SG Expertise · mandat de 3 mois et plus
AI Security, Assurance & DevSecOps
La sécurité post-déploiement est une autopsie. Faites-en une condition de release.
Faire de la sécurité une condition de promotion, pas un rapport tardif.
Toutes les preuves de cette page indiquent leur niveau de provenance, limites comprises. Voir les preuves
Le moment où ça devient un sujet
Vous reconnaissez l’un de ces moments, ou ce n’est pas encore le sujet.
Ce sont des situations datables, pas des symptômes généraux. Si aucune ne vous parle, cette page peut se refermer ici.
-
Une release est bloquée parce que personne ne sait dire si le composant IA a été revu.1
-
Un questionnaire client demande la liste des dépendances et leur provenance. Il n’y a pas de SBOM.
-
Un connecteur MCP a été ajouté en une après-midi et personne n’a revu ce qu’il expose.
-
L’audit de sécurité arrive en fin de cycle, quand corriger coûte un report.
Aucune de ces situations n’est urgente en soi. Chacune le devient à une date connue d’avance.
Ce que ça coûte si rien ne change
Trois blocages, et le contournement qui ne les réduit pas.
Chaque blocage reçoit une réponse plus bas — dans les offres, le déroulé ou les engagements. Aucun n’est laissé ouvert.
La sécurité est un rapport, pas une porte
Un constat produit après la décision de release n’a que deux issues : être ignoré, ou coûter un report. Dans les deux cas il n’a rien empêché.
Le contournement habituel, et sa limite
Avancer l’audit d’une semaine ne change pas sa nature : tant qu’il ne bloque rien, il reste consultatif.2
La surface IA n’est pas dans le périmètre
Les outils d’un agent, les connecteurs MCP et les données atteignables ne figurent dans aucun inventaire de sécurité. Ce qui n’est pas inventorié n’est pas évalué.3
Le contournement habituel, et sa limite
Scanner le code applicatif ne voit pas une permission accordée à un modèle : l’exposition n’est pas dans le code, elle est dans la configuration.
La décision de release n’a pas de trace
Six mois plus tard, personne ne peut dire quels contrôles avaient tourné, sur quelle version, ni qui a accepté quel risque résiduel.4
Le contournement habituel, et sa limite
Archiver les logs de CI conserve des lignes de sortie, pas une décision opposable reliée à un artefact précis.
Pour qui, et sous quelle pression
Le décideur qui achète ce mandat, et ce qui pèse sur lui.
Responsable gouvernance, risque ou sécurité IA
Marc Lefèvre
Aujourd’hui
Une automatisation opaque, du shadow AI et des permissions excessives qu’aucun contrôle ne couvre encore.
Après le mandat
Des systèmes responsables, avec un propriétaire, des limites explicites et des preuves versionnées à chaque décision de release.
Un avatar de décision sert à clarifier le problème et le résultat attendu. Il reste à valider avec vos entretiens et les comportements que vous observez. Les avatars, en entier
Avant de réserver quoi que ce soit
Quatre conditions d’entrée, quatre motifs de refus.
Elles sont écrites ici plutôt que découvertes au devis. La colonne de droite a le même poids que celle de gauche.
C’est le bon mandat si
- Une décision réelle est en jeu : une promotion en production, un audit, un renouvellement, un lancement ou un remplacement de système.
- Un sponsor nommé peut arbitrer le périmètre et signer la recette.
- L’accès aux systèmes, aux données ou aux documents nécessaires est possible sous NDA dans les trois premières semaines.
- Une chaîne de build existe et peut accueillir une porte bloquante — le sujet est la décision de release, pas l’outillage.
Ce n’est pas le bon mandat si
- Vous cherchez un panorama de tendances ou une veille : le format court de la clinique de décision coûte moins cher et répond mieux.
- Le résultat attendu dépend d’une signature réglementaire que seul un rôle statutaire de votre organisation peut porter.
- Aucun accès aux preuves n’est possible : sans données, sans journaux et sans documents, il n’y a rien à rendre défendable.
- Vous cherchez un test d’intrusion ponctuel : c’est un autre métier, et un rapport de plus ne fermera pas la porte.
Un « non » dit à cette étape coûte vingt minutes. Dit après le devis, il coûte un trimestre à tout le monde.
Comment on l’achète
Quelle configuration, et combien.
