On nous impose une « équipe de réponse aux incidents cyber » — une boîte de 15 personnes a vraiment besoin de ça ?

Les grandes entreprises corporate copient leurs standards internes et les posent devant le fournisseur. Parlez directement au service sécurité de la partie adverse. Ils savent aussi qu'on ne peut pas monter une équipe CSIRT interne dans une structure de 15 personnes. Si vous montrez un contrat de support externe et une matrice d'escalade interne, ils valident.

Un article similaire est arrivé devant notre équipe de 20 personnes à Dubaï aussi. On a pris un contrat d'intervention à la demande auprès d'une société de sécurité pour 12 000 AED par an. Ils se sont engagés sur un délai d'intervention de 4 heures. Le service audit du client a accepté ce document et on a signé le contrat.

edit : j'ai corrigé quelques fautes de frappe.

Ne rejetez pas tout de suite l'article du contrat mais ne signez pas non plus les yeux fermés. Proposez à la partie adverse un avenant précisant que la fonction d'Équipe de Réponse aux Incidents est assurée via un prestataire de sécurité externe agréé avec garantie SLA.

Ne vous fiez pas à ce que dit le chargé de clientèle quand il prétend que c'est non négociable eux ils sont juste des intermédiaires. Les clauses de sécurité se négocient directement avec le CISO ou l'équipe risque du client. Si le niveau de données auquel votre boîte accède n'est pas critique, vous pouvez même faire passer cette clause en exemption totale.

Je vous conseille de consulter votre conseiller juridique avant de signer le contrat. Si vous prenez cet engagement sans accord préalable avec un prestataire externe et qu'une éventuelle violation survient, de lourdes obligations indemnitaires peuvent découler d'un manquement contractuel.

quand c'est tombé sur nous on a mis deux devs de garde en interne mais l'auditeur a pas voulu. franchement prendre un retainer annuel en externe c'est le plus clean, t'auras pas de soucis.

À quelles données du client allez-vous accéder ? Vos systèmes seront-ils directement intégrés à leurs serveurs ou produirez-vous seulement de l'analyse dans un espace isolé ? Votre niveau d'accès sera votre meilleur atout pour faire assouplir les conditions.

paniquez pas du tout, ce genre de clauses fait toujours peur dans les appels d'offres corporate mais du coup le but c'est pas de vous couler, c'est de pouvoir trouver un interlocuteur responsable au bout du fil quand une crise éclate.

j'ai vécu exactement la même chose il y a deux ans puis les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Je vais essayer.

J'ai une objection à faire ici. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Avant de décider, regardez quelles données vous avez en main. Bien sûr, cela change si votre situation est différente.

Je ne savais pas ça.

merci beaucoup, je teste dès aujourd'hui. plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

avant de décider regardez qulles données vous avez en main... je suis aussi curieux de savoir si d'autres font autrement.

trois points à vérrifier lors de cette opération et si la double authentification est activée un mot de passe volé seul ne suffit pas.

c'est mon avis, je ne l'écris pas comme une vérité absolue.

Trois avis différents sont sortis, ils se complètent tous. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

À votre place, j'irais par cette voie.

Pourriez-vous préciser un peu ? Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Voilà, désolé si je me suis étendu.

J'ai travaillé longtemps sur ce sujet. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

À votre place, j'irais par cette voie.

Absolument. Si j'ajoute quelque chose : Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Corrigez-moi si je me trompe.