Une boîte de sécu vend un « contrat de réponse à incident » — rentable de payer à l'année pour une équipe en astreinte ?

Ne faites pas l'impasse sur un détail crucial : épluchez votre police de cyber-assurance et les clauses relatives aux experts forensiques agréés. La majorité des assureurs refusent de rembourser la facture d'urgence d'une boîte de sécu qui ne figure pas sur leur liste officielle. Si ce prestataire n'est pas agréé par votre assurance, vos 12.000 dollars seront perdus et vous devrez quand même attendre les équipes désignées par l'assureur le jour J.

On a eu ce même dilemme l'an dernier et on avait refusé l'offre. Quand on s'est fait pirater, on a dû lancer un appel d'urgence. Un cabinet réputé de forensique nous a demandé 600 dollars de l'heure avec une avance obligatoire de 40 heures d'intervention ; la validation juridique du contrat a pris 18 heures. Ces 18 heures de données clients perdues nous ont coûté plus de 80.000 dollars. Aujourd'hui, on renouvelle notre contrat à 10.000 dollars les yeux fermés.

12.000 dollars pour une boîte de 35 personnes, ça commence à faire, surtout avec 8.000 dollars qui partent en fumée sans être utilisés. Si vous êtes sur une infrastructure cloud moderne avec des logs centralisés propres et des sauvegardes bien isolées, il est bien plus rentable d'investir ce budget dans votre ingénierie interne et le durcissement de vos accès que de bloquer ces fonds dehors.

Avant de signer le contrat, faites impérativement acter par écrit ces trois points : 1) Le délai d'intervention de 2 heures correspond-il simplement à une réponse téléphonique ou au délai réel de connexion des analystes forensiques à vos systèmes ? 2) Si aucun incident ne survient, les heures restantes peuvent-elles être converties en formation de sécurité pour les employés ou en audit de code ? 3) Si l'incident est porté devant la justice ou les autorités de protection des données, l'assistance pour les rapports légaux est-elle incluse dans ce tarif horaire ?

on en a pris un nous aussi ya deux ans mais en fait on gardait pas de logs corrects sur notre infra. les mecs sont venus mais vu qu'on avait pas de logs ils ont jamais pu trouver par où l'attaque est passée. avant de signer un contrat assurez-vous que vos systèmes gardent au moins 90 jours de logs d'accès sinon même si l'équipe est là ils pourront rien faire.

L'intérêt majeur de ce genre de contrat réside dans la phase de préparation. Une bonne équipe commence dès la signature par cartographier votre réseau, tester vos sources de logs et documenter avec quelles clés elle accédera à tel ou tel serveur en cas d'urgence. En pleine crise, personne ne doit perdre son temps à chercher des mots de passe. Si le prestataire ne réalise pas ce travail préparatoire en amont, le contrat n'a aucune valeur technique.

Retournez à la table des négociations et demandez l'option sans engagement d'heures au préalable. Certaines boîtes ne demandent pas de forfait annuel d'avance ; elles se contentent de préparer le pré-contrat et les accès, puis facturent entre 450 et 500 dollars de l'heure en cas d'incident. Au lieu d'immobiliser 12 mille dollars de trésorerie, ce modèle est une transition bien plus raisonnable pour votre structure.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

J'y pensais aussi. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Je le note au cas où.

Je vais résumer le sujet car plusieurs réponses différentes ont été données. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Je suis aussi curieux de savoir si d'autres font autrement.

La réponse ci-dessus va droit au but. Le temps que vous mettez à détecter un problème détermine directement son coût.

Si c'est une première, commencez petit, l'échelle viendra plus tard. Je suis aussi curieux de savoir si d'autres font autrement.

Je ne savais pas ça.

La discussion part dans tous les sens je recentre. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions. Bon courage.

Je vous conseille de ne pas vous presser. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Nous avons vécu presque la même chose l'année dernière. Avant de décider, regardez quelles données vous avez en main.

Je suis aussi curieux de savoir si d'autres font autrement.

Il y a aussi un aspect mesure à considérer. Le temps que vous mettez à détecter un problème détermine directement son coût.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Si j'ai bien compris, vous dites que : La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

À votre place, j'irais par cette voie.

Merci, c'était exactement la réponse que je cherchais.

Exact.