Sept assemblages des mêmes briques. Le prix se dérive publiquement ; seuls les codes promotionnels restent privés.
Sept façons d’engager cette expertise, de 50 € à un partenariat complet.
Ce ne sont pas des paliers où l’on paie plus pour la même chose en mieux. C’est la même poignée de briques assemblée différemment, selon ce que vous avez déjà et ce que vous devez démontrer.
- Framework
- Office hours
- Cohorte
- Programme
- Capacité réservée
Base de calcul 900 € 1,06 954 € / jour Le calcul complet
-
B1
Diagnostic
Entrée autonome : clarifier le problème avant de réserver du temps humain.
Ce que cette configuration réduit
- Plus de certitude
- Attente : non traitée par cette configuration
- Effort : non traité par cette configuration
- Framework
Total 49 €
Chaque pièce s’achète aujourd’hui, séparément ou d’un bloc.
Voir la composition détaillée
- Framework 49 €
- Office hours Non inclus
- Cohorte Non inclus
- Programme Non inclus
- Capacité réservée Non inclus
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
B2
Expert Review
Cadrage + revue experte : utile quand la décision est plus importante que le volume de delivery.
Ce que cette configuration réduit
- Plus de certitude
- Moins d’attente
- Effort : non traité par cette configuration
- Framework
- Office hours
Total 238 €
Chaque pièce s’achète aujourd’hui, séparément ou d’un bloc.
Voir la composition détaillée
- Framework 149 €
- Office hours 89 €
- Cohorte Non inclus
- Programme Non inclus
- Capacité réservée Non inclus
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Office hours
- Le problème
- Un blocage de mise en œuvre peut retarder la décision.
- Ce que la pièce fait
- Une séance en direct pour lever la question précise, sans attendre un cycle de mission.
-
B3
Bounded Delivery
Le chemin court vers un résultat livré : cadrage puis mission bornée.
Ce que cette configuration réduit
- Plus de certitude
- Attente : non traitée par cette configuration
- Moins d’effort
- Framework
- Programme à cadrer
Estimation 16 902,77 €
Comprend un format qui se cadre avant d’être chiffré : le montant se confirme au devis.
Voir la composition détaillée
- Framework 149 €
- Office hours Non inclus
- Cohorte Non inclus
- Programme 16 753,77 € à cadrer
- Capacité réservée Non inclus
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Programme
- Le problème
- Passer du diagnostic à un résultat livré demande une chaîne complète que l’équipe n’a pas toujours le temps d’assembler.
- Ce que la pièce fait
- Un mandat borné qui prend en charge le chemin de bout en bout, jusqu’aux critères d’acceptation.
-
B4
Guided Delivery
Ajoute une boucle décisionnelle au programme pour réduire les dérives de scope.
Ce que cette configuration réduit
- Plus de certitude
- Moins d’attente
- Moins d’effort
- Framework
- Office hours
- Programme à cadrer
Estimation 16 902,77 € puis 99 € / mois
Comprend un format qui se cadre avant d’être chiffré : le montant se confirme au devis.
Voir la composition détaillée
- Framework 149 €
- Office hours 99 € / mois
- Cohorte Non inclus
- Programme 16 753,77 € à cadrer
- Capacité réservée Non inclus
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Office hours
- Le problème
- Un blocage de mise en œuvre peut retarder la décision.
- Ce que la pièce fait
- Une séance en direct pour lever la question précise, sans attendre un cycle de mission.
-
Programme
- Le problème
- Passer du diagnostic à un résultat livré demande une chaîne complète que l’équipe n’a pas toujours le temps d’assembler.
- Ce que la pièce fait
- Un mandat borné qui prend en charge le chemin de bout en bout, jusqu’aux critères d’acceptation.
-
B5
Team Transformation
Programme + transfert collectif : l’équipe récupère la méthode, pas seulement le livrable.
Ce que cette configuration réduit
- Plus de certitude
- Moins d’attente
- Moins d’effort
- Framework
- Office hours
- Cohorte
- Programme à cadrer
Estimation 17 802,77 € puis 99 € / mois
Comprend un format qui se cadre avant d’être chiffré : le montant se confirme au devis.
Voir la composition détaillée
- Framework 149 €
- Office hours 99 € / mois
- Cohorte 900 €
- Programme 16 753,77 € à cadrer
- Capacité réservée Non inclus
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Office hours
- Le problème
- Un blocage de mise en œuvre peut retarder la décision.
