Notre angle : la sécurité par l'exploitation
Nous ne sommes pas un cabinet d'audit. Notre valeur vient de ce que nous exploitons des infrastructures de production tous les jours, et que nous savons donc ce qui est réellement applicable sans casser le service. Un plan de durcissement que la production ne peut pas absorber ne sera jamais déployé — et laissera le client convaincu d'être protégé.
Nos travaux s'appuient sur les guides de l'ANSSI et sur les bonnes pratiques ISO/IEC 27001. FC Consulting n'est pas certifiée ISO 27001 à ce jour ; nous le disons plutôt que de laisser croire le contraire, et la démarche est envisageable dans le cadre d'un marché structurant.
Ce que nous prenons en charge
- Durcissement des socles Linux et Windows, revue des configurations, réduction de la surface d'exposition, gestion des comptes à privilèges.
- Gestion des vulnérabilités — inventaire, qualification, plan de correction priorisé par le risque réel, et suivi au fil de l'eau plutôt qu'une campagne annuelle.
- Journalisation et détection — centralisation des journaux, exploitation via Wazuh ou la solution en place, définition des cas d'usage de détection qui comptent pour votre métier.
- Sauvegarde et reprise — la dernière ligne de défense face à un rançongiciel : tests de restauration réels, isolation des sauvegardes, plan de reprise rejoué.
Accompagnement NIS 2
La directive NIS 2 élargit fortement le périmètre des entités concernées, et beaucoup de collectivités et d'établissements publics découvrent qu'ils y entrent. Notre rôle n'est pas juridique : nous traduisons les exigences en mesures techniques exploitables — gestion des accès, journalisation, gestion des incidents, continuité — et nous les mettons en œuvre dans le cadre de l'exploitation courante.
Aucun prestataire ne rend un système « conforme NIS 2 » par un projet ponctuel. La conformité se maintient dans la durée, par l'exploitation. C'est précisément pourquoi nous la traitons depuis l'infogérance plutôt que depuis le conseil.
Questions fréquentes
Êtes-vous certifiés ISO 27001 ?
Non, pas à ce jour. Nous sommes conformes au RGPD et nos pratiques s'alignent sur ISO/IEC 27001 et sur les guides de l'ANSSI. Plusieurs de nos intervenants détiennent des certifications individuelles, dont CISSP, ISO 27001 Lead Implementer et CompTIA Security+. Une démarche de certification de l'entreprise est envisageable dans le cadre d'un marché structurant.
Faites-vous des tests d'intrusion ?
Ce n'est pas notre cœur de métier. Nous réalisons des audits de configuration et du durcissement, et nous nous appuyons sur un partenaire spécialisé pour les tests d'intrusion, en le déclarant comme tel.
Comment traitez-vous les vulnérabilités critiques ?
Par un suivi continu plutôt que par campagnes : qualification du risque réel dans votre contexte, plan de correction priorisé, et application dans les fenêtres de changement convenues avec un retour arrière prévu.