Chaque mission est chiffrée après un appel de cadrage de 15 minutes. Les audits sont forfaitaires : périmètre, durée et livrable sont fixés avant de démarrer, pas de régie ouverte. Le retainer est mensuel, sans engagement de durée. Les missions spécialisées (refonte IAM, Landing Zone, préparation d’audit) sont sur devis.

2 semaines pour un audit de posture cloud ou de supply chain, 3 semaines pour l’audit AI Act. Concrètement : semaine 1 = cartographie + entretiens + collecte, semaine 2 = analyse + plan d’action priorisé. Vous récupérez un document opérationnel, pas une slideware.

Quatre moments classiques : (1) un audit SOC2, ISO 27001, NIS2 ou DORA est annoncé pour les 6 prochains mois, (2) un client grand compte vous envoie un questionnaire sécurité que personne ne sait remplir, (3) une fonctionnalité IA part en production sur des données clients, (4) votre CSPM remonte 3 000 findings et l’équipe ne sait pas par où commencer. Si vous reconnaissez votre situation, c’est le bon moment.

Non. Distribuée fait de l’audit de configuration, de la revue d’architecture et de la sécurisation des pipelines, c’est-à-dire ce qui réduit la surface avant qu’un attaquant ou un pentesteur ne la trouve. Pour un test d’intrusion offensif, nous travaillons avec des partenaires qualifiés, et nous vous aidons à cadrer la mission puis à traiter les résultats.

En direct, exclusivement avec vos équipes techniques. Pas de sous-traitance, pas de cabinet partenaire. C’est ce qui permet de garder l’exigence et la rapidité.

Oui, via un rôle dédié en lecture seule (rôle IAM sur AWS, équivalent sur Azure/GCP), étendu uniquement si l’audit le nécessite. Tout est tracé dans vos logs d’audit, MFA obligatoire, accès révoqué le jour de la fin de mission. Aucune clé statique.

Celui qui correspond à votre taille et à votre maturité. En PME, le natif (Security Hub, GuardDuty, Inspector, Defender for Cloud) suffit souvent quand il est bien configuré. Wiz, Orca ou Prisma Cloud se justifient au-delà d’un certain volume ou en multi-cloud. Nous sommes indépendants, pas revendeurs : le livrable explique quoi choisir et pourquoi.

AWS est notre terrain historique, avec les certifications Professional et Security Specialty. Les sujets supply chain (GitHub Actions, containers, ArgoCD, Kubernetes) et CSPM sont indépendants du cloud, et nous intervenons sur Azure et GCP sur ces périmètres. Pour une revue d’architecture native Azure ou GCP en profondeur, nous le disons en cadrage.

Sous NDA pour la majorité. Lors d’un appel de cadrage, nous pouvons partager 2-3 références anonymisées correspondant à votre secteur et votre taille. Pour des références nominatives, c’est possible dans un second échange après signature du NDA.