- Ce que la pièce fait
- Une séance en direct pour lever la question précise, sans attendre un cycle de mission.
-
Cohorte
- Le problème
- Savoir ne suffit pas : sans cadence collective, la méthode reste lue et non appliquée.
- Ce que la pièce fait
- Six semaines en groupe fermé, avec exercices guidés et pairs, pour que l’équipe applique la méthode.
-
Programme
- Le problème
- Passer du diagnostic à un résultat livré demande une chaîne complète que l’équipe n’a pas toujours le temps d’assembler.
- Ce que la pièce fait
- Un mandat borné qui prend en charge le chemin de bout en bout, jusqu’aux critères d’acceptation.
-
B6
Embedded Build
Delivery + capacité réservée de 7 h/semaine pour construire avec l’équipe.
Ce que cette configuration réduit
- Plus de certitude
- Moins d’attente
- Moins d’effort
- Framework
- Office hours
- Programme à cadrer
- Capacité réservée · 7 h/semaine à cadrer
Estimation 16 902,77 € puis 4 049 € / mois
Comprend un format qui se cadre avant d’être chiffré : le montant se confirme au devis.
Voir la composition détaillée
- Framework 149 €
- Office hours 99 € / mois
- Cohorte Non inclus
- Programme 16 753,77 € à cadrer
- Capacité réservée · 7 h/semaine pendant 3 mois (91 h) 3 950 € / mois à cadrer
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Office hours
- Le problème
- Un blocage de mise en œuvre peut retarder la décision.
- Ce que la pièce fait
- Une séance en direct pour lever la question précise, sans attendre un cycle de mission.
-
Programme
- Le problème
- Passer du diagnostic à un résultat livré demande une chaîne complète que l’équipe n’a pas toujours le temps d’assembler.
- Ce que la pièce fait
- Un mandat borné qui prend en charge le chemin de bout en bout, jusqu’aux critères d’acceptation.
-
Capacité réservée
- Le problème
- Après le programme, de nouvelles questions peuvent éroder la confiance dans le résultat.
- Ce que la pièce fait
- Une capacité d’expert réservée chaque semaine pour garder le résultat sous contrôle.
-
B7
Full Engineering Partnership
Configuration maximale adaptée à la landing : transfert + programme + 14 h/semaine de capacité.
Ce que cette configuration réduit
- Plus de certitude
- Moins d’attente
- Moins d’effort
- Framework
- Office hours
- Cohorte
- Programme à cadrer
- Capacité réservée · 14 h/semaine à cadrer
Estimation 17 802,77 € puis 7 699 € / mois
Comprend un format qui se cadre avant d’être chiffré : le montant se confirme au devis.
Voir la composition détaillée
- Framework 149 €
- Office hours 99 € / mois
- Cohorte 900 €
- Programme 16 753,77 € à cadrer
- Capacité réservée · 14 h/semaine pendant 3 mois (182 h) 7 600 € / mois à cadrer
Pourquoi chaque pièce est là
-
Framework
- Le problème
- Sans grille de lecture, l’état réel du sujet reste une opinion.
- Ce que la pièce fait
- Un cadre structuré qui transforme cette opinion en constats datés et comparables.
-
Office hours
- Le problème
- Un blocage de mise en œuvre peut retarder la décision.
- Ce que la pièce fait
- Une séance en direct pour lever la question précise, sans attendre un cycle de mission.
-
Cohorte
- Le problème
- Savoir ne suffit pas : sans cadence collective, la méthode reste lue et non appliquée.
- Ce que la pièce fait
- Six semaines en groupe fermé, avec exercices guidés et pairs, pour que l’équipe applique la méthode.
-
Programme
- Le problème
- Passer du diagnostic à un résultat livré demande une chaîne complète que l’équipe n’a pas toujours le temps d’assembler.
- Ce que la pièce fait
- Un mandat borné qui prend en charge le chemin de bout en bout, jusqu’aux critères d’acceptation.
-
Capacité réservée
- Le problème
- Après le programme, de nouvelles questions peuvent éroder la confiance dans le résultat.
- Ce que la pièce fait
- Une capacité d’expert réservée chaque semaine pour garder le résultat sous contrôle.
