● Offre B2B — Cybersécurité & supervision
Cybersécurité : les alertes qualifiées, les événements corrélés
Une équipe sécurité reçoit plus d'alertes qu'elle ne peut en instruire en détail. Votre agent, raccordé à votre SIEM, corrèle les événements, qualifie chaque alerte selon vos règles de détection et documente le signal avec la chaîne d'événements qui le fonde. Hébergé en France : vos journaux techniques et votre cartographie restent chez vous. Toute action de remédiation appartient à votre équipe sécurité.
Hébergé en France
Journaux techniques protégés
RGPD & AI Act : déploiement encadré
Supervision humaine
Mis à jour le
Déployé en quelques semaines
Cybersécurité · hébergé en France
Quelles alertes méritent notre attention ce matin ?
Alertes qualifiées selon vos règles de détection, avec la chaîne d'événements corrélés pour chacune.
Trois signaux réunissent plusieurs événements liés sur un même compte et une même plage horaire.
Les événements sources et leurs horodatages sont fournis.
🔗 Sourcé · journaux du SIEM, événements corrélés
Trois signaux réunissent plusieurs événements liés sur un même compte et une même plage horaire.
Les événements sources et leurs horodatages sont fournis.
🔗 Sourcé · journaux du SIEM, événements corrélés
Peut-on isoler le compte concerné ?
Les éléments nécessaires à la décision sont réunis : chaîne d'événements, portée apparente, systèmes concernés.
Isoler un compte ou couper un accès porte à conséquence sur l'activité : cette décision appartient à votre équipe sécurité.
✎ Appui · éléments réunis, remédiation humaine
Isoler un compte ou couper un accès porte à conséquence sur l'activité : cette décision appartient à votre équipe sécurité.
✎ Appui · éléments réunis, remédiation humaine
Inférence locale · traitements dans l'UE visés
Journaux hébergés en France
Souverain par constructionInférence locale ou hébergement France
RGPD & AI Act : déploiement encadréTraçabilité & supervision humaine
Clé en mainConçu, installé et exploité pour vous
Votre équipe sécurité décideL'agent prépare, jamais ne tranche
✦ En bref
Un agent Blue Lemon Agent de cybersécurité, raccordé à votre SIEM, corrèle les événements, qualifie les alertes selon vos règles de détection et documente chaque signal avec la chaîne d'événements et les horodatages qui le fondent. Aucune remédiation n'est appliquée automatiquement. Il fonctionne en inférence locale ou est hébergé en France : vos journaux restent chez vous, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité.
100 %
hébergé en France dans l'architecture cible
0
transfert hors UE dans l'architecture cible
6
usages de supervision sécurité prêts à déployer
0
décision prise sans validation humaine
Repères décrivant notre offre, et non des résultats mesurés chez un client. L'ampleur du gain sur le volume de journaux et le nombre de sources se confirme par un pilote.
Le contexte
Qu'apporte un agent IA à votre supervision de sécurité ?
Un signal corrélé et documenté s'instruit en quelques minutes ; une alerte isolée demande de tout reconstituer.
! L'enjeu
Instruire une alerte suppose de rassembler les événements liés et de situer leur portée. Ce travail de corrélation est systématique et se prête à l'automatisation ; la décision de remédiation, elle, engage l'activité. L'agent corrèle, qualifie selon vos règles et fournit la chaîne complète avec ses horodatages.
✓ Notre réponse
Votre équipe sécurité instruit des signaux déjà corrélés et documentés, sur l'ensemble des journaux plutôt que sur les sources les plus surveillées. Isoler un compte, couper un accès ou déclencher une procédure d'incident porte à conséquence sur l'activité : ces décisions restent les siennes. Inférence locale ou ressource isolée hébergée en France : vos journaux techniques, qui décrivent votre système d'information, ne sortent pas de l'entreprise.
Le point décisif
Vos journaux techniques et votre cartographie de sécurité : souveraineté & conformité
Vos journaux techniques dessinent la carte de votre système d'information : leur confidentialité est un enjeu de sécurité en soi. Voici comment elle est assurée.
Inférence locale
L'agent peut tourner sur une machine de votre organisation : aucun journal technique ni élément de cartographie ne sort du réseau.
Hébergement en France
Sinon, une ressource dédiée et isolée hébergée en France, sous droit français — vos journaux d'événements et vos alertes : traitements et accès opérés dans l'Union européenne visés par l'architecture.
Exposition extraterritoriale réduite
Pour vos journaux techniques et votre cartographie de sécurité, l'architecture vise à réduire l'exposition au Cloud Act et au FISA 702 ; la seule localisation en France ou dans l'Union européenne ne garantit pas l'immunité.
Ressource isolée
Aucune mutualisation : un environnement strictement dédié à votre organisation et à ses règles de détection.
Chaîne d'événements conservée
Chaque signal conserve les événements corrélés et leurs horodatages ; chiffrement, accès par rôle (RBAC) et journalisation exploitable en investigation.
AI Act : déploiement encadré
Agent strictement en appui ; aucun compte isolé, aucun accès coupé ni procédure déclenchée automatiquement ; traçabilité et supervision humaine de bout en bout.
Ce qui dépend de l'architecture retenue Ces points ne sont pas des garanties générales : ils sont arrêtés déploiement par déploiement, au devis.
- La localisation applicable est celle de l'architecture décrite au devis et vérifiée avant mise en service.
- L'exécution locale n'est annoncée que pour la configuration explicitement décrite et recettée au devis.
- L'isolation applicable dépend du mode de déploiement décrit au devis ; aucune isolation dédiée n'est présumée.
- Les rôles et permissions sont configurés et recettés pour les identités et systèmes effectivement raccordés.
- Les événements journalisés, leur contenu, leur durée de conservation et leurs accès sont définis pour le déploiement retenu.
Pour les investigations en cours et les incidents de sécurité qualifiés, options SecNumCloud et hébergement renforcé selon votre niveau d'exigence. Une seule architecture est conçue pour répondre à la fois au RGPD et à l'exposition extraterritoriale. Conçu pour être déployé dans le respect du RGPD et de l'AI Act, après qualification du traitement, des rôles et des risques propres à votre contexte.
Démonstration
Voyez l'agent au travail
5 situations réelles, prises parmi celles qui reviennent le plus. Choisissez-en une : l'échange se déroule comme il se déroulerait chez vous.
Démonstration écrite à l'avance. Ces échanges illustrent le comportement de l'agent — ses sources, ses refus, ce qu'il laisse à vos équipes. Rien n'est envoyé depuis cette page, aucun modèle n'y est interrogé, et les dossiers cités sont fictifs. C'est précisément ce que nous promettons à vos données.
Les comportements montrés ici — surveillance, règles d'automatisation, routage et relances — sont paramétrés avec vous lors du déploiement, à partir de vos outils, de vos règles et de vos seuils.
Les points d'architecture cités dans ces échanges — localisation, exécution locale, isolation, chiffrement, accès par rôle, journalisation — ne sont pas une garantie attachée à la démonstration : ils sont ceux de l'architecture décrite à votre devis, et vérifiés avant mise en service.
L'entreprise de cette démonstration
Entreprise fictiveMaldeau Groupe — distribution spécialisée, 84 magasins et un site marchand
- Secteur
- Distribution spécialisée — 84 magasins, un site marchand, deux entrepôts
- Effectif
- 1 900 salariés, dont 4 à la sécurité : 1 RSSI et 3 analystes, en horaires de bureau
- Public servi
- 2,1 millions de porteurs de carte de fidélité, paiement en magasin et en ligne
- Volume supervisé
- 2,4 milliards d'événements par mois, 11 sources de journaux, 1 400 alertes par semaine
- Outils en place
- SIEM en service depuis 4 ans, annuaire, pare-feu, postes supervisés, outil de tickets — l'agent s'y branche en lecture, rien n'est remplacé
- Qui décide
- Le RSSI arbitre les gestes de remédiation ; la direction de la production valide toute coupure d'accès ; les trois analystes instruisent
- Les points d'amélioration
- 41 alertes instruites en détail par semaine sur 1 400 reçues ; la corrélation occupe 65 % du temps d'instruction d'une alerte
Maldeau Groupe reçoit chaque semaine vingt fois plus d'alertes que ses trois analystes ne peuvent en instruire, et personne n'a jamais pu dire ce que contenaient les 1 359 autres. L'agent tourne en inférence locale sur une machine du groupe et lit le SIEM, l'annuaire, l'outil de tickets et le calendrier de changement : il corrèle, qualifie, chiffre le bruit écarté et prépare chaque geste avec son effet sur la production. Le RSSI décide, et ce qu'il décide s'exécute en minutes. Les échanges qui suivent couvrent un trimestre, du premier tri au bilan.
Cette entreprise, ses chiffres et les échanges qui suivent ont été inventés pour la démonstration. Ils illustrent une situation courante ; ils ne décrivent aucun client réel.
Cybersécurité · hébergé en France
Les 1 400 alertes de la semaine sont triées. Trois méritent votre matinée, et je vous dis exactement pourquoi les 1 397 autres n'en sont pas là.
La corrélation, c'est le fait de réunir les événements liés d'un même compte, d'une même machine ou d'une même plage horaire, pour qu'une alerte cesse d'être un point isolé.
Les trois signaux, par ordre de portée :
· Signal 1 — 214 tentatives d'authentification en échec sur 38 comptes, depuis 3 adresses, en 11 minutes, puis une réussite sur un compte de recette. 34 événements corrélés sur 4 sources.
· Signal 2 — un compte de service qui s'authentifie depuis un poste bureautique. Un compte de service est un compte technique utilisé par un programme, jamais par une personne. Zéro occurrence de ce comportement sur les 90 jours précédents.
· Signal 3 — un volume d'export multiplié par 22 sur un compte de l'entrepôt nord, entre 22 h 40 et 23 h 05, hors de toute fenêtre de maintenance déclarée.
