Sécurité offensive pour la logistique et la chaîne logistique.
La logistique fonctionne parce que les systèmes d'entreprises différentes se font confiance. C'est précisément cette confiance que nous testons, et ce qui arrive quand quelqu'un entre par elle.
Quand l'information devient vol de marchandise
Ici, l'information a une conséquence physique. Savoir ce qui se trouve dans quel véhicule, sur quel itinéraire et avec quelle prévision d'arrivée est un intrant direct pour le vol de marchandise. Et comme l'exploitation dépend d'échanges automatisés avec transporteurs, commissionnaires et clients, un grand nombre de portes doivent rester ouvertes aux partenaires.
- Les données d'itinéraire et de contenu ont une valeur opérationnelle pour le crime organisé.
- La chaîne implique des dizaines de partenaires à maturité de sécurité très inégale.
- Les interfaces d'échange automatisé ont été conçues pour fonctionner, pas pour se méfier.
- Une panne du système d'expédition interrompt la facturation et bloque la cour en quelques heures.
Ce que nous testons dans une exploitation logistique
Nous parcourons le chemin de la marchandise et celui de la donnée qui la décrit, de la commande à la livraison.
Interfaces d'intégration et EDI : authentification entre entreprises, validation d'origine et ce qu'un partenaire compromis pourrait faire chez vous.
Portail de suivi et API de position : énumération des numéros et exposition de l'itinéraire, du contenu et de la prévision de livraison.
Systèmes d'expédition et d'optimisation de tournées : autorisation par profil, changement de destination et intégrité de l'ordre de chargement.
Accès des chargeurs, conducteurs et transporteurs, y compris l'isolation entre entreprises partageant la même plateforme.
Flux d'émission et de consultation des documents, où la manipulation a un effet direct sur la marchandise et sur l'obligation fiscale.
Terminaux, ponts-bascules, contrôle d'accès et réseau sans fil d'exploitation : ce qu'atteint dans les systèmes centraux un accès obtenu en cour.
Risque opérationnel et obligation légale
Nous traduisons le constat technique dans les deux langages qui décident ici : perte d'exploitation et obligation contractuelle.
- RGPD
- Adresse de livraison, données du conducteur et historique du destinataire sont des données personnelles. Nous documentons l'exposition et le chemin de la violation.
- Exigence du chargeur
- Les clients industriels auditent la sécurité de leur prestataire logistique. La lettre d'attestation répond sans détail exploitable.
- Assurance marchandises
- Les assureurs évaluent le contrôle de l'information sensible lors de la tarification. La preuve de tests réguliers est un argument dans cette discussion.
- Intégrité documentaire
- Là où un document de transport peut être modifié, le problème cesse d'être technique et devient fiscal. Nous relevons la gravité de ce constat.
Comment nous opérons sans bloquer la cour
Fenêtre hors pic d'expédition
Les systèmes d'expédition ne sont testés activement que dans une fenêtre convenue avec l'exploitation, car un arrêt bloque cour et facturation en quelques heures.
Focalisation sur la frontière partenaires
Nous priorisons les interfaces d'intégration, en mesurant ce qu'atteindrait un partenaire compromis : le scénario le plus probable et le moins testé.
Énumération du suivi
Nous testons jusqu'où marchandise, itinéraire et contenu peuvent être découverts depuis l'extérieur, car cette exposition est l'intrant du vol ciblé.
Correction et contre-test
Nous priorisons ce qui expose la marchandise et les données d'itinéraire, accompagnons la correction et retestons avant la version finale.
Ce que vous recevez
- Rapport exécutif en risque opérationnel
- Rapport technique reproductible
- Analyse de la frontière partenaires
- Test d'énumération du suivi
- Notation CVSS justifiée
- Priorisation par exposition de la marchandise
- Contre-test des constats corrigés
- Lettre d'attestation pour les chargeurs
Questions fréquentes du secteur
Le test peut-il arrêter l'expédition ?
+
Non, et le calendrier existe pour l'éviter. Les systèmes d'expédition et de cour ne sont testés activement que dans une fenêtre convenue avec l'exploitation, avec limites de volume et canal ouvert pour interrompre en quelques secondes. Là où la criticité est trop élevée, nous travaillons sur réplique ou avec une activité non intrusive.
Testez-vous nos partenaires et transporteurs ?
+
Nous testons votre frontière avec eux, pas leur infrastructure : cela exigerait une autorisation propre de chaque entreprise. Ce que nous mesurons, c'est ce qu'un partenaire compromis pourrait faire chez vous : la portée de ces identifiants, ce que cette interface accepte et si l'origine est réellement vérifiée.
L'exposition des données de suivi est-elle vraiment un risque ?
+
C'est l'un des plus concrets du secteur. Quand il est possible d'énumérer les numéros et de découvrir itinéraire, contenu et prévision de livraison, cela cesse d'être de l'information et devient un intrant pour le vol ciblé. Nous testons cette énumération spécifiquement et la rapportons avec la gravité que l'impact physique justifie.
Le rapport satisfait-il l'audit d'un chargeur ou d'un assureur ?
+
Oui. La lettre d'attestation confirme périmètre, période et conclusion sans exposer de détail exploitable, format accepté dans les questionnaires fournisseurs. Pour l'assureur, le rapport exécutif en langage de risque opérationnel est généralement le document le plus utile lors de la discussion tarifaire.
Prestations appliquées à ce secteur
Prêt à découvrir vos failles ?
Premier appel de scoping gratuit et couvert par NDA. En 48 heures vous recevez proposition technique, portée et calendrier. Sans formulaires bureaucratiques.