Éléments de preuve : Trois anecdotes

L’analyse de risques d’une base de données (Sopra Steria)

Dans le cadre de l’analyse des risques d’un client stratégique, nous avons audité une base de données critique, hautement sollicitée (24/7) et requise par de multiples services. Au lieu de me contenter d’un constat de type « mauvaise configuration » dans le rapport, j’ai approfondi l’analyse en consultant la documentation technique du fournisseur. En effet, une véritable vulnérabilité trouve souvent sa remédiation dans la documentation officielle.

J’ai ainsi identifié une vulnérabilité de concurrence de traitement (race condition) : en cas de modifications simultanées d’une même donnée par deux processus distincts, la base pouvait générer des états incohérents. Il ne s’agissait pas d’une menace théorique, l’architecture du client rendait ce scénario hautement probable. La solution ? La mise en place d’un système de versionnage interne des données (chaque modification générant une nouvelle version avec un horodatage et une empreinte cryptographique). La solution était documentée par le fournisseur, mais le client l’ignorait.

Résultat : Au lieu d’identifier une simple faille, nous avons préconisé une solution technique immédiate que le client a implémentée, neutralisant définitivement le risque.

Ma valeur ajoutée : L’investigation au-delà du simple symptôme pour apporter une solution technique concrète et opérationnelle. [Lire la réalisation complète : Sopra Steria]

La roadmap post-quantique (Sopra Steria)

Toujours pour ce client stratégique, nous devions évaluer les risques actuels (communications non chiffrées, absence d’authentification multifacteur).

Cependant, j’ai soulevé une problématique que personne n’abordait : « Face à l’émergence de l’informatique quantique d’ici 10 à 15 ans, quelle est la viabilité de votre chiffrement actuel (RSA-2048) ? »

Plutôt que d’inscrire ce point comme un simple « risque futur à surveiller », nous avons élaboré une stratégie de transition complète. :

• Phase 1 (2026) : Audit des algos crypto actuels
• Phase 2 (2026-2027) : Migration des données les plus sensibles vers post-quantum (Kyber, Dilithium)
• Phase 3 (2027-2028) : Étendre à toute l’infra critique
• Phase 4 (2028+) : Évaluer l’évolution des standards

Résultat : Le client a validé cette approche non par simple attrait pour la nouveauté technologique, mais parce qu’elle constituait une vision stratégique à long terme. Il dispose désormais d’une feuille de route structurée et non d’une simple liste de correctifs.

Ma valeur ajoutée : La capacité d’anticipation des menaces futures plutôt que le traitement exclusif des vulnérabilités immédiates. [Lire la réalisation complète : Sopra Steria]

L’animation d’ateliers EBIOS RM (Sopra Steria)

J’animais des ateliers d’analyse EBIOS RM face à des clients souvent réfractaires à l’idée d’exposer les vulnérabilités de leur propre système. Le défi consistait à formuler un constat lucide sans générer de panique. Un discours alarmiste provoque le rejet, tandis qu’une minimisation des enjeux altère la crédibilité de l’audit.

J’ai appris à formuler un discours méthodique : « Voici les risques évalués, voici notre catégorisation (critique/fort/moyen/faible), et voici un plan de remédiation réaliste. » En structurant ainsi l’analyse, l’anxiété du client se dissipe, car au lieu d’un simple constat d’échec, nous proposions une voie d’amélioration claire.

Résultat : Les clients ont appliqué l’intégralité de nos préconisations, y compris celles impliquant des investissements lourds, car ils comprenaient les tenants et les aboutissants de la démarche.

Ma valeur ajoutée : Avoir transformé un sentiment d’anxiété en une dynamique de mobilisation et de confiance. [Lire la réalisation complète : Sopra Steria]