Ce que deviennent les 1 397 autres, et rien ne disparaît :
· 1 240 sont écartées avec leur motif écrit, consultable et réversible d'un clic. 620 d'entre elles — la moitié — viennent de trois règles de détection dont le seuil n'a jamais été revu depuis leur écriture.
· 157 sont regroupées en 9 familles et attendent une décision de réglage, pas une instruction.
Le temps que ça déplace : la corrélation occupait 65 % du temps d'instruction d'une alerte ; elle en prend 7 %. Vos analystes instruisaient 41 alertes par semaine sur 1 400 ; les 1 400 sont désormais passées au crible, et ils instruisent celles qui le méritent.
Ce que je vous propose : je vous montre comment j'ai vérifié que ce tri ne laisse rien passer — en le rejouant sur douze mois de vos propres journaux. tri-hebdomadaire_1400-alertes.pdf3 signaux, 1 240 motifs écrits, 620 dues à 3 règles
⛓ Sourcé · SIEM (2,4 milliards d'événements/mois, 11 sources), annuaire, calendrier de changement
La corrélation, c'est le fait de réunir les événements liés d'un même compte, d'une même machine ou d'une même plage horaire, pour qu'une alerte cesse d'être un point isolé.
Les trois signaux, par ordre de portée :
· Signal 1 — 214 tentatives d'authentification en échec sur 38 comptes, depuis 3 adresses, en 11 minutes, puis une réussite sur un compte de recette. 34 événements corrélés sur 4 sources.
· Signal 2 — un compte de service qui s'authentifie depuis un poste bureautique. Un compte de service est un compte technique utilisé par un programme, jamais par une personne. Zéro occurrence de ce comportement sur les 90 jours précédents.
· Signal 3 — un volume d'export multiplié par 22 sur un compte de l'entrepôt nord, entre 22 h 40 et 23 h 05, hors de toute fenêtre de maintenance déclarée.
Ce que deviennent les 1 397 autres, et rien ne disparaît :
· 1 240 sont écartées avec leur motif écrit, consultable et réversible d'un clic. 620 d'entre elles — la moitié — viennent de trois règles de détection dont le seuil n'a jamais été revu depuis leur écriture.
· 157 sont regroupées en 9 familles et attendent une décision de réglage, pas une instruction.
Le temps que ça déplace : la corrélation occupait 65 % du temps d'instruction d'une alerte ; elle en prend 7 %. Vos analystes instruisaient 41 alertes par semaine sur 1 400 ; les 1 400 sont désormais passées au crible, et ils instruisent celles qui le méritent.
Ce que je vous propose : je vous montre comment j'ai vérifié que ce tri ne laisse rien passer — en le rejouant sur douze mois de vos propres journaux. tri-hebdomadaire_1400-alertes.pdf3 signaux, 1 240 motifs écrits, 620 dues à 3 règles
⛓ Sourcé · SIEM (2,4 milliards d'événements/mois, 11 sources), annuaire, calendrier de changement
Écarter 1 240 alertes, c'est précisément ce qui nous inquiète.
Je l'ai vérifié avant de vous le proposer : j'ai rejoué le tri sur douze mois de vos journaux, et les trois incidents réels de l'année ressortent tous les trois, en tête de liste.
Ce que le rejeu a mesuré, règle par règle : pour chacune de vos 47 règles de détection — la condition écrite qui fait naître une alerte —, j'ai compté sur douze mois le nombre d'alertes produites, la part confirmée après instruction, et ce qu'elle aurait laissé passer.
· 3 règles produisent 44 % de vos alertes et 0 confirmation en douze mois.
· 9 règles produisent moins de 5 alertes par mois et 61 % des confirmations. Ce sont vos meilleures, et elles sont noyées.
· Les 3 incidents réels de l'année ont été remontés par 2 règles, et le tri les place dans les trois premiers signaux de leur semaine respective.
Ce que je vous propose, écrit et déjà éprouvé : quatre règles resserrées, rédigées dans la forme de vos règles actuelles. Pour chacune, voici ce que douze mois de journaux donnent :
· Règle sur les échecs d'authentification : 84 alertes deviennent 19, les 3 confirmées sont conservées, et 65 instructions inutiles disparaissent.
· Règle sur les connexions hors horaires : 310 deviennent 41, les 2 confirmées conservées.
· Règle sur les accès aux partages : 240 deviennent 58, la confirmation unique conservée.
· Règle sur les erreurs applicatives : 186 deviennent 12, aucune confirmation perdue.
Vous les signez et elles sont en vigueur ce soir — et chacune se retire d'un mot, seule, sans toucher aux quarante-six autres. Le décompte des alertes écartées reste consultable en permanence : une alerte écartée n'est pas une alerte effacée. regles-rejouees_sur-12-mois.pdf4 règles resserrées, 84 → 19, 3 confirmations gardées
⛓ Sourcé · 12 mois de journaux archivés, 47 règles de détection, historique des instructions et confirmations
Ce que le rejeu a mesuré, règle par règle : pour chacune de vos 47 règles de détection — la condition écrite qui fait naître une alerte —, j'ai compté sur douze mois le nombre d'alertes produites, la part confirmée après instruction, et ce qu'elle aurait laissé passer.
· 3 règles produisent 44 % de vos alertes et 0 confirmation en douze mois.
· 9 règles produisent moins de 5 alertes par mois et 61 % des confirmations. Ce sont vos meilleures, et elles sont noyées.
· Les 3 incidents réels de l'année ont été remontés par 2 règles, et le tri les place dans les trois premiers signaux de leur semaine respective.
Ce que je vous propose, écrit et déjà éprouvé : quatre règles resserrées, rédigées dans la forme de vos règles actuelles. Pour chacune, voici ce que douze mois de journaux donnent :
· Règle sur les échecs d'authentification : 84 alertes deviennent 19, les 3 confirmées sont conservées, et 65 instructions inutiles disparaissent.
· Règle sur les connexions hors horaires : 310 deviennent 41, les 2 confirmées conservées.
· Règle sur les accès aux partages : 240 deviennent 58, la confirmation unique conservée.
· Règle sur les erreurs applicatives : 186 deviennent 12, aucune confirmation perdue.
Vous les signez et elles sont en vigueur ce soir — et chacune se retire d'un mot, seule, sans toucher aux quarante-six autres. Le décompte des alertes écartées reste consultable en permanence : une alerte écartée n'est pas une alerte effacée. regles-rejouees_sur-12-mois.pdf4 règles resserrées, 84 → 19, 3 confirmations gardées
⛓ Sourcé · 12 mois de journaux archivés, 47 règles de détection, historique des instructions et confirmations
Et ce qu'aucune règle ne décrit ? Une attaque qu'on n'a jamais vue passe entre les mailles.
C'est pour cela que je ne travaille pas qu'avec vos règles : je mesure aussi l'écart au comportement habituel, et c'est comme cela que j'ai trouvé deux des trois signaux de ce matin.
La ligne de base, c'est le comportement habituel d'un compte, d'une machine ou d'un horaire, mesuré sur une période assez longue pour que l'exception se voie. La mienne porte sur 90 jours glissants, et elle est calculée par compte, par machine et par tranche horaire — une moyenne d'entreprise n'aurait rien montré.
Les deux comportements qu'aucune de vos 47 règles ne décrivait :
· Le compte de service qui s'authentifie depuis un poste bureautique. Sur 90 jours, ce compte s'est authentifié 4 100 fois, toujours depuis les deux mêmes serveurs. Ce matin, une fois, depuis un poste. Aucune règle ne le voyait, parce qu'aucune règle ne dit d'où un compte de service a le droit de venir.
· Le volume d'export multiplié par 22. La ligne de base de ce compte est de 4 à 11 Mo par soirée ; hier, 214 Mo en 25 minutes.
Ce que j'en tire, et que je vous propose d'inscrire dans vos règles : trois règles de détection nouvelles, écrites, avec pour chacune ce que douze mois d'historique lui font produire :
· « Un compte de service s'authentifie depuis une machine absente de sa liste » — 6 déclenchements sur 12 mois, dont 4 confirmés après instruction.
· « Un compte dépasse de 10 fois son volume d'export habituel » — 11 déclenchements, dont 3 confirmés.
· « Une authentification réussit après plus de 50 échecs sur la même plage » — 4 déclenchements, dont 2 confirmés.
Ces trois règles auraient produit 21 alertes en un an — moins d'une par quinzaine pour vos analystes — et neuf d'entre elles auraient été confirmées. Vous les relisez, vous les signez, et le comportement de ce matin devient une règle de la maison. detection-comportementale_3-regles-proposees.pdf21 alertes par an, 9 confirmées sur l'historique
⛓ Sourcé · 90 jours de lignes de base par compte et par machine, 12 mois de journaux archivés
La ligne de base, c'est le comportement habituel d'un compte, d'une machine ou d'un horaire, mesuré sur une période assez longue pour que l'exception se voie. La mienne porte sur 90 jours glissants, et elle est calculée par compte, par machine et par tranche horaire — une moyenne d'entreprise n'aurait rien montré.
Les deux comportements qu'aucune de vos 47 règles ne décrivait :
· Le compte de service qui s'authentifie depuis un poste bureautique. Sur 90 jours, ce compte s'est authentifié 4 100 fois, toujours depuis les deux mêmes serveurs. Ce matin, une fois, depuis un poste. Aucune règle ne le voyait, parce qu'aucune règle ne dit d'où un compte de service a le droit de venir.
· Le volume d'export multiplié par 22. La ligne de base de ce compte est de 4 à 11 Mo par soirée ; hier, 214 Mo en 25 minutes.
Ce que j'en tire, et que je vous propose d'inscrire dans vos règles : trois règles de détection nouvelles, écrites, avec pour chacune ce que douze mois d'historique lui font produire :
· « Un compte de service s'authentifie depuis une machine absente de sa liste » — 6 déclenchements sur 12 mois, dont 4 confirmés après instruction.
