Secteurs
Les secteurs que nous servons
Entre sécuriser et continuer à produire, quelqu’un doit arbitrer. Ce qui décide de l’ordre des priorités n’est pas un catalogue, c’est ce que vous ne pouvez pas perdre et ce que vous devez pouvoir prouver.
L’essentiel
- Quatre verticales, parce que la contrainte dominante change radicalement d’un secteur à l’autre.
- En finance, la contrainte est la preuve d’audit. En industrie, c’est l’arrêt de ligne.
- Dans le public, c’est la souveraineté des données. En PME et OBNL, c’est le budget fermé.
- Le socle technique reste commun : ce qui change est l’ordre des priorités et le livrable.
Votre contrainte dominante décide de l’ordre des travaux
Deux forces dictent les arbitrages d’un dirigeant : ce que la réglementation l’oblige à démontrer, et ce que son exploitation ne peut pas se permettre de perdre. Elles finissent toujours par s’opposer, au moment de la bascule, et il faut que quelqu’un ait tranché avant.
La réglementation détermine ce que vous devrez pouvoir prouver, donc la documentation à produire dès la conception : la rattraper après coup coûte plusieurs fois son prix. La disponibilité détermine la méthode : fenêtres de bascule, réversibilité, ordre des vagues.
La décision à prendre avant le début des travaux est donc simple à formuler et rarement prise : qui, chez vous, est mandaté pour choisir entre la sécurité et la continuité le jour où il faudra choisir. Sans cette réponse, l’arbitrage se fera dans l’urgence, par celui qui se trouvera là.
Quatre contraintes, quatre ordres de priorité
Le socle technique est largement commun d’un secteur à l’autre. L’ordre dans lequel on le déploie, et la forme sous laquelle on le documente, ne le sont pas du tout. Ce tableau résume ce qui change réellement.
| Secteur | Contrainte dominante | Ce qu’elle impose en priorité |
|---|---|---|
| Services financiers | La preuve opposable à un régulateur | Traçabilité des accès, contrôles documentés, dossier d’audit dès la conception |
| Secteur public | La souveraineté et la continuité du service aux citoyens | Localisation et droit applicable des données, migrations hors heures de service |
| Industrie et manufacturier | L’arrêt de ligne | Segmentation des environnements OT, inventaire des actifs, méthodes sans interruption |
| PME et OBNL | Le budget fermé et l’absence d’équipe interne | Priorisation par risque réel, activation de ce qui est déjà payé, transfert de compétences |
Le travail technique se ressemble, le livrable ne se ressemble pas
Une même mesure de segmentation se justifie de trois façons distinctes selon le contexte, et c’est le livrable qui en porte la trace. Confondre les deux conduit à produire un rapport technique là où il fallait un dossier opposable.
En institution financière, la segmentation sert d’abord à produire la traçabilité qu’un régulateur exigera. En usine, elle empêche qu’un poste bureautique compromis atteigne un automate de production. Dans un organisme public, elle cloisonne des services aux citoyens qui ne doivent pas tomber ensemble. Le résultat attendu change donc de forme : un dossier d’audit, un plan de bascule négocié avec la production, ou un rapport présentable en commission. Nous nous appuyons sur le NIST Cybersecurity Framework et les contrôles CIS pour que le fond reste comparable, et nous adaptons la forme à qui vous demande des comptes.
Ce que nous observons sur le terrain
ce qui sépare un mandat réussi d’un mandat gelé
Après une centaine de relevés dans ces quatre verticales, le facteur déterminant n’est pas le budget : c’est la clarté de la décision.
Les mandats qui échouent sont ceux où personne n’était mandaté pour arbitrer entre la sécurité et la continuité au moment où il a fallu choisir. Le chantier s’arrête à mi-parcours, dans un état hybride souvent moins sûr que l’état initial, parce que les anciennes règles ont été retirées avant que les nouvelles soient complètes.
Questions fréquentes
Intervenez-vous dans des secteurs très réglementés ?
Oui, et c’est l’origine de notre pratique : nos méthodes viennent de mandats menés sur des cœurs de réseau bancaires et des réseaux d’organismes publics, où l’indisponibilité et le défaut de traçabilité ont des conséquences immédiates. Cela implique un accord de confidentialité renforcé, des livrables opposables à un auditeur et des fenêtres d’intervention contraintes.
Avez-vous des références dans notre secteur ?
Probablement, et nous les fournissons sur demande dans un cadre confidentiel, à un stade avancé de discussion. Nous ne publions pas de noms parce que dans plusieurs de ces secteurs, divulguer l’existence d’un chantier de sécurité est en soi une information sensible. Lorsque le client y consent, nous organisons une mise en relation directe.
Nous n’appartenons à aucun de ces quatre secteurs. Est-ce un problème ?
Non. Ces quatre verticales correspondent aux contextes où nous avons le plus de matière, pas à une liste d’exclusion. Commerce de détail, services professionnels, santé privée, transport : la démarche commence de la même façon, par un relevé de l’existant, et la première question reste identique.
Pouvez-vous intervenir en cohabitation avec notre équipe interne ?
Oui, c’est le cas dans la majorité de nos mandats en grande organisation. Notre rôle est alors l’architecture, l’arbitrage technique et la production des livrables auditables, tandis que vos équipes conservent l’exploitation. Nous documentons les décisions dans une forme utilisable par une personne qui n’a pas participé au projet.
Vos interventions sectorielles coûtent-elles plus cher ?
Le périmètre varie, pas le tarif horaire. Un mandat en environnement réglementé demande plus de documentation et des fenêtres plus contraintes, ce qui allonge la durée; un mandat en PME demande moins de formalisme. Dans un cas comme dans l’autre, le prix se fixe sur le périmètre établi.
Dites-nous ce que vous ne pouvez pas perdre
Votre contrainte dominante détermine l’ordre des priorités. Un échange de 30 à 60 minutes suffit à l’établir, sans engagement, avec une synthèse écrite à la clé.
Sources
- Centre canadien pour la cybersécurité · orientations sectorielles et mesures de base recommandées
- Commission d’accès à l’information du Québec · obligations applicables quel que soit le secteur
- NIST Cybersecurity Framework (CSF) 2.0 · cadre d’évaluation transposable à tous les secteurs
- CIS Critical Security Controls · inventaire des actifs, premier contrôle dans tous les contextes
Pour aller plus loin
Industrie & manufacturier
Convergence OT et IT, segmentation industrielle, continuité de production.
PME & OBNL
Sécuriser sans équipe TI interne et avec un budget fermé.
Services financiers
Segmentation, traçabilité des accès et dossiers d’audit réglementaires.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.