Montants en euros, hors taxes, pour une livraison à distance. Ils se confirment au devis. Les mêmes configurations, pour les douze expertises Toutes les combinaisons cohérentes de cette offre
L’état d’arrivée
Ce que le mandat déplace.
une sécurité qui constate après la décision
une condition de promotion que la chaîne applique, et dont la décision reste tracée
L’état d’arrivée n’est pas « plus de scans ». C’est un artefact qui ne peut pas atteindre la production sans avoir franchi des contrôles nommés, et une trace qui dit lesquels, sur quelle version, acceptés par qui.5
Axe par axe, avant et après
Trois axes, et ce qui change sur chacun.
Un axe par ligne, comparé des deux côtés. Une colonne de frustrations face à une colonne de fonctionnalités ne serait pas une comparaison.
Moment du contrôle
Aujourd’hui
Après la décision de release
Après
Comme condition de la décision
Périmètre couvert
Aujourd’hui
Code applicatif et dépendances
Après
Code, dépendances, agents, connecteurs, infrastructure
Preuve de la décision
Aujourd’hui
Un rapport PDF et un fil de discussion
Après
Un enregistrement par release : contrôles, version, risque accepté, signataire
Ce qui est visé, et de quel type
Deux critères de recette, un exemple déjà construit, aucun résultat observé.
Chaque ligne indique son statut : critère de recette, estimation modélisée, ou exemple déjà construit.
-
Visé — critère de recette
Aucun artefact ne franchit la porte sans contrôles nommés au vert
Critère de recette de la porte de release.
-
Visé — critère de recette
Chaque release laisse un enregistrement de décision réutilisable en audit
Format défini en phase 1, produit automatiquement.
-
Exemple — déjà construit
Chaîne d’assurance à journal append-only et commitment Merkle
Pipeline de livraison de ce site : décisions journalisées, preuves engagées, vérifiables par un tiers.
Aucun de ces résultats n’est présenté comme mesuré chez un client : les métriques de production sont sous NDA sur chaque mandat. Reste la question qui suit — sur quoi ces engagements reposent-ils ?
Ce sur quoi ça repose, et ce que ça ne prouve pas
Des preuves proportionnées à la promesse.
Conception de pipelines Jenkins orientés sécurité IA, supply chain et preuves de décision de release.
Projet public
Lottery dApp — contraintes de randomness et entropie
Full-stack Solidity avec tests de contrat ; 26 commits sur 29 attribués à RickOwri. • Capability demonstrated : Test — contraintes de randomness et entropie explorées via tests de contrat Solidity.
Examiner la preuveCertificat
Encode Club — Expert Solidity Bootcamp
Design de contrats avancé, testing, sécurité et développement EVM. • Capability demonstrated : Preuve — certification des connaissances avancées en sécurité Solidity et ZK.
R&D confidentielle
Pipeline AI-security & quality-gate (2026)
Contrôles pour prompts, agents, MCP, connecteurs et modèles ; reçus de qualité signés. Décrit au niveau architecture. • Capability demonstrated : Promote/Block — quality gates signées intégrant permissions, agents, MCP et modèles.
Manquant
Métriques de sécurité en production
Les métriques de détection et de réponse aux incidents en environnement client sont décrites au niveau architecture sous NDA. Aucune mesure de production n’est publiable tant que le mandat client n’est pas clos.
Sources & méthodes 6 placements · 6 unités de preuve
Chaque marqueur numéroté renvoie à une observation bornée : ce qui a été mesuré, sur quelle population, sur quelle période, et ce que le chiffre n’établit pas. Une affirmation qui ne peut pas être adossée à une de ces unités perd son marqueur — elle n’est pas rattachée à une source plus vague.
-
La Commission européenne distingue quatre niveaux de risque pour les systèmes d’IA.
Systèmes d’IA relevant du règlement européen sur l’IA, et les systèmes à haut risque en particulier. Aperçu de la Commission consulté le 3 septembre 2026
Ce que ce texte n’exige pas L’applicabilité dépend de la classification juridique et du calendrier ; cette page n’est pas un conseil juridique.
Regulatory framework for AI — risk-based obligations · European Commission
-
Le NCSC demande dès l’origine trois choses — des garde-fous solides, une supervision en temps réel et des plans de réponse explicites — et indique que la détection post-incident seule ne suffit pas.