· « Un compte dépasse de 10 fois son volume d'export habituel » — 11 déclenchements, dont 3 confirmés.
· « Une authentification réussit après plus de 50 échecs sur la même plage » — 4 déclenchements, dont 2 confirmés.
Ces trois règles auraient produit 21 alertes en un an — moins d'une par quinzaine pour vos analystes — et neuf d'entre elles auraient été confirmées. Vous les relisez, vous les signez, et le comportement de ce matin devient une règle de la maison. detection-comportementale_3-regles-proposees.pdf21 alertes par an, 9 confirmées sur l'historique
⛓ Sourcé · 90 jours de lignes de base par compte et par machine, 12 mois de journaux archivés
Le signal 2, le compte de service. Montre-moi tout.
Trente-quatre événements, six sources, horodatés à la milliseconde et remis à l'heure. Voici la séquence, et ce qu'elle établit exactement.
D'abord une correction que personne ne fait à la main : une de vos six sources retarde de 3,2 secondes sur les autres. Sans ce recalage, deux événements apparaissaient dans le mauvais ordre — et l'ordre est tout, dans une chaîne.
La séquence, telle qu'elle s'est produite :
· 04 h 12 min 06 s — le compte de service s'authentifie depuis le poste P-1147, machine absente de sa liste de 2 serveurs. Source : annuaire.
· 04 h 12 min 09 s — le même compte ouvre une session sur le serveur de fichiers de la comptabilité. Source : journal du serveur.
· 04 h 12 min 44 s à 04 h 19 min 31 s — 1 842 lectures de fichiers dans trois répertoires, dont 1 615 dans un répertoire auquel ce compte n'avait jamais accédé en 90 jours.
· 04 h 21 min 02 s — tentative de connexion sortante vers une adresse extérieure, bloquée par votre pare-feu. Le blocage a fonctionné, et c'est un fait établi, pas une supposition.
· 04 h 21 min 05 s à 04 h 26 min 18 s — 7 nouvelles tentatives, toutes bloquées.
Le périmètre, arrêté sur les journaux : 1 compte, 2 machines, 3 répertoires, et aucune sortie de données constatée — les huit tentatives figurent au journal du pare-feu avec leur horodatage et leur verdict.
Ce qui reste à établir, et comment je l'établis : l'origine de l'accès au poste P-1147. Je l'obtiens avec le journal local du poste, que je n'ai pas encore en collecte — et j'ai préparé la demande de collecte, en lecture seule, périmètre limité à ce poste.
Le temps : la constitution du dossier d'investigation prenait 30 % du temps ; elle en prend 4 %. Ce dossier a été constitué en quatre minutes, et il est daté, signé et conservé. chaine-evenements_signal-2.pdf34 événements, 6 sources, 8 sorties bloquées
⛓ Sourcé · annuaire, journaux serveurs, pare-feu, postes supervisés, SIEM — horloges recalées
D'abord une correction que personne ne fait à la main : une de vos six sources retarde de 3,2 secondes sur les autres. Sans ce recalage, deux événements apparaissaient dans le mauvais ordre — et l'ordre est tout, dans une chaîne.
La séquence, telle qu'elle s'est produite :
· 04 h 12 min 06 s — le compte de service s'authentifie depuis le poste P-1147, machine absente de sa liste de 2 serveurs. Source : annuaire.
· 04 h 12 min 09 s — le même compte ouvre une session sur le serveur de fichiers de la comptabilité. Source : journal du serveur.
· 04 h 12 min 44 s à 04 h 19 min 31 s — 1 842 lectures de fichiers dans trois répertoires, dont 1 615 dans un répertoire auquel ce compte n'avait jamais accédé en 90 jours.
· 04 h 21 min 02 s — tentative de connexion sortante vers une adresse extérieure, bloquée par votre pare-feu. Le blocage a fonctionné, et c'est un fait établi, pas une supposition.
· 04 h 21 min 05 s à 04 h 26 min 18 s — 7 nouvelles tentatives, toutes bloquées.
Le périmètre, arrêté sur les journaux : 1 compte, 2 machines, 3 répertoires, et aucune sortie de données constatée — les huit tentatives figurent au journal du pare-feu avec leur horodatage et leur verdict.
Ce qui reste à établir, et comment je l'établis : l'origine de l'accès au poste P-1147. Je l'obtiens avec le journal local du poste, que je n'ai pas encore en collecte — et j'ai préparé la demande de collecte, en lecture seule, périmètre limité à ce poste.
Le temps : la constitution du dossier d'investigation prenait 30 % du temps ; elle en prend 4 %. Ce dossier a été constitué en quatre minutes, et il est daté, signé et conservé. chaine-evenements_signal-2.pdf34 événements, 6 sources, 8 sorties bloquées
⛓ Sourcé · annuaire, journaux serveurs, pare-feu, postes supervisés, SIEM — horloges recalées
Ça ne peut pas être un administrateur qui travaille de nuit ?
J'ai posé la question à vos propres systèmes avant de vous appeler, sur cinq points. Quatre écartent cette explication, et le cinquième se lève par un appel de deux minutes.
Les cinq vérifications, toutes faites :
· Calendrier de changement : aucune opération planifiée cette nuit-là sur ce serveur ni sur ce compte. Les 14 opérations du mois y figurent toutes ; celle-ci n'y est pas.
· Outil de tickets : aucun ticket ouvert sur ce périmètre entre le 3 et le 9.
· Poste P-1147 : il est attribué à un collaborateur de la comptabilité, pas à un administrateur, et il n'a jamais servi à une authentification de compte de service en 90 jours.
· Comportement du compte : 4 100 authentifications en 90 jours, toutes depuis les deux mêmes serveurs. Zéro depuis un poste.
· Le point qui reste : deux administrateurs ont un accès légitime à ce compte. Le message est écrit, nominatif, et il tient en trois lignes : « avez-vous utilisé le compte SVC-COMPTA le 7 à 4 h 12 depuis le poste P-1147 ? » Une réponse suffit à clore ou à confirmer.
Pendant que vous appelez, ce que j'ai déjà préparé : trois gestes de confinement possibles, chacun avec son effet chiffré sur la production — le confinement, c'est l'isolement d'un compte ou d'une machine pour interrompre une action en cours — et leur plan de retour arrière. Vous n'aurez rien à construire au moment de décider ; vous n'aurez qu'à décider.
Les cinq vérifications, toutes faites :
· Calendrier de changement : aucune opération planifiée cette nuit-là sur ce serveur ni sur ce compte. Les 14 opérations du mois y figurent toutes ; celle-ci n'y est pas.
· Outil de tickets : aucun ticket ouvert sur ce périmètre entre le 3 et le 9.
· Poste P-1147 : il est attribué à un collaborateur de la comptabilité, pas à un administrateur, et il n'a jamais servi à une authentification de compte de service en 90 jours.
· Comportement du compte : 4 100 authentifications en 90 jours, toutes depuis les deux mêmes serveurs. Zéro depuis un poste.
· Le point qui reste : deux administrateurs ont un accès légitime à ce compte. Le message est écrit, nominatif, et il tient en trois lignes : « avez-vous utilisé le compte SVC-COMPTA le 7 à 4 h 12 depuis le poste P-1147 ? » Une réponse suffit à clore ou à confirmer.
Pendant que vous appelez, ce que j'ai déjà préparé : trois gestes de confinement possibles, chacun avec son effet chiffré sur la production — le confinement, c'est l'isolement d'un compte ou d'une machine pour interrompre une action en cours — et leur plan de retour arrière. Vous n'aurez rien à construire au moment de décider ; vous n'aurez qu'à décider.
L'administrateur dit que ce n'est pas lui. Il faut couper cet accès, tout de suite.
Tout est monté, l'effet sur la production est chiffré, le retour arrière tient en 90 secondes. Signez le mandat et l'accès est coupé en quatre minutes.
Ce que la coupure touche, parce que vous devez le savoir avant et non après : ce compte porte trois flux de production.
· La synchronisation des stocks des 84 magasins, à 4 h du matin. Contournement prêt : bascule sur le compte de secours déjà provisionné, 2 minutes.
· Le connecteur de paiement du site marchand. Vérifié : il utilise un autre compte. Aucun effet.
· L'export comptable de fin de mois, prochaine exécution dans 6 jours. Aucun effet aujourd'hui.
Le mandat que je vous propose, écrit, plafonné, daté :
· Périmètre : le compte SVC-COMPTA et le poste P-1147, nommément — aucune autre machine, aucun autre compte.
· Gestes couverts : désactivation du compte, isolement réseau du poste, et rien d'autre.
· Durée : jusqu'à 6 h ce matin, prolongée d'un mot ou retirée d'un mot.
· Notification : le RSSI et l'astreinte production sont prévenus à la seconde de l'exécution, avec le motif et la chaîne d'événements.
· Retour arrière : préparé, testé, 90 secondes, et exécutable par vous sans moi.
· Trace : qui a signé, à quelle seconde, sur quel signal, avec quelle chaîne de preuve.
Et pendant les quatre minutes, je fige la preuve : copie des journaux des six sources sur la fenêtre 03 h 00 – 05 h 00, scellée par une empreinte — la signature numérique qui prouve qu'un fichier n'a pas été modifié depuis sa copie. Un confinement efface souvent les traces qu'il fallait garder ; celles-ci sont figées avant.
Vous signez, j'exécute, et vous avez le compte rendu horodaté à 04 h 34. mandat-de-confinement_perimetre-et-retour-arriere.pdf2 objets nommés, 4 minutes d'exécution, retour en 90 s
✎ Cadre · dépendances de production cartographiées, plan de retour arrière testé, paramètres de mandat
Ce que la coupure touche, parce que vous devez le savoir avant et non après : ce compte porte trois flux de production.
