Audit de cybersécurité gratuit

Nous soumettons votre domaine à dix-sept tests de sécurité externes et vous posons quelques questions sur ce qu’aucun test externe ne peut voir. Vous obtenez un rapport noté en environ une minute.

Tout ce que nous examinons est déjà public : enregistrements DNS, journaux de transparence des certificats et données de balayage publiées. Nous ne tentons d’accéder à rien de ce qui vous appartient, ni de le sonder, ni de nous y connecter.

À propos de votre organisation

Quel est le nom de domaine principal de votre organisation?

Le domaine qu’utilisent votre site Web et votre courriel, par exemple aetsolutions.ca

À quelle adresse devons-nous envoyer votre rapport?

Nous envoyons un lien par courriel pour confirmer l’adresse. Votre rapport ne s’affiche pas tant que vous n’avez pas cliqué dessus.

Êtes-vous autorisé à demander une évaluation de sécurité pour ce domaine?

Nous n’examinons que de l’information déjà publique, mais nous avons tout de même besoin de votre confirmation avant de commencer.

OuiNon

Connaissez-vous vos adresses IP publiques? (facultatif)

Si votre site Web est derrière Cloudflare ou un service semblable, les adresses que nous voyons appartiennent à ce fournisseur plutôt qu’à vous. Nous communiquer vos propres adresses nous permet d’y vérifier les services exposés et les vulnérabilités connues. Adresses publiques seulement — jamais d’adresses internes comme 192.168.x.x.

Identité et accès

L’authentification multifacteur est-elle exigée pour le courriel et les comptes Microsoft 365 ou Google?

C’est le contrôle le plus efficace contre le détournement de comptes, et il ne peut pas être observé de l’extérieur.

L’authentification multifacteur est-elle exigée pour les comptes d’administration?

Y compris le personnel TI, les comptes de service utilisés par des personnes et les accès de soutien de tiers.

Votre personnel se connecte-t-il à distance, par RPV ou par bureau à distance?

OuiNon

Lorsqu’une personne quitte l’organisation, en combien de temps ses comptes sont-ils désactivés?

Le jour mêmeEn moins d’une semainePlus longtemps, ou pas de façon constanteJe ne sais pas

Résilience opérationnelle

À quand remonte la dernière restauration effectuée pour confirmer que vos sauvegardes fonctionnent?

Une sauvegarde non testée est un espoir, pas un contrôle. C’est précisément là qu’échouent la plupart des rétablissements après un rançongiciel.

Au cours des trois derniers moisAu cours de la dernière annéeJamais, ou il y a plus longtemps que celaJe ne sais pas

Au moins une copie de sauvegarde est-elle hors ligne, immuable ou dans un compte distinct?

Les rançongiciels visent délibérément les sauvegardes accessibles depuis le réseau qu’ils ont compromis.

OuiNonJe ne sais pas

En combien de temps les mises à jour de sécurité critiques sont-elles appliquées aux serveurs et aux postes de travail?

En moins d’une semaineEn moins d’un moisPlus lentement, ou seulement quand quelque chose briseJe ne sais pas

Quelle protection des postes est déployée?

EDR géré, avec quelqu’un qui surveille les alertesEDR installé, mais personne ne le surveilleAntivirus traditionnel seulementRien de plus que ce qui est intégréJe ne sais pas

Certains systèmes utilisent-ils encore des logiciels ayant dépassé leur date de fin de vie?

Par exemple Windows Server 2012, ou une application d’entreprise qui n’est plus prise en charge.

NonOuiJe ne sais pas

Personnel et préparation

À quelle fréquence votre personnel reçoit-il une formation de sensibilisation à la sécurité?

Menez-vous des exercices d’hameçonnage simulé?

OuiNonJe ne sais pas

Existe-t-il un plan écrit d’intervention en cas d’incident qui nomme les personnes à joindre?

La question qui compte à 2 h du matin n’est pas de savoir si un plan existe, mais si quelqu’un est capable de le trouver.

Oui, et nous l’avons mis en pratiqueOui, mais jamais mis en pratiqueNonJe ne sais pas

Y a-t-il autre chose que vous aimeriez nous signaler? (facultatif)