Agence de conseil en cybersécurité de 4 personnes — nos offres et nos tarifs sont-ils mal calibrés ?

On s'est retrouvés dans la même impasse avec une équipe de 3 personnes. On a arrêté les missions ponctuelles pour signer des contrats récurrents de surveillance et d'audit à 2 000 livres par mois auprès d'entreprises locales en finance et logistique. Aujourd'hui, on a 12 clients, 24 000 livres de revenus fixes mensuels et on bosse sereinement sans stresser pour le mois suivant.

Il faut faire la transition progressivement : 1) Recontactez tous les anciens clients pour lesquels vous avez fait un pentest cette dernière année. 2) Proposez-leur un point de contrôle en expliquant : « Vous avez corrigé les failles trouvées, mais de nouveaux risques sont-ils apparus ces 6 derniers mois ? » 3) Concluez votre proposition avec un contrat de maintenance mensuel incluant 4 scans par an.

Attention avec le modèle par abonnement. Les PME n'aiment pas payer pour de la sécurité tous les mois, elles ne débloquent du budget que lorsqu'elles subissent une faille ou une obligation d'audit. Si vous ne proposez pas de documents de conformité qui font baisser leurs primes d'assurance ou les aident à rassurer leurs propres clients, vous aurez du mal à vendre du récurrent avec de simples rapports techniques.

Pour éviter le scope creep, blindez absolument vos contrats avec ces 3 clauses : 1) La liste des IP et noms de domaine inclus dans le périmètre est figée, tout nouvel actif fera l'objet d'une facturation supplémentaire. 2) Les tests de re-validation post-rapport sont limités à 1 seul tour. 3) Toute demande de révision non clôturée dans les 14 jours suivant la présentation du rapport est considérée comme validée.

le taux horaire c'est la mort du consulting. plus t'es rapide à résoudre le problème moins tu gagnes, c'est totalement contre-productif. du coup faites des forfaits au périmètre fixe avec contrat mensuel et vous aurez l'esprit tranquille.

edit : j'ai écrit une erreur ci-dessus, désolé.

Sur le marché britannique, les réglementations de la chaîne d'approvisionnement et les normes d'audit d'entreprise se durcissent considérablement. Au lieu de vendre de simples scans techniques à vos clients, promettez-leur de garantir le niveau de sécurité requis pour répondre aux appels d'offres : vous ferez passer vos forfaits de conseil mensuels bien plus facilement.

Lors de notre première année, on a fait un pentest à 4.000 sterlin pour un client e-commerce. Pendant 8 mois, à chaque migration de serveur ils nous appelaient en mode « vous pouvez jeter un œil svp ? », on n'osait pas dire non et on a failli couler. Ensuite on a posé des limites strictes : soit un contrat de support à 1.200 sterlin par mois, soit facturation à l'heure. Ils ont signé le contrat direct.

Ne vendez pas au client les heures passées, vendez-lui le risque éliminé et la sérénité ; dès l'instant où votre tarif est lié au temps passé, ce n'est plus votre expertise technique qui se négocie, mais votre chronomètre.

edit : j'ai corrigé quelques fautes de frappe.

Il y a un point qui m'interpelle. Les décisions hâtives finissent par être corrigées six mois plus tard.

Changer une habitude est plus difficile et coûteux que de mettre en place un système.

J'ai vécu exactement la même chose il y a deux ans. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Bien sûr, cela change si votre situation est différente.

Sujet très actuel. L'erreur commise du côté de conseil en cybersécurité est généralement réversible, mais coûteuse.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. À votre place, j'irais par cette voie.

Je suis d'accord. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si c'est une première, commencez petit l'échelle viendra plus tard. J'espère que cela vous sera utile.

Je parle du point de vue du fournisseur, c'est mon côté. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

À votre place, j'irais par cette voie.

il faut fairre une distinction ici.. puis quand on décide sans mesurer on revient toujours au même point.

c'est mon avis, je ne l'écris pas comme une vérité absolue.

J'y pensais aussi. Si c'est une première, commencez petit, l'échelle viendra plus tard.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

J'écris cela pour éviter que vous ne fassiez la même erreur. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Commencez par un petit test, ne vous engagez pas sur tout d'un coup. C'est confirmé par l'expérience.

Chez nous, ça s'est passé comme ça. Regardez où est le trou dans le seau ; verser de l'eau dessus ne résout rien.

J'espère que cela vous sera utile.

Je me permets une petite mise en garde. Avant de décider, regardez quelles données vous avez en main.

Tout va bien les trois premiers mois, les problèmes arrivent au quatrième. Bien sûr, cela change si votre situation est différente.