· La synchronisation des stocks des 84 magasins, à 4 h du matin. Contournement prêt : bascule sur le compte de secours déjà provisionné, 2 minutes.
· Le connecteur de paiement du site marchand. Vérifié : il utilise un autre compte. Aucun effet.
· L'export comptable de fin de mois, prochaine exécution dans 6 jours. Aucun effet aujourd'hui.
Le mandat que je vous propose, écrit, plafonné, daté :
· Périmètre : le compte SVC-COMPTA et le poste P-1147, nommément — aucune autre machine, aucun autre compte.
· Gestes couverts : désactivation du compte, isolement réseau du poste, et rien d'autre.
· Durée : jusqu'à 6 h ce matin, prolongée d'un mot ou retirée d'un mot.
· Notification : le RSSI et l'astreinte production sont prévenus à la seconde de l'exécution, avec le motif et la chaîne d'événements.
· Retour arrière : préparé, testé, 90 secondes, et exécutable par vous sans moi.
· Trace : qui a signé, à quelle seconde, sur quel signal, avec quelle chaîne de preuve.
Et pendant les quatre minutes, je fige la preuve : copie des journaux des six sources sur la fenêtre 03 h 00 – 05 h 00, scellée par une empreinte — la signature numérique qui prouve qu'un fichier n'a pas été modifié depuis sa copie. Un confinement efface souvent les traces qu'il fallait garder ; celles-ci sont figées avant.
Vous signez, j'exécute, et vous avez le compte rendu horodaté à 04 h 34. mandat-de-confinement_perimetre-et-retour-arriere.pdf2 objets nommés, 4 minutes d'exécution, retour en 90 s
✎ Cadre · dépendances de production cartographiées, plan de retour arrière testé, paramètres de mandat
C'est coupé, l'administrateur a confirmé que ce n'était pas lui. On fait quoi maintenant ?
Six actions, dans l'ordre où elles se tiennent, chacune avec sa durée, son effet et ce qu'elle touche en production. Quatre sont couvertes par le mandat en cours ; deux demandent l'accord de la production, et je les ai préparées pour elle.
· 1. Renouveler le secret du compte de service et le repositionner sur ses deux serveurs. 12 minutes, aucun effet en journée, la synchronisation des stocks repasse dessus à 4 h demain.
· 2. Retirer du poste P-1147 les droits qui n'ont aucune raison d'y être. 4 minutes, et j'ai vérifié : 3 autres postes de la comptabilité portent exactement les mêmes droits.
· 3. Rechercher la même séquence sur les 90 jours précédents et sur les 10 autres sources. Fait : 0 occurrence. C'est un fait établi, et il vaut mieux qu'une intuition rassurante.
· 4. Vérifier les 6 autres comptes de service de même nature. Fait : 2 d'entre eux s'authentifient depuis des machines hors de leur liste, de façon régulière et documentée par des tickets — ce sont des usages légitimes non déclarés. Les listes sont à jour depuis ce matin.
· 5. Restreindre les comptes de service à leur liste de machines, sur les 7 comptes. Demande l'accord de la production : 30 minutes de fenêtre, un redémarrage de service. Le dossier de demande est écrit.
· 6. Étendre la collecte aux journaux locaux des postes de la comptabilité — 14 postes, lecture seule. Demande l'accord de la production ; volume estimé chiffré dans le dossier.
La preuve, pendant ce temps : la copie scellée des six sources est conservée avec son empreinte et son horodatage, et chaque action ci-dessus s'inscrit au même dossier avec la seconde à laquelle elle a été exécutée et par qui.
Ce que je vous propose : vous validez les quatre premières d'un mot, je porte les deux dernières à la production ce matin, et je vous rends le dossier complet avant midi. plan-de-remediation_6-actions.pdf4 sous mandat, 2 portées à la production, 0 occurrence antérieure
⛓ Sourcé · chaîne d'événements du signal 2, annuaire, tickets, inventaire des comptes de service
· 1. Renouveler le secret du compte de service et le repositionner sur ses deux serveurs. 12 minutes, aucun effet en journée, la synchronisation des stocks repasse dessus à 4 h demain.
· 2. Retirer du poste P-1147 les droits qui n'ont aucune raison d'y être. 4 minutes, et j'ai vérifié : 3 autres postes de la comptabilité portent exactement les mêmes droits.
· 3. Rechercher la même séquence sur les 90 jours précédents et sur les 10 autres sources. Fait : 0 occurrence. C'est un fait établi, et il vaut mieux qu'une intuition rassurante.
· 4. Vérifier les 6 autres comptes de service de même nature. Fait : 2 d'entre eux s'authentifient depuis des machines hors de leur liste, de façon régulière et documentée par des tickets — ce sont des usages légitimes non déclarés. Les listes sont à jour depuis ce matin.
· 5. Restreindre les comptes de service à leur liste de machines, sur les 7 comptes. Demande l'accord de la production : 30 minutes de fenêtre, un redémarrage de service. Le dossier de demande est écrit.
· 6. Étendre la collecte aux journaux locaux des postes de la comptabilité — 14 postes, lecture seule. Demande l'accord de la production ; volume estimé chiffré dans le dossier.
La preuve, pendant ce temps : la copie scellée des six sources est conservée avec son empreinte et son horodatage, et chaque action ci-dessus s'inscrit au même dossier avec la seconde à laquelle elle a été exécutée et par qui.
Ce que je vous propose : vous validez les quatre premières d'un mot, je porte les deux dernières à la production ce matin, et je vous rends le dossier complet avant midi. plan-de-remediation_6-actions.pdf4 sous mandat, 2 portées à la production, 0 occurrence antérieure
⛓ Sourcé · chaîne d'événements du signal 2, annuaire, tickets, inventaire des comptes de service
Si on doit en rendre compte à un tiers — notre assureur, un client, une autorité — on a quoi ?
Un dossier complet, produit en continu depuis la première seconde, et décliné en trois versions selon à qui vous parlez.
Ce que le dossier contient, et il est déjà écrit :
· La chronologie horodatée des 34 événements, source par source, avec le recalage d'horloge documenté.
· Le périmètre établi : 1 compte, 2 machines, 3 répertoires, et les 8 tentatives de sortie bloquées, avec le verdict du pare-feu pour chacune.
· Ce qui est établi et par quelle source, distinctement de ce qui est en cours d'établissement, avec le moyen de l'établir — ici, le journal local du poste, dont la collecte est demandée.
· Les données potentiellement concernées : les 1 615 fichiers lus sont identifiés nommément, et j'ai qualifié leur contenu : 1 402 pièces comptables, 213 fichiers de paie. Cette liste est la première chose qu'un tiers demandera.
· Les actions et leurs horodatages, avec le nom du signataire de chaque mandat.
· Les empreintes des copies de journaux, qui permettent de montrer que rien n'a été retouché.
Les trois versions, prêtes en même temps : une note d'une page pour la direction, un dossier technique complet pour vos analystes et pour un expert, et une version destinée à un tiers d'où sont retirés les éléments d'architecture qui n'ont pas à sortir — et je vous dis lesquels j'ai retirés et pourquoi.
Le temps que ça change : une notification réglementaire se prépare en heures, pas en jours. Ce dossier est complet et daté avant que la question ne se pose ; votre conseil décide de ce qui doit être notifié, et il décide sur un dossier fini. La constitution du dossier passe de 30 % à 4 % du temps d'investigation, et elle ne dépend plus de la mémoire de celui qui était de garde. dossier-investigation_trois-versions.pdf1 615 fichiers identifiés, empreintes conservées
⛓ Sourcé · copies de journaux scellées, journal des mandats, inventaire des fichiers lus, empreintes
Ce que le dossier contient, et il est déjà écrit :
· La chronologie horodatée des 34 événements, source par source, avec le recalage d'horloge documenté.
· Le périmètre établi : 1 compte, 2 machines, 3 répertoires, et les 8 tentatives de sortie bloquées, avec le verdict du pare-feu pour chacune.
· Ce qui est établi et par quelle source, distinctement de ce qui est en cours d'établissement, avec le moyen de l'établir — ici, le journal local du poste, dont la collecte est demandée.
· Les données potentiellement concernées : les 1 615 fichiers lus sont identifiés nommément, et j'ai qualifié leur contenu : 1 402 pièces comptables, 213 fichiers de paie. Cette liste est la première chose qu'un tiers demandera.
· Les actions et leurs horodatages, avec le nom du signataire de chaque mandat.
· Les empreintes des copies de journaux, qui permettent de montrer que rien n'a été retouché.
Les trois versions, prêtes en même temps : une note d'une page pour la direction, un dossier technique complet pour vos analystes et pour un expert, et une version destinée à un tiers d'où sont retirés les éléments d'architecture qui n'ont pas à sortir — et je vous dis lesquels j'ai retirés et pourquoi.
Le temps que ça change : une notification réglementaire se prépare en heures, pas en jours. Ce dossier est complet et daté avant que la question ne se pose ; votre conseil décide de ce qui doit être notifié, et il décide sur un dossier fini. La constitution du dossier passe de 30 % à 4 % du temps d'investigation, et elle ne dépend plus de la mémoire de celui qui était de garde. dossier-investigation_trois-versions.pdf1 615 fichiers identifiés, empreintes conservées
⛓ Sourcé · copies de journaux scellées, journal des mandats, inventaire des fichiers lus, empreintes
Et pour que ça ne recommence pas ?
Cinq causes racines, chacune avec son correctif chiffré et l'effet qu'il aurait eu sur douze mois de vos journaux. Trois d'entre elles suppriment 61 % des alertes de cette famille.
· Les comptes de service ne sont pas restreints à leurs machines. Correctif : la liste par compte, 7 comptes, 30 minutes de fenêtre. Effet mesuré sur 12 mois : la séquence de ce matin devient impossible, et 6 déclenchements historiques sur 6 auraient été bloqués à l'authentification.
