Cybersécurité et tests d'intrusion pour les entreprises
En cybersécurité, nous testons vos défenses avant qu'un pirate ne s'en charge, puis nous vous aidons à les renforcer. Vous profitez d'un regard d'attaquant. Avec des explications claires, et un plan d'action concret.
Ce que nous faisons
- 01
Tests d'intrusion
Des attaques simulées sur vos sites, vos applications et vos accès exposés sur internet. Le but est de trouver les failles réellement exploitables.
- 02
Audit de sécurité
Nous passons en revue vos configurations et vos mots de passe, vos sauvegardes, vos pratiques. Vous obtenez des priorités claires.
- 03
Renforcement
Correction des vulnérabilités, systèmes mis à jour, comptes et échanges sécurisés.
- 04
Sensibilisation
Des séances concrètes où vos équipes apprennent à repérer l'hameçonnage, et les arnaques les plus courantes.
Nos solutions en détail
Test d'intrusion (pentest)
Comment se passe un test d'intrusion encadré, ce qu'il révèle sur votre site ou votre application, et ce qui fait varier son coût.
EN SAVOIR PLUSAudit et analyse de risques
Ce que recouvrent un audit de sécurité et une analyse de risques informatiques, ce que vous recevez, et comment passer ensuite aux actes.
EN SAVOIR PLUSDurcissement et remédiation
Corriger les failles, sécuriser comptes, serveurs et sites, puis vérifier. Le déroulement d'une mission de durcissement et de remédiation.
EN SAVOIR PLUS
Une cybersécurité encadrée, avec autorisation écrite et règles d'engagement
En France, entrer sans autorisation dans un système informatique, ou s'y maintenir, est une infraction pénale. Même avec de bonnes intentions. Nous n'intervenons donc que sur des systèmes pour lesquels leur responsable nous a donné une autorisation écrite et préalable, et toujours dans le cadre de la loi.
Avant chaque mission, nous rédigeons avec vous les règles d'engagement. Ce document fixe ce que nous avons le droit de faire, sur quels systèmes, à quel moment et de quelle manière. Il précise au minimum les points ci-dessous.
- 01
Le périmètre
Les adresses, sites, applications ou équipements visés. Et, noir sur blanc, ce qui est exclu.
- 02
Le signataire
Une personne habilitée à autoriser les tests au nom de votre organisation. Si un tiers est concerné, votre hébergeur ou l'éditeur d'un logiciel en ligne par exemple, son accord est obtenu quand il le faut.
- 03
Le calendrier
Les dates et les plages horaires des tests, choisies pour gêner le moins possible votre activité.
- 04
Les contacts d'urgence
Qui appeler, de chaque côté, si un test met au jour une faille critique ou si un système réagit de façon inattendue.
- 05
La confidentialité
Comment les informations recueillies sont protégées pendant la mission, combien de temps elles sont gardées, puis comment elles sont supprimées à la fin.
Les menaces informatiques les plus fréquentes pour une PME
Les attaques qui visent les petites structures sont rarement spectaculaires. La plupart exploitent des faiblesses très ordinaires, qu'on retrouve d'une entreprise à l'autre.
- 01
L'hameçonnage
Un faux courriel ou un faux SMS se fait passer pour un fournisseur, une banque ou une administration. Le but est d'obtenir un mot de passe, ou de vous faire cliquer sur un lien piégé.
- 02
La fraude au virement
Un message semble venir du dirigeant ou d'un fournisseur habituel. Il réclame un paiement urgent, ou annonce un changement de coordonnées bancaires.
- 03
Le rançongiciel
Un programme malveillant chiffre vos fichiers, autrement dit les rend illisibles, puis réclame une rançon pour les rendre. Avec des sauvegardes isolées et testées, les dégâts restent beaucoup plus limités.
- 04
Les comptes compromis
Un mot de passe trop simple ou déjà utilisé ailleurs, pas de double authentification, et la messagerie ou l'espace d'administration est ouvert.
- 05
Les logiciels non mis à jour
Un site, une extension ou un équipement réseau oublié depuis des années porte souvent des failles connues, décrites publiquement.
Audit, test d'intrusion ou durcissement, par où commencer ?
Les trois prestations se complètent. Elles ne répondent pourtant pas à la même question, et le bon point de départ dépend de ce que vous savez déjà de votre situation.
- 01
Vous ne savez pas où vous en êtes
Commencez par un audit de sécurité avec une analyse de risques. Nous faisons le tour de vos outils et de vos accès, nous regardons comment vous travaillez, puis nous classons les risques par priorité.
- 02
Vous exploitez un site, une boutique ou une application
Un test d'intrusion vérifie sur pièce si un attaquant pourrait contourner vos protections. Pour voler des données, par exemple, ou prendre la main sur un compte.
