Sécurité offensive pour l'éducation et le secteur public.
Établissements scolaires et administrations concentrent des données de citoyens, des budgets contraints et une technologie accumulée sur des décennies. Nous testons en gardant ces trois contraintes présentes à la fois.
La combinaison qui rend le secteur vulnérable
Le problème est rarement un manque de compétence technique : c'est l'accumulation. Systèmes hérités que personne ne peut éteindre, intégrations réalisées par des équipes précédentes, base d'utilisateurs qui grossit chaque année et périmètre sans propriétaire unique. L'attaquant n'a pas besoin d'un exploit sophistiqué : il doit trouver ce qui a été oublié.
- Les systèmes hérités restent en production parce qu'ils soutiennent encore un processus essentiel.
- La base d'utilisateurs est vaste, tournante et sur des appareils personnels non gérés.
- Les anciennes intégrations entre services créent une confiance implicite entre systèmes.
- Les données d'élèves et de citoyens comportent des catégories particulières avec obligation de protection.
Ce que nous testons dans ces environnements
Nous commençons par ce qui est exposé et oublié, puis progressons jusqu'où réside réellement la donnée personnelle.
Portails élève, agent et citoyen : connexion, fédération d'identité, récupération de mot de passe et autorisation entre profils distincts.
Inscription, notes, dossier et facturation. Nous vérifions si un profil peut lire ou modifier des enregistrements hors de sa compétence.
Sous-domaines actifs, environnements de recette exposés, applications métier et services ayant survécu à d'anciennes migrations.
Échanges entre services et avec des systèmes externes, y compris identifiants partagés et services qui font confiance à l'origine sans la valider.
Ce qu'atteint un accès obtenu en salle informatique, en bibliothèque ou sur le réseau administratif, et s'il existe une barrière réelle entre ces environnements.
Portails de données ouvertes et systèmes de publication : là où la diffusion a dépassé le nécessaire et est devenue exposition.
Des preuves pour les obligations du secteur
Le rapport est écrit pour instruire la procédure administrative et la reddition de comptes, pas seulement pour l'équipe technique.
- RGPD dans le secteur public
- Le droit s'applique à l'administration avec un régime propre. Nous documentons l'exposition des personnes concernées et la base légale affectée.
- Données de mineurs
- Les établissements scolaires traitent des données de mineurs, catégorie à protection renforcée. Cela modifie la gravité attribuée à chaque constat.
- Référentiels de l'État
- Les systèmes publics répondent à un cadre propre de mesures et d'homologation. Nous rapportons de manière à ce que les constats s'y intègrent.
- Justification de la commande
- Le rapport fournit un diagnostic technique étayé, dans le format qui instruit habituellement la justification d'achat et la priorisation budgétaire.
Comment nous opérons sous contrainte budgétaire
Découverte avant le test
Dans ces environnements, la moitié de la valeur est de découvrir ce qui existe. Nous cartographions la surface réelle avant de décider où investir l'effort d'exploitation.
Priorité par donnée exposée
Avec un périmètre limité, nous attaquons d'abord ce qui mène à la donnée personnelle. La vulnérabilité sans chemin vers l'information sensible vient ensuite.
Prudence sur les systèmes hérités
Là où des systèmes sont sans support, nous évaluons exposition et segmentation sans interaction agressive, pour ne pas faire tomber un service difficilement restaurable.
Plan de correction par phases
La correction est répartie entre ce qui est faisable sans budget, ce qui exige un achat et ce qui dépend du remplacement d'un système.
Ce que vous recevez
- Rapport exécutif pour la direction
- Rapport technique reproductible
- Inventaire de la surface exposée
- Notation CVSS justifiée
- Cartographie de l'exposition des données personnelles
- Plan de correction par phases et coût
- Contre-test des constats corrigés
- Lettre d'attestation de la mission
Questions fréquentes du secteur
Pouvez-vous travailler avec un périmètre réduit pour raison budgétaire ?
+
Oui, et c'est le cas le plus fréquent ici. Nous investissons alors d'abord dans la découverte de surface, qui révèle souvent une exposition significative à faible coût, et concentrons l'exploitation sur les chemins menant à la donnée personnelle. Le rapport indique explicitement ce qui est resté hors périmètre, pour que la mission suivante démarre de là.
Les anciens systèmes qui ne doivent pas tomber sont-ils testés ?
+
Oui, avec un traitement propre. Un système sans support et sans plan de restauration ne reçoit pas de test actif agressif. Nous évaluons exposition, identifiants par défaut et segmentation, en mesurant ce qu'un attaquant atteindrait, sans provoquer d'indisponibilité.
Le rapport sert-il à justifier un achat ou un budget ?
+
C'est l'un des usages les plus fréquents. Le document apporte un diagnostic avec preuves reproductibles et un plan de correction séparé par effort et coût, ce qui soutient la priorisation budgétaire et aide à instruire la procédure, dans un langage lisible par la technique comme par la direction.
Comment traitez-vous les données d'élèves mineurs ?
+
Comme une catégorie à protection renforcée. Nous évitons d'accéder à des enregistrements réels dès que la démonstration est possible avec des données de test, masquons l'identification dans les preuves et relevons la gravité de tout constat exposant ce groupe, même si la faille technique serait jugée d'impact moyen.
Prestations appliquées à ce secteur
Prêt à découvrir vos failles ?
Premier appel de scoping gratuit et couvert par NDA. En 48 heures vous recevez proposition technique, portée et calendrier. Sans formulaires bureaucratiques.