· Trois postes de la comptabilité portent des droits qui datent d'un projet clos en 2023. Correctif : retrait, 12 minutes, aucun effet sur l'usage constaté depuis 90 jours.
· Les journaux locaux des postes ne sont pas collectés. Correctif : collecte en lecture seule sur 14 postes. Effet : les 4 investigations de l'année qui sont restées incomplètes auraient toutes été closes.
· Trois règles de détection produisent 44 % du bruit et aucune confirmation. Correctif : les quatre règles resserrées que vous avez signées. Effet déjà constaté : 620 alertes de moins par semaine.
· Le calendrier de changement n'est pas rapproché des alertes. Correctif : je le lis désormais avant de qualifier. Effet : 2 signaux de haut niveau évités en trois mois.
Le plan de durcissement que je vous propose, en trois vagues :
· Vague 1, cette semaine — les deux correctifs sans effet sur la production. 16 minutes cumulées.
· Vague 2, à la prochaine fenêtre — les listes de comptes de service. 30 minutes, dossier de demande écrit.
· Vague 3, sur le mois — la collecte des postes, par lots de 5.
Et je mesure l'effet de chaque vague sur les alertes réelles, semaine par semaine, pour que le durcissement se juge sur des chiffres et non sur une impression. plan-de-durcissement_5-causes.pdf3 correctifs = 61 % d'alertes en moins sur la famille
⛓ Sourcé · 12 mois de journaux archivés, inventaire des droits, historique des investigations
· Les comptes de service ne sont pas restreints à leurs machines. Correctif : la liste par compte, 7 comptes, 30 minutes de fenêtre. Effet mesuré sur 12 mois : la séquence de ce matin devient impossible, et 6 déclenchements historiques sur 6 auraient été bloqués à l'authentification.
· Trois postes de la comptabilité portent des droits qui datent d'un projet clos en 2023. Correctif : retrait, 12 minutes, aucun effet sur l'usage constaté depuis 90 jours.
· Les journaux locaux des postes ne sont pas collectés. Correctif : collecte en lecture seule sur 14 postes. Effet : les 4 investigations de l'année qui sont restées incomplètes auraient toutes été closes.
· Trois règles de détection produisent 44 % du bruit et aucune confirmation. Correctif : les quatre règles resserrées que vous avez signées. Effet déjà constaté : 620 alertes de moins par semaine.
· Le calendrier de changement n'est pas rapproché des alertes. Correctif : je le lis désormais avant de qualifier. Effet : 2 signaux de haut niveau évités en trois mois.
Le plan de durcissement que je vous propose, en trois vagues :
· Vague 1, cette semaine — les deux correctifs sans effet sur la production. 16 minutes cumulées.
· Vague 2, à la prochaine fenêtre — les listes de comptes de service. 30 minutes, dossier de demande écrit.
· Vague 3, sur le mois — la collecte des postes, par lots de 5.
Et je mesure l'effet de chaque vague sur les alertes réelles, semaine par semaine, pour que le durcissement se juge sur des chiffres et non sur une impression. plan-de-durcissement_5-causes.pdf3 correctifs = 61 % d'alertes en moins sur la famille
⛓ Sourcé · 12 mois de journaux archivés, inventaire des droits, historique des investigations
On a onze sources. Est-ce que c'est suffisant ?
Elles couvrent la majeure partie de votre système, et j'ai commencé par réparer ce qui était déjà cassé : deux de vos onze sources n'envoyaient plus rien.
Ce qui était en panne silencieuse, et que rien ne signalait :
· Le journal du pare-feu du site marchand n'envoyait plus depuis 23 jours, après une mise à jour. Vingt-trois jours sans visibilité sur le flux le plus exposé du groupe. Signalé, réparé, et je surveille désormais la fraîcheur de chaque source : une source qui se tait plus de 30 minutes déclenche une alerte, comme n'importe quel autre événement.
· Le journal d'un des deux entrepôts n'envoyait plus depuis 9 jours. Même traitement.
Les trois angles morts qui restent — une partie du système d'information dont aucun journal n'arrive — et ce que chacun coûte et rapporte :
· Les 84 caisses des magasins n'envoient rien depuis 14 mois, soit 22 % de votre parc. Elles portent le paiement en magasin. Ouvrir la collecte : +180 millions d'événements par mois, +310 € de stockage mensuel. Ce que ça apporte : sur les 3 incidents de l'année, 1 a mis 6 jours à être cerné faute de ces journaux.
· Le portail fournisseurs ne journalise pas ses authentifications. Ouvrir : +2 millions d'événements par mois, coût de stockage négligeable, une demi-journée de raccordement. Il donne accès à vos conditions d'achat : c'est le meilleur rapport entre l'effort et la portée.
· Le stockage bureautique ne journalise pas les accès en lecture. C'est précisément ce qui a manqué ce matin sur les 1 615 fichiers — je les ai identifiés par le journal du serveur, et ce chemin ne fonctionne pas partout. Ouvrir : +40 millions d'événements par mois, 90 € de stockage.
Ce que je vous propose : je vous chiffre l'effet de chaque ouverture sur le volume d'alertes avant que vous ne décidiez — pour que personne ne découvre le bruit après l'avoir branché. couverture-des-sources_3-angles-morts.pdf2 sources réparées, 22 % du parc à ouvrir
⛓ Sourcé · inventaire des 11 sources, fraîcheur des flux, historique des 3 incidents de l'année
Ce qui était en panne silencieuse, et que rien ne signalait :
· Le journal du pare-feu du site marchand n'envoyait plus depuis 23 jours, après une mise à jour. Vingt-trois jours sans visibilité sur le flux le plus exposé du groupe. Signalé, réparé, et je surveille désormais la fraîcheur de chaque source : une source qui se tait plus de 30 minutes déclenche une alerte, comme n'importe quel autre événement.
· Le journal d'un des deux entrepôts n'envoyait plus depuis 9 jours. Même traitement.
Les trois angles morts qui restent — une partie du système d'information dont aucun journal n'arrive — et ce que chacun coûte et rapporte :
· Les 84 caisses des magasins n'envoient rien depuis 14 mois, soit 22 % de votre parc. Elles portent le paiement en magasin. Ouvrir la collecte : +180 millions d'événements par mois, +310 € de stockage mensuel. Ce que ça apporte : sur les 3 incidents de l'année, 1 a mis 6 jours à être cerné faute de ces journaux.
· Le portail fournisseurs ne journalise pas ses authentifications. Ouvrir : +2 millions d'événements par mois, coût de stockage négligeable, une demi-journée de raccordement. Il donne accès à vos conditions d'achat : c'est le meilleur rapport entre l'effort et la portée.
· Le stockage bureautique ne journalise pas les accès en lecture. C'est précisément ce qui a manqué ce matin sur les 1 615 fichiers — je les ai identifiés par le journal du serveur, et ce chemin ne fonctionne pas partout. Ouvrir : +40 millions d'événements par mois, 90 € de stockage.
Ce que je vous propose : je vous chiffre l'effet de chaque ouverture sur le volume d'alertes avant que vous ne décidiez — pour que personne ne découvre le bruit après l'avoir branché. couverture-des-sources_3-angles-morts.pdf2 sources réparées, 22 % du parc à ouvrir
⛓ Sourcé · inventaire des 11 sources, fraîcheur des flux, historique des 3 incidents de l'année
Justement : plus de sources, plus de bruit. C'est ce qui nous a fait renoncer la dernière fois.
Je l'ai simulé sur trente jours de vos archives avant de vous le proposer, et le résultat est l'inverse de ce que vous craignez : six alertes par semaine, dont quatre auraient été confirmées.
La simulation, telle que je l'ai menée : j'ai récupéré 30 jours de journaux de caisses conservés localement dans deux magasins pilotes, je les ai passés dans le tri, et j'ai extrapolé aux 84.
· Sans règle adaptée : +40 alertes brutes par semaine. C'est le chiffre qui vous a fait renoncer, et il est exact.
· Avec les 3 règles que j'ai écrites pour cette source : 6 alertes par semaine, dont 4 correspondent à des situations que vos analystes auraient voulu connaître — deux ouvertures de session administrateur en caisse hors intervention planifiée, et deux lecteurs de carte remplacés hors procédure.
· Les 34 autres sont absorbées par le tri, chacune avec son motif consultable.
Le rapport, en clair : +180 millions d'événements par mois pour 6 alertes hebdomadaires. Le volume n'atteint jamais vos analystes ; il atteint la corrélation, et la corrélation est ce que je fais.
Et le bénéfice se mesure ailleurs que dans les alertes : ces journaux sont ce qui établit un périmètre en heures plutôt qu'en jours. L'incident qui a mis 6 jours à être cerné cette année en aurait mis moins d'un.
Ce que je vous propose : ouvrir deux magasins pendant trois semaines, mesurer les alertes réelles, et décider les 82 autres sur ce que vous aurez constaté chez vous. Le coût de cet essai est de 8 € de stockage.
La simulation, telle que je l'ai menée : j'ai récupéré 30 jours de journaux de caisses conservés localement dans deux magasins pilotes, je les ai passés dans le tri, et j'ai extrapolé aux 84.
· Sans règle adaptée : +40 alertes brutes par semaine. C'est le chiffre qui vous a fait renoncer, et il est exact.
· Avec les 3 règles que j'ai écrites pour cette source : 6 alertes par semaine, dont 4 correspondent à des situations que vos analystes auraient voulu connaître — deux ouvertures de session administrateur en caisse hors intervention planifiée, et deux lecteurs de carte remplacés hors procédure.
· Les 34 autres sont absorbées par le tri, chacune avec son motif consultable.
Le rapport, en clair : +180 millions d'événements par mois pour 6 alertes hebdomadaires. Le volume n'atteint jamais vos analystes ; il atteint la corrélation, et la corrélation est ce que je fais.
