Des preuves d’audit en heures
Un système de preuves GRC a remplacé la chasse annuelle aux preuves. Les cycles d’audit sont passés de semaines de collecte à des heures d’échantillonnage, chaque contrôle étant traçable jusqu’à un artefact à jour.
Capacités · Epcotec
Une sécurité qui livre avec des preuves prêtes pour l’audit.
Revue AppSec, déploiements OAuth/OIDC et IAM, durcissement et preuves prêtes pour l’audit dans les environnements réglementés. Livré par des ingénieurs seniors nommés, à périmètre fixe, avec un staging en ligne dès la première semaine.
Epcotec livre de l’ingénierie sécurité et conformité pour les clients réglementés : revue de sécurité applicative, implémentation OAuth/OIDC et IAM, durcissement d’infrastructure et dossiers de preuves prêts pour l’audit. Les contrôles sont alignés sur l’Essential Eight de l’ACSC et sur les pratiques ISO 27001, et notre modèle mené par des seniors, où des ingénieurs nommés assument chaque changement, répond directement aux questions des services d’approvisionnement sur la reddition de comptes.
Ce que nous livrons
Vérifications et preuves.
Revues de sécurité applicative
Une revue structurée du code applicatif, des dépendances et de l’infrastructure cloud contre les chemins d’attaque réels. Les constats arrivent classés par exploitabilité et coût de correction, et non par volume de scanneur.
Déploiements OAuth, OIDC et CIAM
Conception et déploiement des durées de vie de jetons, des portées, de la politique de session et de l’héritage des permissions sur les plateformes d’identité client, avec des chemins de migration qui déplacent les utilisateurs existants sans réinitialisations forcées de mot de passe.
Conception IAM selon le principe du moindre privilège
Des structures de rôles, des revues d’habilitations et des accès de secours conçus autour de ce dont chaque charge de travail a réellement besoin. Par défaut, l’accès est refusé ; les exceptions sont nommées, attribuées et revues selon une cadence publiée.
Lignes de base, MFA et gestion des secrets
Un durcissement appliqué comme lignes de base révisées : MFA imposé, secrets gérés, chemins réseau restreints et journalisation qui survit aux audits. Chaque changement est réversible et passe par les pipelines de livraison habituels.
Systèmes de preuves GRC
Des contrôles mappés sur les artefacts qui les prouvent, collectés en continu plutôt qu’à la veille des audits. Les preuves vivent là où les auditeurs peuvent les atteindre, avec des titulaires nommés et une fraîcheur claire.
Réception de la divulgation responsable
Un canal de divulgation fonctionnel : politique publiée, flux de triage, délais de réponse et communications avec les chercheurs, qui transforment les signalements entrants en correctifs plutôt qu’en risque de réputation.
Estimation indicative de la durée
Délai : 2 à 6 semaines
Équipe : 1 ing. sécurité
Complexité : M
À titre indicatif uniquement. Un prix fixe fait suite à une revue de périmètre gratuite.
Obtenir un devis fermeProcessus de livraison
Comment se déroule une revue.
Modélisation des menaces et cadrage
Nous cartographions le parc, classons les menaces réelles et convenons du périmètre, pour que l’effort aille aux chemins d’attaque qui comptent plutôt qu’au théâtre des listes de vérification.
Sprints de revue et de durcissement
Les constats et les correctifs avancent ensemble en sprints courts. Chaque sprint se clôt par une revérification, pour que le risque baisse réellement au lieu de s’accumuler dans un carnet que personne ne lit.
Automatisation des preuves
Les contrôles sont branchés sur des collecteurs qui produisent des artefacts en continu, mappés sur les référentiels qu’attendent vos auditeurs, avec titulaires et intervalles d’actualisation consignés à côté de chaque contrôle.
Répétition générale d’audit
Nous menons l’audit avant les auditeurs : preuves échantillonnées, écarts fermés et réponses répétées, pour que le cycle réel soit une confirmation plutôt qu’une découverte.
Transfert
Runbooks, cartes d’attribution et une séance d’accompagnement laissent votre équipe capable d’opérer les contrôles et d’étendre le système de preuves sans nous garder en astreinte.
Références de livraison
Des constats qui ont tenu.
CIAM sans aucun constat de sortie de données
Une plateforme d’identité client construite avec héritage des permissions a franchi les tests d’intrusion sans aucun constat de sortie de données, en tenant sa frontière d’accès sur chaque intégration aval dès le premier jour.
Recherche à portée cadrée dans un périmètre protégé
Une recherche à portée cadrée OAuth et OIDC livrée à l’intérieur d’un périmètre gouvernemental protégé, émettant des jetons étroitement cadrés et consignant chaque décision d’accès pour revue, sans ralentir les utilisateurs autorisés.
Davantage de preuves dans l'historique des livraisons et le registre complet des 756 mandats.
Normes & conformité
Des contrôles prêts pour l’audit, consignés au dossier.
