NodeOps Security OÜ est un cabinet de conseil B2B travaillant entièrement à distance. Nous auditons, durcissons et exploitons les systèmes Linux et Windows sur lesquels repose votre activité - puis nous vous aidons à mettre en place les politiques qui les maintiennent en état.
$ nodeops audit --scope infra --profile cis 41 hosts resolved, 3 subnets ssh: key-only, root login denied tls: 3 endpoints still negotiating TLS 1.0 postgres: superuser reachable from app subnet backups: restore test passed, RPO 4h findings.pdf remediation.md
La plupart des prestataires s'arrêtent soit à la stratégie, soit à la mise en œuvre. Nous faisons les deux : les mesures que nous recommandons sont celles que nous savons exploiter, et les systèmes que nous exploitons sont conçus pour satisfaire ces mesures.
Une revue pratique de ce qu'un attaquant atteindrait réellement, classée selon les dégâts que cela causerait.
Des parcs Debian, Ubuntu, RHEL, Rocky et Alma conçus pour être ennuyeux, reproductibles et à jour.
Des parcs Active Directory et Windows Server assainis, remis à un niveau de référence et tenus à jour.
Trouver les requêtes, les index et les réglages qui vous coûtent discrètement de l'argent et de la disponibilité.
Des chaînes, de l'infrastructure as code et un processus de livraison que votre équipe peut exploiter sans nous.
Un forfait continu pour le travail d'infrastructure dont personne dans votre équipe n'a le temps de s'occuper.
Un serveur durci ne sert pas à grand-chose si personne ne sait qui en est responsable, ce qu'il contient, ni ce qui se passe s'il disparaît une journée. En parallèle du travail technique, nous conseillons sur la gestion des risques, la politique de sécurité de l'entreprise et la continuité d'activité - la couche au-dessus de la mise en œuvre.
Une stratégie qui atteint les serveurs. Chaque couche prouvée, attribuée et revue.
Pas d'exploration sans fin, pas de facture surprise, aucun accès que nous ne puissions justifier.
Un court échange, puis un périmètre écrit : ce que nous examinerons, les accès nécessaires, ce que vous recevrez et ce que cela coûte. Au forfait chaque fois que la nature du travail le permet.
Revue pratique, d'abord en lecture seule. Nous vérifions chaque constat avant de le rapporter, pour que vous ne couriez pas après les faux positifs d'un scanner.
Constats classés selon leur impact réel, chacun accompagné d'un correctif concret. Nous les appliquons, ou nous remettons à votre équipe des procédures assez précises pour être suivies.
Forfait mensuel facultatif : correctifs, supervision, réponse aux incidents et un rapport mensuel qu'un dirigeant non technique peut lire.
Nous avons été constitués comme une société distribuée dès le premier jour. Aucun coût de bureau n'est intégré à nos tarifs, aucune journée de déplacement sur votre facture, et aucune attente que quelqu'un soit dans les locaux pour qu'un incident de production soit pris en charge.
Prestations 100 % à distance, à l'heure d'Europe centrale.
01 - PROJET
Un travail défini, à périmètre et prix fermes : un audit de sécurité, une migration, le sauvetage d'une base de données, un plan de continuité.
02 - FORFAIT
Un volume d'heures mensuel pour l'infrastructure dont personne en interne n'a le temps de s'occuper, avec des délais de réponse convenus.
03 - CONSEIL
Des séances planifiées pour les dirigeants qui ont besoin d'un second avis technique avant d'engager un budget ou de signer un contrat.
Par un court échange et un périmètre écrit. Nous convenons de ce qui est inclus et exclu, des accès nécessaires et de ce que vous recevez à la fin, avant que le travail ne commence. Les audits et les projets sont chiffrés au forfait ; le travail continu prend la forme d'un forfait mensuel.
Le minimum permettant de faire le travail. Les revues commencent en lecture seule. Toute opération modifiant l'état est convenue par écrit au préalable. Les accès sont rattachés à des comptes nommés, limités à la durée de la mission et révoqués à son terme - et nous travaillons volontiers depuis votre propre rebond, VPN ou outil PAM plutôt que les nôtres.
Non - la certification est délivrée par un organisme accrédité, et il y aurait conflit d'intérêts à ce que ceux qui ont construit vos mesures les auditent en vue d'une certification. Ce que nous faisons, c'est vous y préparer : analyse d'écarts, travail sur les mesures et les politiques, et la structure de preuves qu'un auditeur demandera.
Rarement. Une grande partie de notre travail se fait aux côtés d'un prestataire existant ou d'une équipe interne : un audit indépendant, une base de données que personne n'a eu le temps d'optimiser, ou un plan de continuité sans cesse repoussé. Nous rédigeons les constats pour qu'ils soient actionnables par celui qui exploite le système, et cela peut très bien être quelqu'un d'autre.
Nous fonctionnons à l'heure d'Europe centrale, ce qui donne une journée de travail entièrement commune avec le Royaume-Uni et le reste de l'UE, et un solide recouvrement l'après-midi avec l'Est et le Centre des États-Unis et du Canada. Les fenêtres de maintenance sont planifiées autour de vos horaires, pas des nôtres.
Oui pour les deux, et nous préférons que vous le demandiez. Nous pouvons partir de vos documents ou fournir les nôtres. En tant que société immatriculée dans l'UE, nous sommes habitués aux obligations du RGPD et savons documenter les mesures techniques et organisationnelles qui vont avec.
Dites-nous ce que vous exploitez et ce qui vous empêche de dormir. Vous recevrez un périmètre écrit et un prix ferme - et une réponse sous un jour ouvré.
