Secteurs
Les secteurs que nous servons
L'architecture de sécurité ne se décide pas dans le vide : elle découle de ce que votre réglementation impose et de ce que votre exploitation ne peut pas se permettre de perdre.
L'essentiel
- Quatre verticales, parce que la contrainte dominante change radicalement d'un secteur à l'autre.
- En finance, la contrainte est la preuve d'audit. En industrie, c'est l'arrêt de ligne.
- Dans le public, c'est la souveraineté des données. En PME et OBNL, c'est le budget fermé.
- Le socle technique reste commun : ce qui change est l'ordre des priorités et la forme du livrable.
Pourquoi l'architecture change-t-elle selon votre secteur ?
Parce que deux forces différentes dictent les arbitrages : ce que la réglementation vous oblige à prouver, et ce que votre exploitation ne peut pas se permettre de perdre. Le socle technique est largement commun; l'ordre dans lequel on le déploie, et la forme sous laquelle on le documente, ne le sont pas du tout.
Une même mesure de segmentation se justifie de trois façons distinctes selon le contexte. Dans une institution financière, elle sert d'abord à produire la traçabilité des accès qu'un régulateur exigera. Dans une usine, elle sert à empêcher qu'un poste bureautique compromis atteigne un automate de production. Dans un organisme public, elle sert à cloisonner des services aux citoyens qui ne doivent pas tomber ensemble.
Le travail technique se ressemble. Le livrable, lui, n'a pas la même forme : un dossier d'audit dans le premier cas, un plan de bascule négocié avec la production dans le deuxième, un rapport opposable en commission dans le troisième.
- Ce que la réglementation impose. Elle détermine ce que vous devez pouvoir démontrer, et donc la documentation à produire dès la conception. La rattraper après coup coûte plusieurs fois son prix.
- Ce que la disponibilité impose. Elle détermine la méthode de déploiement : fenêtres de bascule, réversibilité, ordre des vagues. Une organisation qui ne peut pas s'arrêter ne se sécurise pas comme une organisation qui peut fermer un week-end.
Quelle est la contrainte dominante de chaque secteur ?
Une par verticale, et elle détermine l'ordre des priorités. La preuve d'audit en finance, la continuité de service aux citoyens dans le public, la continuité de production en industrie, la contrainte budgétaire en PME et OBNL.
| Secteur | Contrainte dominante | Ce qu'elle impose en priorité |
|---|---|---|
| Services financiers | La preuve opposable à un régulateur | Traçabilité des accès, contrôles documentés, dossier d'audit constitué dès la conception |
| Secteur public | La souveraineté et la continuité du service aux citoyens | Localisation et droit applicable des données, migrations hors heures de service, supervision centralisée |
| Industrie et manufacturier | L'arrêt de ligne | Segmentation des environnements OT, inventaire des actifs, méthodes sans interruption de production |
| PME et OBNL | Le budget fermé et l'absence d'équipe interne | Priorisation par risque réel, activation de ce qui est déjà payé, transfert de compétences |
Que couvrons-nous dans les services financiers ?
La segmentation d'un cœur de réseau existant, les architectures redondantes multi-sites et la production de contrôles documentés. La contrainte structurante n'est pas technique mais probatoire : ce qui n'est pas traçable n'existe pas aux yeux d'un régulateur.
Institutions financières, assureurs et courtiers partagent une exigence que les autres secteurs ne connaissent pas à ce degré : chaque décision d'architecture doit produire une preuve. Les référentiels applicables varient selon le régime de surveillance, mais l'attente de fond est constante. Voir services financiers.
Que couvrons-nous dans le secteur public ?
La modernisation des réseaux multi-sites sans interruption des services aux citoyens, la supervision centralisée, et les questions de souveraineté : où résident les données, et sous quel droit. C'est aussi la page de référence de nos dossiers d'appel d'offres.
Le secteur public ajoute une contrainte que le privé n'a pas : le processus d'approvisionnement lui-même. Un prestataire qui ne sait pas répondre dans les formes attendues n'accède pas au marché, quelle que soit sa compétence technique. Voir secteur public.
Que couvrons-nous dans l'industrie et chez les PME ?
En industrie, la convergence des environnements OT et IT, l'inventaire des actifs connectés et la couverture sans fil en environnement métallique. En PME et OBNL, la priorisation par risque réel sous une contrainte budgétaire fermée.
- Industrie et manufacturier. Le déclencheur est presque toujours concret : un arrêt de ligne, ou l'exigence de sécurité d'un donneur d'ordres. La difficulté propre au secteur est la présence d'équipements que l'on ne peut ni mettre à jour ni redémarrer. Voir industrie et manufacturier.
- PME et OBNL. Le premier obstacle n'est pas technique, c'est l'autocensure : la conviction d'être trop petit pour intéresser un attaquant ou un prestataire. Voir PME et OBNL.
Questions fréquentes
Oui, et c'est l'origine de notre pratique : nos méthodes viennent de mandats menés sur des cœurs de réseau bancaires et des réseaux d'organismes publics, où l'indisponibilité et le défaut de traçabilité ont des conséquences immédiates. Cela implique de travailler sous accord de confidentialité renforcé, de produire des livrables opposables à un auditeur, et d'accepter des fenêtres d'intervention contraintes. C'est aussi ce niveau d'exigence que nous appliquons ensuite aux PME, à leur échelle.
Probablement, et nous les fournissons sur demande dans un cadre confidentiel, à un stade avancé de discussion. Nous ne publions pas de noms parce que dans plusieurs de ces secteurs, divulguer l'existence d'un chantier de sécurité est en soi une information sensible. Lorsque le client concerné y consent et que votre contexte est comparable en secteur et en taille, nous organisons une mise en relation directe, ce qui est généralement plus utile qu'une liste de logos.
Non. Ces quatre verticales correspondent aux contextes où nous avons le plus de matière, pas à une liste d'exclusion. Le socle technique et la méthode sont les mêmes ailleurs, et la première question que nous posons reste identique : qu'est-ce qui vous arrêterait demain, et qui vous demande des comptes. Commerce de détail, services professionnels, santé privée, transport : la démarche commence de la même façon, par un relevé de l'existant.
Oui, c'est le cas dans la majorité de nos mandats en grande organisation. Notre rôle est alors l'architecture, l'arbitrage technique et la production des livrables auditables, tandis que vos équipes conservent l'exploitation. Nous documentons les décisions dans une forme utilisable par une personne qui n'a pas participé au projet, précisément pour que votre équipe reste autonome après notre départ.
Le périmètre varie, pas le tarif horaire. Un mandat en environnement réglementé demande plus de documentation et des fenêtres d'intervention plus contraintes, ce qui allonge la durée; un mandat en PME demande moins de formalisme. Aucun tarif unique n'est affichable dans un cas comme dans l'autre, parce que le périmètre dépend du nombre de sites, de l'existant et des obligations applicables. Le premier échange sert précisément à établir ces variables.
Sources
- Centre canadien pour la cybersécurité · orientations sectorielles et mesures de base recommandées
- Commission d'accès à l'information du Québec · obligations applicables quel que soit le secteur
- NIST Cybersecurity Framework (CSF) 2.0 · cadre d'évaluation transposable à tous les secteurs
- CIS Critical Security Controls · inventaire des actifs, premier contrôle dans tous les contextes
- ISO/IEC 27001, management de la sécurité de l'information · référentiel de système de gestion
Votre infrastructure est-elle prête pour la prochaine menace ?
Un diagnostic initial, sans engagement, pour évaluer votre posture de sécurité.