. Ce que nous pouvons faire, c’est dire d’où viennent nos chiffres : ce sont nos propres mesures de mandat, comparées à un état initial relevé avant intervention, vérifiables auprès des clients concernés sous accord de confidentialité, et non publiées par un tiers indépendant.
Ce que vous avez à décider, avant de signer où que ce soit, est la preuve que vous exigez : un livrable anonymisé à lire avant engagement, un échange avec un client comparable, la méthode de mesure écrite noir sur blanc. Ne rien exiger revient à acheter sur la plaquette.
L’anonymisation est une demande de nos clients, pas une pudeur commerciale
Dans les secteurs bancaire et public, divulguer qu’une organisation a mené un chantier de sécurité constitue en soi une information exploitable. Les noms sont donc retirés; les périmètres, les contraintes et les résultats restent exacts.
La conséquence, que nous assumons, est qu’à ce stade vous devez nous croire sur parole. Nous la compensons de deux façons, et toutes deux se demandent explicitement : des références nommées dans un cadre confidentiel, et une mise en relation directe lorsque le client y consent et que votre contexte est comparable en secteur et en taille. Un dirigeant obtient de son homologue des réponses qu’aucun document ne donnera, notamment sur ce qui a été difficile.
Chaque cas se documente en trois volets, décidés avant les travaux
L’état initial constaté, les décisions d’architecture avec leurs compromis, puis les résultats mesurés sur des indicateurs définis avant le début des travaux. Cette structure permet à un client de justifier son investissement devant un conseil ou un auditeur.
- L’état initial. Relevé factuel de l’existant, y compris les actifs que l’organisation ignorait exposer. Sans cet état, aucun résultat n’est démontrable après coup.
- Les décisions d’architecture. Ce qui a été retenu, ce qui a été écarté, et pourquoi. Cette trace évite de rouvrir le débat dans deux ans sans mémoire des contraintes de l’époque.
- Les résultats mesurés. Comparés à l’état initial, sur des indicateurs définis à l’avance plutôt que choisis à la fin pour flatter le bilan.
Les contraintes propres à chaque verticale sont détaillées sur les pages sectorielles : services financiers, secteur public, industrie, PME et OBNL.
Ce que nous observons sur le terrain
l’architecture qui s’effondre après le départ du prestataire
Sur les mandats que nous reprenons après un échec, le schéma le plus discret est l’absence de documentation d’exploitation.
L’architecture fonctionne, le prestataire part, l’équipe change, et plus personne ne sait pourquoi une règle existe. Au premier incident, quelqu’un la supprime pour rétablir le service, et la posture s’effondre sans que cela se voie. C’est pourquoi nous traitons la documentation comme un livrable.
Sources
- NIST SP 800-207, Zero Trust Architecture · principes d’accès appliqués aux segmentations décrites
- CIS Critical Security Controls · inventaire des actifs et gestion de la configuration réseau
- Commission d’accès à l’information du Québec · obligations de conformité citées dans les cas PME
- Centre canadien pour la cybersécurité · orientations sur la segmentation réseau et la journalisation
Questions fréquentes
Pouvez-vous fournir des références clients ?
Oui, sur demande et dans un cadre confidentiel, à un stade avancé de discussion. Nous ne publions pas de noms parce que dans les secteurs bancaire et public, divulguer l’existence d’un chantier de sécurité est en soi une information sensible, et que nos clients nous demandent cette réserve.
Pouvez-vous nous mettre en relation avec un client comparable ?
Oui, lorsque le client concerné y consent et que votre contexte est comparable en secteur et en taille. C’est souvent plus utile qu’une liste de logos : un dirigeant obtient de son homologue des réponses sur le déroulement réel et sur ce qui a été difficile. Nous organisons ces échanges sans y assister lorsque c’est préférable.
Quelle est la taille type de vos projets ?
Elle varie largement, et c’est volontaire. À un extrême, un diagnostic ponctuel pour une organisation d’une quinzaine de personnes. À l’autre, une segmentation de cœur de réseau sur plusieurs mois. Le point commun n’est pas la taille mais la criticité : une interruption ou une fuite y aurait un coût direct, réglementaire ou réputationnel.
Les chiffres présentés sont-ils vérifiés par un tiers ?
Non, et nous le disons clairement. Ce sont nos propres mesures de mandat, comparées à un état initial relevé avant intervention, et vérifiables auprès des clients concernés sous accord de confidentialité. Nous ne les présentons pas comme des données indépendantes, et nous n’en extrapolons aucune promesse.
Intervenez-vous encore sur ces environnements aujourd’hui ?
Selon les mandats. Certains se sont conclus par un transfert complet de compétences aux équipes internes, avec documentation et formation, ce qui était l’objectif convenu. D’autres se poursuivent en supervision gérée ou en astreinte sur les composants critiques. Les deux issues sont des succès de notre point de vue.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.