Et le bénéfice se mesure ailleurs que dans les alertes : ces journaux sont ce qui établit un périmètre en heures plutôt qu'en jours. L'incident qui a mis 6 jours à être cerné cette année en aurait mis moins d'un.
Ce que je vous propose : ouvrir deux magasins pendant trois semaines, mesurer les alertes réelles, et décider les 82 autres sur ce que vous aurez constaté chez vous. Le coût de cet essai est de 8 € de stockage.
D'accord. Par quoi on commence ?
Par le portail fournisseurs cette semaine, les deux magasins pilotes la suivante, le stockage bureautique dans la foulée. L'ordre est chiffré, et le mandat de collecte est écrit.
L'ordre proposé, et le calcul qui le justifie :
· 1. Portail fournisseurs — une demi-journée de raccordement, coût de stockage négligeable, et il couvre l'accès à vos conditions d'achat. Meilleur rapport portée sur effort des trois.
· 2. Deux magasins pilotes — 8 € sur trois semaines, décision sur les 82 autres prise sur vos propres chiffres.
· 3. Stockage bureautique — 90 € par mois, et il ferme l'angle qui a manqué ce matin.
Le mandat de collecte que je vous propose, écrit, plafonné, daté :
· Objet : lire les journaux des sources listées, et rien d'autre. Aucun accès au contenu métier, aucune écriture sur les systèmes.
· Périmètre : les sources nommément désignées, ajoutées une par une et jamais par famille.
· Durée : trois semaines pour les pilotes, reconduites d'un mot au vu des chiffres.
· Retrait : d'un mot, à tout instant — la collecte s'arrête, les archives restent à vous.
· Trace : chaque source activée est journalisée avec la signature qui l'a couverte.
Ce que ça vous rend au bout de trois semaines : un chiffre à vous, mesuré chez vous, sur lequel arbitrer les 82 magasins restants. Vous signez, la première source est en collecte cet après-midi. plan-de-couverture_ordre-et-mandat.pdf3 ouvertures chiffrées, essai à 8 €
✎ Cadre · simulation sur 30 jours d'archives, coûts de stockage, paramètres de mandat de collecte
L'ordre proposé, et le calcul qui le justifie :
· 1. Portail fournisseurs — une demi-journée de raccordement, coût de stockage négligeable, et il couvre l'accès à vos conditions d'achat. Meilleur rapport portée sur effort des trois.
· 2. Deux magasins pilotes — 8 € sur trois semaines, décision sur les 82 autres prise sur vos propres chiffres.
· 3. Stockage bureautique — 90 € par mois, et il ferme l'angle qui a manqué ce matin.
Le mandat de collecte que je vous propose, écrit, plafonné, daté :
· Objet : lire les journaux des sources listées, et rien d'autre. Aucun accès au contenu métier, aucune écriture sur les systèmes.
· Périmètre : les sources nommément désignées, ajoutées une par une et jamais par famille.
· Durée : trois semaines pour les pilotes, reconduites d'un mot au vu des chiffres.
· Retrait : d'un mot, à tout instant — la collecte s'arrête, les archives restent à vous.
· Trace : chaque source activée est journalisée avec la signature qui l'a couverte.
Ce que ça vous rend au bout de trois semaines : un chiffre à vous, mesuré chez vous, sur lequel arbitrer les 82 magasins restants. Vous signez, la première source est en collecte cet après-midi. plan-de-couverture_ordre-et-mandat.pdf3 ouvertures chiffrées, essai à 8 €
✎ Cadre · simulation sur 30 jours d'archives, coûts de stockage, paramètres de mandat de collecte
Trois mois. Où en est-on, chiffres à l'appui ?
Les 1 400 alertes hebdomadaires sont toutes passées au crible, et vos trois analystes instruisent ce qui le mérite au lieu d'en choisir 41 au hasard du lundi.
Ce qui a bougé, poste par poste :
· Corrélation des événements : 65 % → 7 % du temps d'instruction.
· Qualification d'une alerte : 40 % → 6 %.
· Constitution du dossier d'investigation : 30 % → 4 %.
· Délai moyen entre l'arrivée d'une alerte et sa qualification : 4 h 10 → 6 minutes.
· Alertes reçues : 1 400 → 640 par semaine, après les quatre règles resserrées — et les 640 restantes sont toutes qualifiées.
Ce que ça a donné en sécurité, et c'est le seul chiffre qui compte vraiment : 2 incidents réels détectés sur le trimestre, dont un qualifié en 11 minutes et confiné dans les vingt suivantes. Le précédent incident de même nature, l'an dernier, avait été découvert au bout de 6 jours.
Où est parti le temps rendu : +62 % d'heures d'analyste sur le durcissement et la revue de règles, d'après vos propres relevés d'activité. C'est le travail qui fait baisser le nombre d'incidents, et personne n'avait le temps de le faire.
Le chiffre qui ne me flatte pas : sur 47 signaux qualifiés « à instruire » en trois mois, 2 se sont révélés sans objet — 6 heures d'analyste employées à examiner ce qui n'était pas un incident.
La cause est nette : les deux venaient de ma règle sur les volumes d'export, déclenchée par une migration de données planifiée mais non déclarée dans le calendrier de changement. Ce n'est pas la règle qui était mauvaise, c'est l'information qui lui manquait.
La correction est faite et mesurée : je lis désormais le calendrier de changement et les fenêtres de migration déclarées par la production avant de qualifier, et j'ai obtenu que les migrations y soient inscrites — 11 l'ont été depuis. Sur les six dernières semaines : 0 signal de ce type. Une règle se juge à sa précision et au recul dont on dispose : celle-ci a six semaines de recul, et je vous en redonne la mesure au trimestre. bilan-trimestre_1400-alertes-triees.pdfQualification en 6 min, 1 incident cerné en 11 min
⛓ Sourcé · SIEM, journal des qualifications, relevés d'activité des analystes, calendrier de changement
Ce qui a bougé, poste par poste :
· Corrélation des événements : 65 % → 7 % du temps d'instruction.
· Qualification d'une alerte : 40 % → 6 %.
· Constitution du dossier d'investigation : 30 % → 4 %.
· Délai moyen entre l'arrivée d'une alerte et sa qualification : 4 h 10 → 6 minutes.
· Alertes reçues : 1 400 → 640 par semaine, après les quatre règles resserrées — et les 640 restantes sont toutes qualifiées.
Ce que ça a donné en sécurité, et c'est le seul chiffre qui compte vraiment : 2 incidents réels détectés sur le trimestre, dont un qualifié en 11 minutes et confiné dans les vingt suivantes. Le précédent incident de même nature, l'an dernier, avait été découvert au bout de 6 jours.
Où est parti le temps rendu : +62 % d'heures d'analyste sur le durcissement et la revue de règles, d'après vos propres relevés d'activité. C'est le travail qui fait baisser le nombre d'incidents, et personne n'avait le temps de le faire.
Le chiffre qui ne me flatte pas : sur 47 signaux qualifiés « à instruire » en trois mois, 2 se sont révélés sans objet — 6 heures d'analyste employées à examiner ce qui n'était pas un incident.
La cause est nette : les deux venaient de ma règle sur les volumes d'export, déclenchée par une migration de données planifiée mais non déclarée dans le calendrier de changement. Ce n'est pas la règle qui était mauvaise, c'est l'information qui lui manquait.
La correction est faite et mesurée : je lis désormais le calendrier de changement et les fenêtres de migration déclarées par la production avant de qualifier, et j'ai obtenu que les migrations y soient inscrites — 11 l'ont été depuis. Sur les six dernières semaines : 0 signal de ce type. Une règle se juge à sa précision et au recul dont on dispose : celle-ci a six semaines de recul, et je vous en redonne la mesure au trimestre. bilan-trimestre_1400-alertes-triees.pdfQualification en 6 min, 1 incident cerné en 11 min
⛓ Sourcé · SIEM, journal des qualifications, relevés d'activité des analystes, calendrier de changement
Qu'est-ce que tu fais sans nous demander ?
Trois gestes, et aucun ne touche à votre production. Tout ce qui peut arrêter un service vit dans un mandat écrit, plafonné, daté, retirable d'un mot — et s'exécute en minutes une fois signé.
· Trier et qualifier les alertes, avec le motif écrit pour chacune, consultable et réversible. 8 320 alertes traitées ce trimestre.
· Enrichir un signal avant de vous le présenter : annuaire, tickets, calendrier de changement, comportement des 90 jours. C'est ce qui fait passer une qualification de 4 h 10 à 6 minutes.
· Figer une copie des journaux dès qu'un signal dépasse le seuil que vous avez fixé. Aucun effet sur la production, et cela conserve exactement ce qu'un confinement effacerait. 14 copies scellées ce trimestre, dont 2 ont servi.
Ce que les mandats ont couvert, et ce qu'ils ont coûté en temps :
· 11 mandats signés en trois mois : 3 confinements, 5 activations de collecte, 3 remédiations touchant un service.
· Délai médian entre la signature et l'exécution : 4 minutes.
· 1 retour arrière exécuté, sur un confinement levé après vérification, en 80 secondes — c'est la preuve que la réversibilité fonctionne, et elle a été employée.
· 0 geste exécuté hors du périmètre d'un mandat, et le journal le montre ligne à ligne.
Ce que je vous propose d'ajouter, chiffré : un mandat permanent de confinement, plafonné à trois situations que vous décrivez vous-même — par exemple « un compte de service s'authentifie hors de sa liste de machines entre 22 h et 6 h ». Sur le trimestre, cela aurait fait gagner 34 minutes sur le seul incident nocturne, entre la détection et la signature du RSSI. Vous écrivez les trois situations, vous fixez la durée, et vous retirez le mandat d'un mot le jour où il ne vous convient plus. cadre-des-mandats_11-signes.pdf4 min de la signature à l'exécution, retour arrière en 80 s
✎ Cadre · journal des mandats, journal des qualifications, registre des copies scellées
· Trier et qualifier les alertes, avec le motif écrit pour chacune, consultable et réversible. 8 320 alertes traitées ce trimestre.
