Services
Cybersécurité IT et OT
Charte informatique, audit, pentest et sécurité industrielle. Nous vérifions vos accès, testons vos systèmes et contrôlons les corrections convenues.
PME et sites industriels · Suisse romande
Charte IT, tests ou plan de correction
Vanguard Systems intervient auprès des PME et des sites industriels en Suisse romande. Nous travaillons sur votre informatique de bureau (IT) et vos installations industrielles (OT), avec vos équipes ou votre prestataire informatique.
Vous pouvez nous confier une charte informatique, un pentest ou plusieurs étapes de correction. Nous choisissons les méthodes de test et planifions les changements avec les personnes qui exploitent les systèmes concernés.
Un état des lieux
Vous devez décider quoi corriger en premier.
Audit des systèmes convenus, synthèse pour la direction et plan d’action. La durée dépend du nombre de sites, des systèmes et de la documentation disponible.
Une mission ciblée
Vous avez un sujet précis à traiter.
Charte IT, pentest, revue Microsoft 365, accès fournisseurs ou essai de restauration. Le périmètre et les critères de vérification sont convenus avant le démarrage.
Des corrections par étapes
Plusieurs corrections doivent être coordonnées.
Nous planifions les corrections avec votre équipe informatique et l’exploitation, puis suivons leur réalisation. Chaque lot de travaux a son budget et son créneau d’intervention.
Nos prestations de cybersécurité
Audit et diagnostic de sécuritéVous voulez savoir ce qui est exposé, ce qui est déjà protégé et quelles corrections engager en premier.
- Inventaire des équipements, applications, données sensibles et prestataires.
- Revue des configurations, des accès, des sauvegardes et des services exposés à Internet.
- Priorisation selon les conséquences pour votre activité et les dépendances entre systèmes.
Ce que vous recevez
État des lieux, registre des risques et plan d’action avec priorités, responsables proposés et points restant à vérifier.
Charte IT et règles de sécuritéPrécisez ce que les collaborateurs peuvent faire avec leurs comptes, leurs appareils et les données de l’entreprise.
- Charte informatique : messagerie, mots de passe, télétravail, appareils personnels, outils cloud et usage de l’IA.
- Politique de sécurité (PSSI), classification des informations et règles de partage avec les tiers.
- Procédures d’arrivée et de départ, attribution des accès, signalement d’incident et revue des exceptions.
Ce que vous recevez
Documents éditables, matrice des responsabilités et support de présentation aux collaborateurs. Les clauses RH et juridiques sont soumises à vos responsables.
Comptes, postes et Microsoft 365Retirez les droits devenus inutiles et vérifiez la protection des comptes, des postes et des partages externes.
- Revue des comptes administrateurs, comptes partagés, comptes de service et droits devenus inutiles.
- Authentification multifacteur (MFA), procédures de récupération et accès conditionnels selon vos licences.
- Paramétrage des postes, mises à jour, chiffrement et contrôle des partages externes sur le périmètre retenu.
Ce que vous recevez
Matrice des droits, configurations documentées et contrôles d’accès rejouables, y compris pour le départ d’un collaborateur.
Pentest web, API et infrastructureVous souhaitez tester une application, un portail client ou un réseau avant une mise en service ou après une évolution.
- Tests externes ou internes, avec ou sans comptes de test, sur les domaines, applications et réseaux explicitement autorisés.
- Vérifications manuelles de l’authentification, des droits, des sessions et de l’isolation des données, complétées par des outils adaptés.
- Validation contrôlée des failles, signalement immédiat des constats critiques et contre-test des corrections convenues.
Ce que vous recevez
Synthèse pour la direction et rapport technique : systèmes testés, preuves limitées au nécessaire, impact des failles, correctifs et bilan du contre-test.
Réseaux industriels et accès distantsVérifiez qui peut accéder aux automates et aux postes de supervision, par quel chemin et pour quelle durée.
- Cartographie OT, analyse des flux et séparation des réseaux bureautiques, de production et de maintenance.
- Architecture en zones et conduits, filtrage des échanges et durcissement compatible avec les équipements en place.
