Audit Sécurité Cloud : IAM, posture et vulnérabilités en 2 semaines

Le contexte

La plupart des PME que je croise ont déjà un outil qui leur dit qu’elles ont un problème : Security Hub qui remonte 2 800 findings, un CSPM d’essai qui affiche un score de 43 %, un questionnaire sécurité client resté sans réponse depuis trois semaines. Ce qui manque, ce n’est pas la détection. C’est quelqu’un pour dire ce qui compte vraiment, dans quel ordre, et comment le corriger sans arrêter la roadmap.

Le résultat typique : des access keys de 2021 encore actives, un rôle AdministratorAccess assumable depuis un compte de dev, des buckets chiffrés avec la clé par défaut, des logs qui existent mais que personne ne pourrait exploiter le jour d’un incident, et une équipe qui corrige les findings dans l’ordre du dashboard plutôt que dans l’ordre du risque.

Cet audit est un état des lieux sur 2 semaines, focus production. Le périmètre : qui peut faire quoi, sur quoi, avec quelles traces, et par où un attaquant passerait en premier.

Pour qui

• Une organisation cloud de 3 à 50 comptes ou souscriptions, avec de la production dedans
• Un audit SOC2, ISO 27001, NIS2 ou DORA annoncé dans les 6 à 12 mois
• Un client grand compte qui envoie un questionnaire sécurité ou exige une attestation
• Un CSPM (natif ou tiers) qui remonte des milliers de findings sans priorisation exploitable
• Une croissance rapide où chaque équipe a créé ses rôles, ses VPC et ses secrets à sa manière
• Un incident récent, ou un doute sérieux sur la capacité à en reconstruire un

Ce qui est livré

Semaine 1 — Cartographie et identités

• Inventaire des comptes, souscriptions, OU, principaux workloads et données sensibles
• Revue IAM complète : utilisateurs humains, rôles machines, access keys, cross-account, fédération, MFA, permissions effectives
• Analyse des chemins d’escalade de privilèges et des rayons d’explosion (quel rôle compromis donne accès à quoi)
• Revue des garde-fous organisationnels : SCPs, policies Azure, org policies GCP, comptes root et break-glass
• Collecte des findings CSPM existants et normalisation

Semaine 2 — Posture, vulnérabilités et plan d’action

• Architecture réseau : exposition publique, segmentation, flux inter-comptes, endpoints privés
• Protection des données : chiffrement, gestion des clés, sauvegardes, rétention, accès aux backups
• Logging et détection : CloudTrail ou équivalent, centralisation, intégrité, capacité réelle à investiguer
• Gestion des vulnérabilités : images, hôtes, dépendances, patching, priorisation par exploitabilité (KEV, EPSS, exposition réelle) plutôt que par score CVSS brut
• Recommandation CSPM : rester natif, ou passer sur un outil tiers, avec un chiffrage honnête
• Plan d’action 30/60/90 jours priorisé par exploitabilité et impact métier, avec effort estimé et dépendances

Ce qui n’est pas inclus

• L’implémentation des recommandations (relève du retainer ou d’une mission spécialisée)
• Le test d’intrusion offensif (nous cadrons la mission avec un partenaire qualifié si besoin)
• La revue du code applicatif ligne à ligne
• La sécurisation des pipelines CI/CD et des clusters Kubernetes en profondeur, objet de l’offre Supply Chain & CI/CD

Format et délais

Forfait fixé après un appel de cadrage de 15 minutes, 2 semaines entre kick-off et remise du livrable. Le périmètre, la durée et le livrable sont figés avant de démarrer.

L’accès se fait via un rôle dédié en lecture seule, tracé dans vos logs, révoqué le dernier jour. Aucune clé statique.

L’audit s’enchaîne naturellement avec un retainer sécurité pour piloter l’exécution du plan d’action si besoin.

Pourquoi Distribuée

6 certifications AWS dont 3 Professional/Specialty (Solutions Architect Pro, DevOps Pro, Security Specialty). DevSecOps senior, 10 ans de plateformes régulées. Indépendant des éditeurs de CSPM : le livrable dit quoi choisir et pourquoi, pas quoi acheter.