· Enrichir un signal avant de vous le présenter : annuaire, tickets, calendrier de changement, comportement des 90 jours. C'est ce qui fait passer une qualification de 4 h 10 à 6 minutes.
· Figer une copie des journaux dès qu'un signal dépasse le seuil que vous avez fixé. Aucun effet sur la production, et cela conserve exactement ce qu'un confinement effacerait. 14 copies scellées ce trimestre, dont 2 ont servi.
Ce que les mandats ont couvert, et ce qu'ils ont coûté en temps :
· 11 mandats signés en trois mois : 3 confinements, 5 activations de collecte, 3 remédiations touchant un service.
· Délai médian entre la signature et l'exécution : 4 minutes.
· 1 retour arrière exécuté, sur un confinement levé après vérification, en 80 secondes — c'est la preuve que la réversibilité fonctionne, et elle a été employée.
· 0 geste exécuté hors du périmètre d'un mandat, et le journal le montre ligne à ligne.
Ce que je vous propose d'ajouter, chiffré : un mandat permanent de confinement, plafonné à trois situations que vous décrivez vous-même — par exemple « un compte de service s'authentifie hors de sa liste de machines entre 22 h et 6 h ». Sur le trimestre, cela aurait fait gagner 34 minutes sur le seul incident nocturne, entre la détection et la signature du RSSI. Vous écrivez les trois situations, vous fixez la durée, et vous retirez le mandat d'un mot le jour où il ne vous convient plus. cadre-des-mandats_11-signes.pdf4 min de la signature à l'exécution, retour arrière en 80 s
✎ Cadre · journal des mandats, journal des qualifications, registre des copies scellées
Nos journaux techniques, eux, ils vont où ?
Ils restent chez vous. Je tourne en inférence locale sur une machine du groupe, et vos journaux ne traversent aucun réseau extérieur pour être analysés.
L'inférence locale, c'est le modèle qui calcule sur votre machine : une ligne de journal ne sort pas de votre réseau pour être lue. Si vous préférez ne pas héberger de machine, l'autre voie est une ressource isolée hébergée en France, sous droit français, dédiée à votre groupe — aucune mutualisation avec une autre entreprise.
Pourquoi c'est un sujet de sécurité et pas seulement de conformité : vos journaux dessinent la carte exacte de votre système d'information — noms de serveurs, comptes de service, plages d'adresses, horaires de sauvegarde, dépendances de production. C'est le document qu'un attaquant mettrait des mois à reconstituer, et vous l'avez déjà écrit. Il reste en France, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité, et il n'entraîne aucun modèle.
Ce que ça donne au quotidien : accès par rôle — les droits suivent la fonction : un analyste ouvre les journaux de son périmètre, pas la cartographie complète —, chiffrement en transit et au repos, copies scellées par empreinte, et un journal d'accès complet : qui a consulté quel journal, quand, et sur quelle fenêtre.
Et ce que ça vous rend commercialement, parce que ce n'est pas qu'un sujet interne : votre assureur cyber, vos deux plus gros donneurs d'ordre et votre prestataire de paiement posent la même question au renouvellement : où sont vos journaux et qui les lit. La réponse tient en une page, produite en quelques secondes, et elle porte le nom de chaque personne habilitée.
Et vous gardez la main d'où que vous soyez : tableau de bord web, et supervision depuis votre téléphone — vous signez un mandat de confinement ou vous le retirez en un message, à 4 h du matin comme à midi.
Le pas suivant que je vous propose : vos 11 sources sont couvertes et 3 ouvertures sont en cours. Vos deux entrepôts, eux, tournent sur des automates qui produisent des journaux que personne ne lit — 40 millions d'événements par mois déjà écrits sur disque. J'en ai lu 30 jours : 4 comportements y ressortent, dont 2 mériteraient une règle. Donnez-moi le mot et je vous rends l'analyse complète vendredi. cadre-technique_ou-vivent-vos-journaux.pdfInférence locale, accès par rôle, traitements dans l'UE visés
✎ Cadre · architecture de déploiement, matrice des accès par rôle, journal des consultations
L'inférence locale, c'est le modèle qui calcule sur votre machine : une ligne de journal ne sort pas de votre réseau pour être lue. Si vous préférez ne pas héberger de machine, l'autre voie est une ressource isolée hébergée en France, sous droit français, dédiée à votre groupe — aucune mutualisation avec une autre entreprise.
Pourquoi c'est un sujet de sécurité et pas seulement de conformité : vos journaux dessinent la carte exacte de votre système d'information — noms de serveurs, comptes de service, plages d'adresses, horaires de sauvegarde, dépendances de production. C'est le document qu'un attaquant mettrait des mois à reconstituer, et vous l'avez déjà écrit. Il reste en France, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité, et il n'entraîne aucun modèle.
Ce que ça donne au quotidien : accès par rôle — les droits suivent la fonction : un analyste ouvre les journaux de son périmètre, pas la cartographie complète —, chiffrement en transit et au repos, copies scellées par empreinte, et un journal d'accès complet : qui a consulté quel journal, quand, et sur quelle fenêtre.
Et ce que ça vous rend commercialement, parce que ce n'est pas qu'un sujet interne : votre assureur cyber, vos deux plus gros donneurs d'ordre et votre prestataire de paiement posent la même question au renouvellement : où sont vos journaux et qui les lit. La réponse tient en une page, produite en quelques secondes, et elle porte le nom de chaque personne habilitée.
Et vous gardez la main d'où que vous soyez : tableau de bord web, et supervision depuis votre téléphone — vous signez un mandat de confinement ou vous le retirez en un message, à 4 h du matin comme à midi.
Le pas suivant que je vous propose : vos 11 sources sont couvertes et 3 ouvertures sont en cours. Vos deux entrepôts, eux, tournent sur des automates qui produisent des journaux que personne ne lit — 40 millions d'événements par mois déjà écrits sur disque. J'en ai lu 30 jours : 4 comportements y ressortent, dont 2 mériteraient une règle. Donnez-moi le mot et je vous rends l'analyse complète vendredi. cadre-technique_ou-vivent-vos-journaux.pdfInférence locale, accès par rôle, traitements dans l'UE visés
✎ Cadre · architecture de déploiement, matrice des accès par rôle, journal des consultations
« Chez nous », d'accord. Mais le socle lui-même, il repose sur quoi ?
Sur une IA souveraine, et je vous la donne poste par poste plutôt qu'en un mot.
· Où le calcul se fait : inférence locale sur une machine du groupe, hébergée en France et exploitée sous droit français. Vos 2,4 milliards d'événements mensuels ne traversent aucun réseau extérieur pour être analysés.
· Quel modèle : un modèle à poids ouverts, exécuté chez vous, dont la version est figée et datée. Une mise à jour de modèle est un changement documenté, pas une bascule silencieuse un mardi matin — pour une équipe sécurité, un comportement de détection qui change sans avis est un incident à lui seul.
· Ce qui remonte vers l'éditeur : rien de vos journaux. Ni échantillon, ni signature, ni statistique tirée de vos événements.
· Qui lit quoi : accès par rôle, tracé ligne à ligne, retirable d'un mot avec effet au traitement suivant. Vos trois analystes et votre RSSI ne voient pas la même chose, et le journal dit qui a vu quoi et quand.
· Ce que vous emportez si vous partez : vos règles de détection, vos corrélations, l'historique des qualifications et les dossiers de preuve, dans des formats ouverts. Une dépendance qu'on ne peut pas quitter n'est pas de la souveraineté, c'est une captivité polie.
· La limite, et je la dis parce qu'elle est le pendant honnête du reste : l'architecture est conçue pour réduire l'exposition aux législations extraterritoriales — la localisation ne garantit pas à elle seule l'immunité, et une machine hébergée en France exploitée par un tiers sous droit étranger ne vous protégerait pas davantage. Ce qui protège, c'est le cumul : lieu, droit applicable, exploitant, et le fait que rien ne sorte.
Ce que ça vous coûte en performance, mesuré chez vous : la qualification d'une alerte prend 6 minutes en local contre 4 minutes sur une ressource distante mutualisée. Deux minutes par alerte, pour des journaux qui ne quittent jamais vos murs — c'est l'arbitrage, et il vous appartient.
✎ Cadre · le socle souverain, poste par poste
· Où le calcul se fait : inférence locale sur une machine du groupe, hébergée en France et exploitée sous droit français. Vos 2,4 milliards d'événements mensuels ne traversent aucun réseau extérieur pour être analysés.
· Quel modèle : un modèle à poids ouverts, exécuté chez vous, dont la version est figée et datée. Une mise à jour de modèle est un changement documenté, pas une bascule silencieuse un mardi matin — pour une équipe sécurité, un comportement de détection qui change sans avis est un incident à lui seul.
· Ce qui remonte vers l'éditeur : rien de vos journaux. Ni échantillon, ni signature, ni statistique tirée de vos événements.
· Qui lit quoi : accès par rôle, tracé ligne à ligne, retirable d'un mot avec effet au traitement suivant. Vos trois analystes et votre RSSI ne voient pas la même chose, et le journal dit qui a vu quoi et quand.
· Ce que vous emportez si vous partez : vos règles de détection, vos corrélations, l'historique des qualifications et les dossiers de preuve, dans des formats ouverts. Une dépendance qu'on ne peut pas quitter n'est pas de la souveraineté, c'est une captivité polie.
· La limite, et je la dis parce qu'elle est le pendant honnête du reste : l'architecture est conçue pour réduire l'exposition aux législations extraterritoriales — la localisation ne garantit pas à elle seule l'immunité, et une machine hébergée en France exploitée par un tiers sous droit étranger ne vous protégerait pas davantage. Ce qui protège, c'est le cumul : lieu, droit applicable, exploitant, et le fait que rien ne sorte.