- Accès fournisseurs nominatifs, durée d’accès limitée, journalisation et procédure de révocation.
Ce que vous recevez
Schémas réseau, matrice des flux, configurations et plan de changement avec essais et retour arrière. Les opérations sensibles sont prévues sur une fenêtre validée avec l’exploitation.
Sauvegardes et reprise d’activitéVous devez pouvoir retrouver vos données et redémarrer les services dont dépend votre activité.
- Revue des copies, de leur séparation, de leur rétention et des droits permettant de les modifier ou de les supprimer.
- Ordre de reprise, dépendances, durée d’arrêt acceptable et perte de données admissible définis avec les métiers.
- Essai de restauration sur un environnement isolé, puis vérification du service par son utilisateur métier.
Ce que vous recevez
Plan de reprise (PRA), fiches de restauration et compte rendu d’essai avec durées observées, écarts et actions restantes.
Préparation aux incidentsEn cas d’alerte, les équipes doivent savoir qui joindre, quoi préserver et qui décide des mesures d’urgence.
- Revue des journaux disponibles, des alertes utiles et des personnes chargées de les traiter.
- Fiches réflexes pour compte compromis, rançongiciel, fuite de données ou perte d’une supervision.
- Exercice sur table avec direction, IT et exploitation pour tester l’escalade et la coordination des prestataires.
Ce que vous recevez
Plan de réponse, annuaire de crise, règles de conservation des traces et compte rendu d’exercice. La mission couvre la préparation aux incidents ; la surveillance permanente et l’astreinte sont à organiser avec un prestataire dédié.
Sensibilisation et pratiques des équipesTravaillez avec vos équipes sur les demandes de paiement suspectes, les pièces jointes et le partage de documents.
- Ateliers sur les demandes de paiement, les pièces jointes, les partages de documents et les accès de télémaintenance.
- Exercices de signalement et vérification des consignes avec les personnes qui les utiliseront.
- Simulation de phishing uniquement si elle est prévue au mandat, avec règles, destinataires et restitution définis.
Ce que vous recevez
Supports réutilisables, consignes par rôle et actions d’amélioration. Les exercices servent à corriger les pratiques, sans classement public des collaborateurs.
Exemples d’intervention
Ces scénarios illustratifs décrivent les travaux proposés, les documents remis et les contrôles prévus. Ils ne correspondent pas à des missions clients réalisées et ne contiennent aucune donnée identifiable.
PME de servicesRédiger une charte IT à partir des usages de l’entrepriseLes collaborateurs utilisent messagerie, outils cloud et appareils personnels. Les consignes se transmettent oralement et le départ d’un employé n’entraîne pas toujours une revue des accès.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Recenser les usages avec la direction et l’IT, rédiger la charte, définir les règles de partage et formaliser l’arrivée, le changement de poste et le départ d’un collaborateur.
- Documents prévus
- Charte IT, procédure de gestion des comptes, matrice des responsabilités et support de présentation aux équipes.
- Vérification prévue
- Rejouer un départ fictif et une demande de partage externe pour vérifier que chaque action a un responsable et une trace.
Éditeur logiciel ou portail B2BTester un portail client avant sa mise en ligneUne application propose des comptes clients, des documents et une API. L’équipe veut vérifier les droits entre utilisateurs et entre entreprises avant d’ouvrir le service.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Définir les comptes et données de test, examiner les parcours de connexion et de récupération, puis tester les autorisations, les sessions et l’isolation des documents sur le périmètre autorisé.
- Documents prévus
- Rapport de pentest avec preuves, criticité, correctifs proposés et synthèse pour la décision de mise en service.
- Vérification prévue
- Rejouer les cas qui ont révélé un défaut après correction, en distinguant les points corrigés, partiels et non retestés.
PME avec plusieurs sitesRéduire les droits et les accès devenus inutilesDes comptes partagés, des droits administrateurs anciens et des accès distants se sont accumulés au fil des changements de prestataires.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Revoir l’annuaire et les accès Microsoft 365 ou VPN, attribuer chaque compte à un responsable, retirer les droits inutiles et cadrer un pentest interne sur une zone définie.
