L'entreprise
Un distributeur canadien de 1 200 personnes, dix-huit sites, dont l'activité dépend d'une chaîne de fournisseurs logistiques et d'une douzaine de SaaS métier. L'équipe d'opérations cyber compte trois personnes, orientées détection et réponse, sans fonction GRC dédiée.
Le rythme de sécurité est calé sur deux rendez-vous annuels : un test d'intrusion et une campagne de questionnaires fournisseurs. C'est un dispositif sérieux, tenu par des gens compétents, et il était adapté à une surface d'attaque qui bougeait une fois par an. Elle bouge maintenant toutes les semaines.
Le problème : onze mois d'angle mort par an
Le déclencheur est extérieur. Une brèche chez un fournisseur logistique interrompt les expéditions pendant plusieurs jours. Quelques semaines plus tard, l'assureur pose une question directe au renouvellement : comment surveillez-vous vos tiers ? La réponse honnête — un questionnaire annuel — ne suffit plus.
Le test d'intrusion annuel donne une photo nette, un jour par an. Entre deux tests, un sous-domaine oublié ou un panneau d'administration exposé peut vivre onze mois sans que personne le sache. Le problème n'est pas la qualité du test, c'est sa fréquence face à une surface qui change en permanence.
Côté menaces, environ 2 000 signaux par jour arrivent sans filtre sectoriel. Personne ne les lit, et c'est rationnel : trier deux mille éléments quotidiens à trois personnes n'est pas un travail, c'est une punition. Le flux existe, il est payé, et il ne sert à rien.
Côté fournisseurs, le questionnaire annuel obtient un taux de retour de 60 %, des réponses de qualité inégale, et aucun moyen de vérifier quoi que ce soit. L'équipe classe des déclarations, pas des risques.
Ce qui est mis en place
La surface d'attaque, tous les jours
Découverte et scoring continus de l'exposition externe, notés A à F sur cinq modules de scanning, avec plus de 500 types de constats. Vingt-trois actifs inconnus apparaissent le premier mois — dont un environnement de recette resté accessible publiquement après une migration de 2023, avec une copie de données de production dedans. Aucun test annuel ne l'avait vu, parce qu'il n'était pas dans le périmètre fourni au prestataire.
Les menaces, filtrées sur ce qui les concerne
La threat intelligence est recoupée avec le pays, le secteur et la stack réellement en place, puis scorée face aux défenses existantes. Les 2 000 signaux quotidiens deviennent cinq à dix actions classées. Des watchlists sur les CVE, les acteurs de menace et les domaines complètent le dispositif : l'équipe est notifiée quand quelque chose la concerne, et silencieuse le reste du temps.
Le déclaratif confronté au réel
Pour chaque tiers, la posture déclarée au questionnaire est mise face à la posture observée par scan externe, sur un périmètre que le fournisseur a validé. Neuf écarts significatifs sortent sur soixante fournisseurs. Aucun n'est un mensonge : dans la plupart des cas, la personne qui a rempli le questionnaire ignorait ce que son organisation exposait.
Une seule file de travail
Expositions, menaces pertinentes et écarts fournisseurs convergent dans le Centre d'action, avec des responsables et des échéances. L'équipe cesse d'arbitrer entre trois consoles pour savoir quoi faire en premier.
Ce que ça donne
Le délai de découverte d'une exposition passe de onze mois à moins de vingt-quatre heures. Vingt-trois actifs inconnus reviennent sous gestion, et l'environnement de recette est fermé la semaine de sa découverte.
Neuf conversations fournisseurs sont déclenchées sur des écarts factuels plutôt que sur des impressions, ce qui change complètement le ton des revues annuelles : on ne demande plus à un fournisseur s'il fait bien les choses, on lui montre ce que son périmètre expose et on lui demande ce qu'il compte en faire.
L'assureur obtient une réponse documentée sur la surveillance des tiers, avec un historique exportable. Le flux de renseignement, lui, sert enfin à quelque chose : il est lu, parce qu'il tient en une dizaine de lignes.
Ce que ça ne règle pas
Le test d'intrusion annuel n'est pas supprimé, et il ne doit pas l'être : un scan externe continu et un test manuel ne cherchent pas la même chose. Le premier trouve ce qui est exposé, le second trouve ce qui est exploitable en chaînant plusieurs faiblesses. Ce qui change, c'est que le test ne perd plus ses premiers jours à découvrir des actifs oubliés — il commence là où le scan s'arrête.
Chiffres représentatifs de déploiements réels. Organisations composites et anonymisées.