Modèles d’IA de frontière et systèmes d’IA traités par le NCSC britannique. 4 août 2026
Ce que ce texte n’exige pas Déclaration du NCSC : ce n’est pas une estimation mesurée de réduction d’incidents, de retour sur investissement ni de performance de release.
-
Une minimisation des arguments tenant compte du schéma a réduit de 79,0 % la métrique de coût de confidentialité de l’étude.
25 schémas MCP non annotés, évalués sans métadonnées de minimum nécessaire. 25 août 2026
Ce que ce chiffre n’établit pas Métrique de coût de confidentialité propre à l’étude : ce n’est ni une réduction universelle du risque de confidentialité, ni une réduction d’incidents en production, ni un résultat métier de bout en bout.
ToolMinimize — argument minimization over unannotated MCP schemas · arXiv:2608.24957, 25 August 2026
-
Le NCSC distingue deux classes de télémétrie — les traces et transcriptions d’agents, et les journaux de bac à sable au sens large — et indique que les journaux doivent être protégés et, autant que possible, immuables.
Systèmes d’IA agentique en exploitation. 20 août 2026
Ce que ce texte n’exige pas Guidance opérationnelle : elle n’établit aucun effet quantifié sur le succès d’un audit ni sur le temps de réponse.
-
Sous la condition POLICY, 89,9 % des dépassements de périmètre exécutés — 133 sur 148 — avaient reçu une approbation humaine explicite.
35 participants et 245 actions de dépassement observées, dans une étude sur journée simulée de 18 actions. 27 août 2026
Ce que ce chiffre n’établit pas Étude contrôlée sur journée simulée : ce n’est ni une estimation de taux d’incidents en production, ni la preuve que l’approbation humaine serait dangereuse en général.
User-authored permission policies — approval and overreach · arXiv:2608.27443, 27 August 2026
-
Le NCSC décrit un modèle d’isolation réseau à quatre niveaux pour l’IA agentique, de l’accès réseau non restreint à l’absence d’accès externe avec le modèle hébergé localement.
Cloisonnement réseau des systèmes d’IA agentique. 20 août 2026
Ce que ce texte n’exige pas Un modèle de maturité, pas une courbe d’effet de sécurité mesurée. Un niveau plus élevé relève de la structure de la guidance, pas d’une réduction de risque quantifiée.
Managing the cyber risk of agentic AI — restrict network access · UK National Cyber Security Centre
Chaque élément indique sa nature et son niveau de provenance. Les limites sont affichées au même titre que les réalisations. Le registre complet des projets et de leur provenance
Évaluer la missionCe qui est dedans, ce qui n’y est pas
Le périmètre, ses exclusions et ses dépendances.
Dans le périmètre
- Modélisation de menace sur la surface IA et la chaîne de build.
- Portes de qualité bloquantes, SBOM, provenance des dépendances.
- Journal de décision de release et format de preuve.
Hors périmètre, explicitement
- Test d’intrusion et red team.
- Réponse à incident et astreinte.
- Certification ISO ou SOC : je produis les preuves, l’auditeur certifie.
Ce qui dépend de vous
- Un sponsor joignable qui tranche un arbitrage de périmètre en moins d’une semaine.
- L’accès aux systèmes, journaux ou documents concernés, sous NDA.
- Une ou deux personnes de votre équipe disponibles pour la phase de passation — sans elles, le mandat produit une dépendance au lieu d’une capacité.
Format 3–6 mois · 2–4 jours/semaine · assurance et industrialisation
Le déroulé, et où l’on peut s’arrêter
Quatre phases, quatre sorties possibles.
Chaque phase se termine par un artefact et une décision. Vous pouvez vous arrêter à la fin de n’importe laquelle avec quelque chose entre les mains.
-
Surface
Ce qui est réellement exposé, agents et connecteurs compris.
Sortie de phase Inventaire et modèle de menace.
-
Porte
Les contrôles qui comptent deviennent bloquants dans la chaîne existante.
Sortie de phase Porte de release en service.
-
Preuve
Chaque passage de porte produit un enregistrement réutilisable en audit.
Sortie de phase Journal de décision.
-
Passation
Votre équipe ajoute un contrôle et traite un blocage, seule.
Sortie de phase Runbook et procédure de dérogation.
Les blocs de travail
Quatre blocs, activables séparément et dans n’importe quel ordre.
Modélisation de menace
Surface IA, chaîne d’approvisionnement, secrets, frontières de confiance.