- Documents prévus
- Matrice des accès, liste des comptes à traiter, plan de durcissement et rapport de test sur le périmètre retenu.
- Vérification prévue
- Vérifier qu’un compte utilisateur standard reste limité à ses ressources et qu’un accès révoqué ne fonctionne plus.
Atelier de productionLimiter et documenter les accès de télémaintenancePlusieurs constructeurs interviennent à distance. Les chemins d’accès et les comptes utilisés ne sont pas tous documentés par le site.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Cartographier les connexions, définir des comptes nominatifs et des accès temporaires, séparer la maintenance du réseau de production et prévoir la révocation après intervention.
- Documents prévus
- Schéma des accès, règles de filtrage, procédure fournisseur et plan de changement validé avec l’exploitation.
- Vérification prévue
- Tester une connexion autorisée, son expiration et les flux de production concernés pendant la fenêtre convenue.
PME industrielleVérifier qu’une sauvegarde permet de redémarrerLes sauvegardes sont annoncées comme réussies, mais la remise en route de l’application métier ou du poste de supervision n’a pas été rejouée.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Choisir un service avec son responsable, recenser ses dépendances et restaurer une copie dans un environnement isolé. Faire vérifier le fonctionnement par l’utilisateur métier.
- Documents prévus
- Fiche de restauration, dépendances documentées, temps observé et liste des écarts par rapport aux objectifs de reprise.
- Vérification prévue
- Ouvrir le service restauré, contrôler un échantillon de données convenu et exécuter un parcours métier défini à l’avance.
Entreprise avec IT externaliséePréparer la réaction à un compte compromisUn scénario d’exercice simule un compte compromis et une demande de paiement suspecte. La direction, la comptabilité et le prestataire IT doivent coordonner leurs décisions.Voir les travaux et documents prévusMasquer le détail
- Intervention proposée
- Dérouler l’alerte sur table, vérifier les contacts, attribuer les décisions de suspension d’accès et identifier les traces à conserver avant toute remise en état.
- Documents prévus
- Fiche réflexe, contacts à alerter, responsabilités de la direction, de l’IT et du prestataire, et liste des décisions à clarifier.
- Vérification prévue
- Vérifier que les participants trouvent le bon interlocuteur et appliquent la procédure sans dépendre d’une seule personne.
Les étapes de la mission
Définir la mission
Nous définissons avec vous les systèmes à examiner, les accès autorisés, les exclusions et les interlocuteurs. Le devis précise les documents à remettre et les conditions du contre-test.
Examiner et tester
Nous examinons les documents et les configurations, échangeons avec les équipes et réalisons les tests convenus. Nous signalons les failles critiques au contact désigné sans attendre le rapport final.
Décider des corrections
Nous présentons les constats à la direction et aux équipes techniques. Le plan d’action précise, pour chaque correction, le risque traité, la priorité, les dépendances et la personne responsable.
Mettre en œuvre
Vos équipes, votre prestataire ou Vanguard réalisent les corrections selon le mandat. Avant un changement sensible, nous convenons d’un créneau d’intervention, d’une sauvegarde et d’une procédure de retour arrière.
Vérifier et transmettre
Nous testons les corrections convenues, relevons les risques restants et vous remettons les documents. Vous pouvez prévoir un suivi périodique des actions encore ouvertes.
Un cadre convenu avant d’intervenir
- Autorisation écrite, périmètre technique, créneaux de test et contact d’urgence pour les interventions actives.
- Règles d’arrêt, sauvegardes et retour arrière définis pour les changements sensibles. Les impacts sur l’exploitation sont examinés avant l’intervention.
- Confidentialité, canal de transfert, destinataires des rapports et durée de conservation des preuves fixés au mandat.
- Périmètres tiers, simulations de phishing et interventions OT traités explicitement dans l’autorisation. Aucun test destructif dans la mission standard.
Préparer le premier échange
Indiquez le sujet à traiter, les systèmes concernés, le nombre de sites, votre interlocuteur IT et vos contraintes de calendrier. Vous pouvez commencer avec un schéma existant ou une liste d’applications.