Les opérations et les livrables se conforment aux normes transverses ci-dessous, et c’est ici que vivent les preuves : un système de management de la sécurité de l’information aligné sur l’ISO/IEC 27001, les stratégies d’atténuation Essential Eight en Australie et des contrôles alignés SOC 2 intégrés à la livraison.
Management de la sécurité de l’information aligné sur l’ISO/IEC 27001
Les opérations et les livrables s’exécutent sous un système de management documenté aligné sur l’ISO/IEC 27001:2022. Les contrôles façonnent le cadrage, la revue, la gestion des changements et la capture des preuves sur chaque mandat.
Australie : Encadre chaque mandat australien, y compris les décisions d’hébergement et la résidence des données.
Canada : Encadre chaque mandat canadien, y compris les décisions d’hébergement et la résidence des données.
Management de la qualité aligné sur l’ISO 9001
Un management de la qualité aligné sur l’ISO 9001 encadre le cadrage, les portes de revue, les critères d’acceptation et le transfert, afin que chaque livrable passe les mêmes vérifications documentées.
Australie : S’applique à la livraison pour les clients australiens, sur toutes les lignes de services.
Canada : S’applique à la livraison pour les clients canadiens, sur toutes les lignes de services.
Privacy Act 1988 et Australian Privacy Principles
Les renseignements personnels traités dans les mandats australiens sont manipulés conformément aux Australian Privacy Principles, avec contrôles d’accès et règles de traitement des données portés dans chaque environnement.
Australie : S’applique à tous les mandats australiens et aux données traitées pour le compte de clients australiens.
PIPEDA (LPRPDE) et droit provincial de la vie privée
Les renseignements personnels traités dans les mandats canadiens sont manipulés conformément à la LPRPDE (PIPEDA) et au droit provincial applicable, y compris la Loi 25 du Québec le cas échéant.
Canada : S’applique à tous les mandats canadiens, avec observation des obligations de la Loi 25 du Québec lorsque les données ou les opérations touchent le Québec.
Contrôles alignés SOC 2
Des contrôles alignés SOC 2 sont intégrés à la livraison : gestion des changements, contrôle d’accès, supervision et capture des preuves à chaque mandat.
Australie : Des dossiers de preuves sont disponibles pour les clients australiens sous accord de confidentialité.
Canada : Des dossiers de preuves sont disponibles pour les clients canadiens sous accord de confidentialité.
SMSSI aligné sur l’ISO/IEC 27001
Le système de management de la sécurité de l’information est aligné sur l’ISO/IEC 27001:2022, avec cartographie des contrôles et preuves documentées tenues par mandat.
Australie : La cartographie des contrôles peut être alignée sur les cadres gouvernementaux et entreprises australiens sur demande.
Canada : La cartographie des contrôles peut être alignée sur les exigences fédérales et provinciales canadiennes sur demande.
Essential Eight (ASD)
Les stratégies d’atténuation Essential Eight de l’Australian Signals Directorate sont mises en œuvre dans les environnements australiens.
Australie : S’applique aux environnements australiens ; les preuves d’auto-évaluation sont partagées avec les clients sous accord de confidentialité.
Dossiers de preuves prêts pour l’audit
Des dossiers de preuves — cartographie des contrôles, journaux de changements, revues d’accès et sorties de scans — sont préparés par mandat et remis aux clients sous accord de confidentialité.
Australie : Disponibles pour les clients australiens tout au long de la livraison.
Canada : Disponibles pour les clients canadiens tout au long de la livraison.
FAQ
Ce que les équipes de sécurité demandent.
Travaillez-vous selon nos référentiels existants ?
Oui. Nous mappons les contrôles sur les normes qu’utilisent déjà vos auditeurs (ISO/IEC 27001, Essential Eight, SOC 2 ou politique interne) plutôt que de demander à quiconque de refaire le travail.
Que coûte un mandat type ?
La plupart des mandats courent de deux à six semaines avec un ingénieur sécurité. Le périmètre commande le coût : un sprint de durcissement ciblé coûte moins cher qu’une construction complète de système de preuves.
Pouvez-vous travailler aux côtés de nos développeurs ?
Oui. Nous révisons, codons en binôme et remettons à l’intérieur de votre pipeline de livraison, pour que les correctifs arrivent comme des demandes de fusion ordinaires et que votre équipe détienne chaque contrôle ensuite.
Comment traitez-vous les constats confidentiels ?
Les constats vont aux titulaires nommés uniquement, chiffrés en transit et au repos. Rien n’est diffusé à l’externe sans instruction écrite, et la divulgation responsable suit les canaux convenus.
Les références aux normes sont des déclarations d’alignement et non de certification, sauf si un certificat accrédité est publié sur cette page.
Parlez aux ingénieurs.
Vous parlez aux ingénieurs qui réalisent le travail.
Réserver une revue de périmètre →