Portes de qualité
Contrôles nommés, seuils, blocage, dérogation tracée.
Chaîne d’approvisionnement
SBOM, provenance, dépendances transitives, images de base.
Preuve de release
Enregistrement par promotion, conservation, rejeu en audit.
Un bloc que vous tenez déjà sort du périmètre et du devis. C’est la première chose qu’on regarde à l’appel de qualification.
Ce qui est garanti, et ce qui ne peut pas l’être
Ce qui est garanti est le produit de travail, jamais le résultat d’une autorité.
Périmètre écrit avant facturation
Le périmètre, les exclusions, les dépendances et les critères de recette sont écrits et acceptés avant le premier jour facturé. Un changement de périmètre est un avenant, pas une surprise en fin de mission.
Livrables complets ou repris
Un livrable qui ne satisfait pas ses critères de recette est repris jusqu’à ce qu’il les satisfasse, sans facturation supplémentaire. Les critères sont écrits avant de produire, pas après.
Réversibilité à la sortie
Code, données, schémas, décisions et journaux vous appartiennent et partent avec vous. Aucun composant propriétaire, aucune licence, aucun hébergement dont dépendrait la suite du travail.
Frontière de confidentialité
Tout livrable ou exercice qui manipule vos données porte une classification et une règle explicite : autorisé, anonymisé, synthétique ou interdit. La règle est écrite avant la manipulation, pas constatée après.
Frontière de décision humaine
Chaque cas traité indique où l’assistance automatique s’arrête et où une validation humaine est obligatoire. Un système qui décide sans que la limite soit écrite n’est pas livré.
Noyau neutre vis-à-vis des outils
Objectifs, critères de recette et preuves sont écrits indépendamment d’un fournisseur ou d’un modèle donné. Un changement d’outil est un avenant, jamais une reprise à zéro de l’investissement.
Ce qui n’est pas garanti, et ne peut pas l’être honnêtement
- Aucune garantie d’absence de vulnérabilité. La garantie porte sur le fait qu’un artefact non contrôlé ne passe pas.6
- La certification appartient à l’organisme certificateur, jamais au prestataire.
Les conditions contractuelles complètes — acompte, préavis, propriété intellectuelle, confidentialité — sont publiées et ne sont pas reformulées ici. Lire les conditions
Ce qui reste à lever
Quatre questions, avec la réponse et sa raison.
Les questions qui changent le périmètre, le prix ou la responsabilité sont déjà répondues plus haut. Ici, le reste.
Une porte bloquante ne va-t-elle pas arrêter les équipes ?
Elle les arrête si elle est calibrée sur ce qui est facile à mesurer plutôt que sur ce qui compte. La phase 2 fixe les seuils avec les équipes et définit la dérogation tracée, qui existe dès le premier jour.
Faut-il remplacer Jenkins, GitLab ou GitHub Actions ?
Non. La porte se pose sur la chaîne en place. Le sujet est la décision qu’elle applique, pas l’outil qui l’exécute.
Produisez-vous les réponses aux questionnaires clients ?
Le mandat produit les preuves qui y répondent — SBOM, provenance, journal de décision — et le format qui les rend réutilisables. Remplir le questionnaire reste un acte de votre organisation.
Peut-on commencer par un diagnostic ?
Oui. L’inventaire de surface et le modèle de menace se vendent seuls, en format court, et s’imputent sur le mandat si vous le lancez ensuite.
La prochaine étape, en entier
Évaluer la mission en 20 minutes
Le premier échange sert à décider s’il y a un mandat, pas à le vendre. S’il n’y en a pas, vous repartez avec la raison.
- 20 minutes, en visio ou au téléphone.
- Vous, le sponsor si ce n’est pas vous, et moi. Pas de commercial : il n’y en a pas.
- On y regarde le contexte, la décision en jeu, le niveau de risque et les preuves accessibles.
- Vous repartez avec un avis fit / no-fit motivé et, si c’est fit, le périmètre et la fourchette de la première étape.
Le bon format d’intervention, avant le premier rendez-vous.
Décrivez la décision à prendre — pas votre budget. Vous repartez avec le format d’intervention adapté et les ressources qui y mènent.
Cette expertise appliquée à votre cas : quatre écrans, une lecture gratuite, et l’offre qu’elle désigne.
Preuve