Les identifiants, configurations et rapports sensibles sont échangés ensuite par le canal convenu, hors du formulaire de contact.
Budget et durée
Le devis dépend du périmètre, de sa complexité, des accès disponibles et des vérifications attendues. Il distingue l’audit ou le test, la réalisation des corrections et le contre-test. Les licences et interventions de tiers sont précisées séparément.
Questions fréquentes
Intervenez-vous aussi pour une PME sans usine ?
Oui. La charte informatique, la gestion des accès, les postes, les applications web, les sauvegardes et la préparation aux incidents concernent aussi les sociétés de services et les PME. Le volet industriel s’ajoute lorsque des automates, une supervision ou des équipements techniques font partie du périmètre.
Que contient une charte informatique ?
Elle précise les usages autorisés, la protection des comptes, le partage des données, les appareils personnels, le télétravail, les outils cloud et d’IA, ainsi que le signalement des incidents. Nous la relions aux procédures de votre entreprise. La direction valide les règles ; vos interlocuteurs RH ou juridiques valident les clauses qui les concernent.
Comment se déroule un pentest ?
Nous fixons les cibles, les comptes de test, les horaires, les exclusions et le contact d’urgence dans une autorisation écrite. Les tests peuvent partir d’Internet, d’un réseau interne ou d’un compte utilisateur. Le rapport décrit les failles démontrées, leur impact et les corrections proposées. Le contre-test porte sur les points convenus au devis. Le résultat décrit le périmètre testé à une date donnée ; il ne garantit pas l’absence de toute faille.
Les tests peuvent-ils perturber la production ?
Oui, certains tests ou changements peuvent perturber un service. Nous privilégions la revue documentaire, les configurations et une observation adaptée au site avant tout test actif. Sur un réseau industriel, les tests intrusifs nécessitent un périmètre spécifique, l’accord de l’exploitation et une fenêtre adaptée. Les tests de déni de service et les actions destructives sont exclus de la mission standard.
Travaillez-vous avec notre prestataire informatique ?
Oui. Nous définissons ensemble qui donne les accès, qui réalise les corrections et qui valide les essais. Nous remettons à votre prestataire les constats techniques et les corrections proposées. Une modification sur un service hébergé chez un tiers exige aussi les autorisations applicables à ce service.
Quels documents reçoit-on à la fin ?
Selon la mission : une synthèse pour la direction, un rapport technique avec constats et preuves, un plan d’action, les politiques ou procédures rédigées et le compte rendu des essais. Le rapport distingue les points corrigés, encore ouverts et non vérifiés. Nous convenons des formats et du traitement des informations sensibles avant de commencer.
Assurez-vous une surveillance ou une intervention 24 h/24 ?
Nous réalisons des missions d’audit, de test, de mise en œuvre et de préparation aux incidents. Nous n’opérons pas de SOC ni de surveillance 24 h/24. Si cette couverture est nécessaire, nous définissons avec vous les responsabilités, les alertes et le relais vers votre prestataire de surveillance et de réponse.
Une mission vaut-elle certification ou conformité réglementaire ?
Une mission peut produire une analyse d’écart et les éléments techniques nécessaires à votre démarche. Elle ne constitue pas une certification. Le référentiel, sa version et les exigences retenues sont précisés au mandat. L’applicabilité réglementaire et les obligations contractuelles sont à confirmer selon votre activité, les pays concernés et vos donneurs d’ordre.
Référentiels et ressources
Le référentiel et les contrôles retenus sont précisés pour chaque mission. Ces ressources ne constituent pas une certification de Vanguard Systems.
Guide de tests pour les applications et services web. Les vérifications retenues sont précisées dans le mandat de pentest.
Cadre pour structurer la gestion du risque cyber et les responsabilités de l’organisation.
Analyse de risque des systèmes industriels, découpage en zones et conduits et définition des niveaux de sécurité cibles.
Guide de sécurité OT tenant compte des exigences de disponibilité, de fiabilité et de sécurité du procédé.
Contact
Décrivez votre besoin
Charte IT, audit, pentest ou sécurité industrielle : indiquez les systèmes concernés, le problème à traiter et vos délais.