Ce que ça vous coûte en performance, mesuré chez vous : la qualification d'une alerte prend 6 minutes en local contre 4 minutes sur une ressource distante mutualisée. Deux minutes par alerte, pour des journaux qui ne quittent jamais vos murs — c'est l'arbitrage, et il vous appartient.
✎ Cadre · le socle souverain, poste par poste
Inférence locale · traitements dans l'UE visés
Votre cas n'est pas ici ? C'est exactement ce dont on parle en 15 minutes. Réserver l'audit gratuit →
Cas d'usage
Que fait l'agent concrètement ?
Un agent, plusieurs étapes de la supervision. Tous ces usages fonctionnent en appui, sous votre validation.
Inclus dans votre agent
Les 4 capacités essentielles à cette promesse sont comprises, sans surcoût.
À partir de 601 € HT / mois
Corrélation d'événements
Réunit les événements liés d'un même compte ou d'une même plage horaire.
Qualification des alertes
Applique vos règles de détection et présente le résultat obtenu.
Documentation d'investigation
Conserve la chaîne d'événements et les horodatages de chaque signal.
IA souveraine
Le socle d'hébergement et de confidentialité sur lequel repose l'agent.
Contrôles et garanties
Ces 5 contrôles sont intégrés à l'agent : ils encadrent ce qu'il fait, quelle que soit la formule retenue. Ils ne se choisissent pas et ne s'ajoutent pas à votre commande.
Validation humaine, exceptions et escalade
Statut, clôture sûre et traçabilité
Accéder au contexte technique avec permissions minimales
Exécuter tests, analyse de sécurité et revue humaine avant changement
Versionner, journaliser, revenir en arrière et mesurer la qualité
Besoin d'aller plus loin ?
Ces agents traitent un autre processus métier, avec leur propre responsable et leur propre tarif. Ils s'ajoutent à celui-ci.
Votre besoin sort du cadre ?
Réserver l'audit gratuit →
Composer votre agent
En 15 minutes, nous identifions l'agent le plus pertinent — sans surdimensionner le projet.
Le gain
Combien d'alertes une équipe peut-elle instruire ?
En prenant en charge la corrélation, on déplace l'effort vers l'investigation et la remédiation. L'ampleur du gain dépend de votre volume et reste à confirmer par un pilote.
Corrélation des événements
Qualification d'une alerte
Constitution du dossier d'investigation
Repères illustratifs, non contractuels, à confirmer par un pilote sur le volume de journaux et le nombre de sources. Isoler un compte, couper un accès ou déclencher une procédure d'incident porte à conséquence sur l'activité : ces décisions appartiennent à votre équipe sécurité.
Comment ça se passe
Les étapes de votre projet d'agent IA
1
Audit & cadrage
15 min pour cibler le cas d'usage le plus rentable.
2
Devis ou souscription directe
Une offre du catalogue se souscrit en ligne ; un besoin particulier reçoit un devis chiffré.
3
Conception
Nous concevons l'agent et ses garde-fous.
4
Intégration & tests
Nous raccordons vos outils à l'agent, lui-même hébergé en France.
5
Déploiement
Mise en service et formation de votre équipe.
6
Exploitation
Supervision continue et amélioration.
Tarifs
Une formule, un seul agent
Un agent de supervision de sécurité (corrélation, qualification, documentation), installé et exploité pour vous. Tarifs HT — abonnement annuel, le temps que les gains s'installent durablement.
Agilité
Installation + abonnement maîtrisé
6 545 € HT de mise en service
puis 601 € HT/mois — vous investissez à l'installation et payez un abonnement réduit. Idéal pour maîtriser le coût dans la durée.
- Installation, paramétrage et formation de vos équipes
- Exploitation, supervision humaine, mises à jour et support
- Hébergement souverain en France, ressource dédiée et isolée
Le plus simple
Sérénité
Tout inclus, sans frais d'installation
961 € HT /mois
tout compris, démarrage immédiat. Aucun investissement de départ : un abonnement unique. Idéal pour démarrer vite, en toute simplicité.
- Mise en service incluse (installation, paramétrage, formation)
- Exploitation, supervision humaine, mises à jour et support
- Hébergement souverain en France, géré de bout en bout
100 % Souverain
Sur site, vous êtes propriétaire
10 370 € HT de mise en service
puis 816 € HT/mois · + matériel dès 1 058 € (achat unique, en sus) — ordinateur souverain installé chez vous, maintenu à distance. Modèles en local, vos données restituées à la fin du contrat. Engagement 36 mois.
- Matériel installé dans vos locaux (vous en êtes propriétaire)
- Modèles IA français / européens exécutés en local
- Maintenance à distance sécurisée (Suivi Pro inclus)
Non inclus dans les formules : la consommation d'IA (jetons « tokens » des modèles), refacturée au coût réel, sans marge, et suivie en temps réel dans votre espace client. Abonnement de maintenance et de supervision sur une durée initiale de 12 mois pour la formule Agilité, de 24 mois pour la formule Sérénité et de 36 mois pour la formule 100 % Souverain, renouvelable ; niveaux de Suivi (SLA 72 h / 24 h / 4 h) en option. Les développements sur-mesure, intégrations supplémentaires ou volumétries exceptionnelles font l'objet d'un devis. Support du lundi au vendredi, de 9h à 18h. Tarifs hors taxes (HT).
Modèle d'IA :
aucun des modèles d'IA proposés n'entraîne aujourd'hui de supplément fixe. Lorsque le modèle retenu entraîne un coût, ce coût est indiqué au moment du choix, avant la commande, et refacturé au coût constaté, sans marge ; la consommation est facturée au prix de l'éditeur. Les prix des éditeurs sont publiés en dollars américains : le montant refacturé est le montant en euros effectivement supporté par Blue Lemon Agent sur la facture de l'éditeur, au taux de cette facture, sans commission ni majoration.
Composants inclus et composants complémentaires Composants inclus dans l'offre de base : le socle logiciel Blue Lemon Agent, les modèles d'IA de la liste du tunnel de commande, les canaux standards (Microsoft Teams, Slack, WhatsApp Business, courriel, chat du site, agendas, Microsoft 365 / Google Workspace, stockage de fichiers, téléphonie sur IP du marché, pages et comptes professionnels des réseaux sociaux, fiche d'établissement Google), l'hébergement en France de la formule choisie, les sauvegardes, la supervision, les mises à jour et le support. Si l'adaptation de l'agent IA à vos contraintes, à vos besoins ou à vos demandes exige la mise en place d'autres composants payants — licence logicielle d'un éditeur tiers, accès API payant à l'un de vos logiciels, hébergement de données de santé, qui impose en France un hébergeur certifié HDS (art. L. 1111-8 du Code de la santé publique), hébergement qualifié SecNumCloud, service de synthèse vocale, matériel particulier —, ils vous sont proposés en option ou sur devis et refacturés au coût constaté ; rien n'est engagé sans votre accord écrit. Lorsque le modèle d'intelligence artificielle que vous retenez entraîne un coût supplémentaire, ce coût vous est indiqué avant votre commande et vous est refacturé au coût constaté, sans marge.
Ce que vous pouvez attendre
Mise en service
2 à 3 semaines
Agent conçu, canaux raccordés, équipe formée.
Régime nominal
4 à 7 semaines
Après quelques semaines d'usage réel, le temps que le comportement de l'agent soit ajusté à ce que vous attendez.
Estimation indicative, ajustée selon les options que vous retenez. Elle n'est pas un engagement de délai.
Notre engagement
Quatre garanties qui comptent pour votre sécurité
Vos journaux techniques restent chez vousInférence locale ou ressource isolée hébergée en France ; aucun journal confié à un tiers, aucune donnée utilisée pour entraîner un modèle.
Données en France, sous droit françaisVos journaux techniques et votre cartographie de sécurité : minimisation et localisation en France, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité.
Votre équipe sécurité garde la décisionL'agent produit des alertes qualifiées et documentées, vérifiable et modifiable ; aucune validation n'est automatisée.
Supervision humaine & traçabilitéSur le volume de journaux et le nombre de sources : journalisation et suivi systématiques, conformes à l'AI Act.
Aller plus loin
Ressources liées
Questions fréquentes
Vos questions, nos réponses
L'agent applique-t-il des mesures de remédiation ?
Non. Il corrèle, qualifie et documente. Isoler un compte ou couper un accès porte à conséquence sur l'activité : ces gestes appartiennent à votre équipe sécurité.
Sur quoi repose la qualification ?
Sur vos règles de détection, appliquées telles quelles. Le résultat est présenté avec la chaîne d'événements qui l'a produit.
À quelles sources se raccorde-t-il ?
À votre SIEM et aux sources de journaux que vous lui ouvrez, en lecture. Le périmètre est arrêté lors de la conception.
Les signaux sont-ils exploitables en investigation ?
Oui : événements corrélés et horodatages sont conservés pour chaque signal, ce qui permet de reconstituer la séquence a posteriori.
Nos journaux sont-ils protégés ?
Oui. L'agent est hébergé en France, en inférence locale ou en ressource isolée, avec pour objectif de déploiement des traitements et des accès opérés dans l'Union européenne et une architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité. Vos journaux ne servent pas à entraîner un modèle tiers.
Combien de temps pour déployer cet agent ?
Quelques mois en général, selon le volume de journaux, le nombre de sources et vos règles de détection, après un audit gratuit puis des phases de conception, d'intégration et de tests.
Cas d'usage liés
D'autres agents pour l'informatique
Parlons-en
Estimons le potentiel sur votre supervision de sécurité
15 minutes pour cadrer vos sources et vos règles de détection — hébergé en France, supervisé, sans engagement.