- 03
Vous avez déjà une liste de failles
Passez directement au durcissement et à la remédiation. Nous corrigeons et configurons, puis nous vérifions que chaque correction tient.
Une méthode appuyée sur des référentiels reconnus, OWASP et ANSSI
Nous ne travaillons pas au feeling. Nos contrôles reposent sur des référentiels publics que tous les professionnels du secteur connaissent, si bien qu'un autre prestataire peut comparer nos constats et les vérifier.
Nous ne revendiquons aucune qualification ni certification officielle. Si votre statut ou vos obligations réglementaires exigent un prestataire qualifié par l'ANSSI, nous vous le disons dès le premier échange.
- 01
OWASP
Une fondation internationale à but non lucratif. Elle publie des ressources de référence sur la sécurité des applications web, notamment une liste des risques les plus courants et un guide de test très détaillé.
- 02
Les guides de l'ANSSI
L'Agence nationale de la sécurité des systèmes d'information publie des recommandations concrètes, dont son guide d'hygiène informatique. Nos audits de configuration et nos plans de durcissement partent de là.
- 03
Le RGPD
Dès que vous traitez des données personnelles, le règlement européen vous impose des mesures de sécurité adaptées. Nos recommandations vous aident à les documenter.
Un interlocuteur unique en Haute-Corse, des résultats que vous comprenez
KALLISTACK est un studio basé à Bastia, fondé par Alexandre Sciacca, ingénieur full-stack depuis plus de dix ans. Quand on a soi-même construit et maintenu des sites, des applications et des serveurs, on sait où les failles apparaissent. On sait aussi les corriger sans casser ce qui marche.
Nous travaillons avec des PME, des startups et des organismes publics, en Corse et au-delà. Les tests sur des services exposés à internet se font à distance, alors que les audits peuvent avoir lieu dans vos locaux quand c'est utile. Du cadrage à la vérification finale, vous parlez à la même personne. Réponse sous 48 h, devis clair avant tout engagement.
Chaque mission suit le même chemin. Nous commençons par comprendre votre activité et ses contraintes, puis nous concevons le plan de test ou d'audit et le réalisons en vérifiant chaque résultat, avant de vous accompagner dans les corrections.
À qui s'adresse ce service
Des PME, des commerces, des cabinets ou des collectivités qui manipulent des données sensibles, ou qui dépendent de leurs outils numériques. Inutile d'avoir un service informatique. Nous traduisons les risques en actions que tout le monde comprend.
Comment nous travaillons
- T-3
Comprendre
On parle de vos objectifs et de votre budget. Vous recevez un devis lisible.
- T-2
Concevoir
Nous dessinons la solution et les maquettes, que vous validez avant tout développement.
- T-1
Construire
Nous développons et testons. Vous suivez l'avancement à chaque étape.
- T-0
Lancer et suivre
Mise en ligne. Ensuite on héberge, on corrige, on fait évoluer.
Technologies et méthodes
- Tests d'intrusion
- OWASP
- Audit de configuration
- Durcissement des systèmes
- Sensibilisation
Questions fréquentes
Qu'est-ce qu'un test d'intrusion ?
Une attaque simulée, réalisée avec votre accord et dans un cadre défini. Elle sert à découvrir les failles de vos systèmes avant que des personnes malveillantes ne les exploitent.
Une petite entreprise est-elle vraiment ciblée ?
Oui. Les attaques automatisées visent toutes les entreprises, quelle que soit leur taille, et les plus petites sont souvent les moins protégées.
Que me remettez-vous à la fin d'un audit ?
Un rapport lisible. Il classe les failles par niveau de risque, explique ce qu'elles pourraient entraîner et détaille les corrections à apporter. Si vous le souhaitez, nous vous accompagnons ensuite.
Est-il légal de faire tester la sécurité de son propre site ?
Oui, si la personne qui autorise les tests en a le pouvoir, et si les tiers concernés sont prévenus quand il le faut. Un site hébergé ou géré par un prestataire peut dépendre de ses conditions, qui imposent parfois de l'informer, voire d'obtenir son accord. Nous vérifions ce point avec vous avant de commencer.
Notre activité sera-t-elle interrompue pendant la mission ?
Tout est fait pour l'éviter. Les tests ont lieu sur des créneaux convenus, et les essais les plus sensibles peuvent passer par un environnement de test. Chaque partie désigne aussi un contact d'urgence, capable de réagir tout de suite si un système se comporte de façon inattendue.
Travaillez-vous uniquement en Corse ?
Non. Nous sommes à Bastia, mais nous travaillons aussi avec des clients sur le continent et ailleurs. Une bonne partie du travail se fait à distance, avec des points réguliers en visioconférence.