Cybersécurité et tests d'intrusion pour les entreprises
Nous testons vos défenses avant qu'un pirate ne le fasse, puis nous vous aidons à les renforcer. Un regard d'attaquant, des explications claires et un plan d'action concret.
Ce que nous faisons
- 01
Tests d'intrusion
Simulation d'attaques sur vos sites, vos applications et vos accès exposés sur internet, pour identifier les failles réellement exploitables.
- 02
Audit de sécurité
Revue de vos configurations, de vos mots de passe, de vos sauvegardes et de vos pratiques, avec des priorités claires.
- 03
Renforcement
Correction des vulnérabilités, mise à jour des systèmes, sécurisation des comptes et des échanges.
- 04
Sensibilisation
Des séances concrètes pour apprendre à vos équipes à repérer l'hameçonnage et les arnaques les plus courantes.
Nos solutions en détail
Test d'intrusion (pentest)
Comment se déroule un test d'intrusion encadré, ce qu'il révèle sur votre site ou votre application, et ce qui fait varier son coût.
EN SAVOIR PLUSAudit et analyse de risques
Ce que recouvrent un audit de sécurité et une analyse de risques informatiques, ce que vous recevez et comment passer ensuite à l'action.
EN SAVOIR PLUSDurcissement et remédiation
Corriger les failles, sécuriser comptes, serveurs et sites, puis vérifier : comment se déroule une mission de durcissement et de remédiation.
EN SAVOIR PLUS
Une cybersécurité encadrée : autorisation écrite et règles d'engagement
En France, accéder sans autorisation à un système informatique, ou s'y maintenir, est une infraction pénale, même avec de bonnes intentions. C'est pourquoi nous n'intervenons que sur des systèmes pour lesquels nous disposons de l'autorisation écrite et préalable de leur responsable, et toujours dans le respect de la loi.
Avant toute mission, nous rédigeons ensemble les règles d'engagement : le document qui fixe ce que nous avons le droit de faire, où, quand et comment. Il précise au minimum les points suivants.
- 01
Le périmètre
Les adresses, sites, applications ou équipements concernés, et ce qui est explicitement exclu.
- 02
Le signataire
Une personne habilitée à autoriser les tests pour votre organisation, et l'accord des tiers concernés lorsque c'est nécessaire, par exemple votre hébergeur ou l'éditeur d'un logiciel en ligne.
- 03
Le calendrier
Les dates et les plages horaires des tests, choisies pour limiter la gêne pour votre activité.
- 04
Les contacts d'urgence
Qui prévenir, de part et d'autre, si un test révèle une faille critique ou provoque un comportement inattendu.
- 05
La confidentialité
La façon dont les informations recueillies sont protégées, conservées puis supprimées à la fin de la mission.
Les menaces informatiques les plus fréquentes pour une PME
Les attaques qui touchent les petites structures sont rarement spectaculaires. Elles exploitent le plus souvent des faiblesses ordinaires, que l'on retrouve d'une entreprise à l'autre.
- 01
L'hameçonnage
Un faux courriel ou un faux SMS qui imite un fournisseur, une banque ou un service public pour obtenir un mot de passe ou faire cliquer sur un lien piégé.
- 02
La fraude au virement
Un message qui semble venir d'un dirigeant ou d'un fournisseur et réclame un paiement urgent ou un changement de coordonnées bancaires.
- 03
Le rançongiciel
Un programme malveillant qui chiffre vos fichiers, c'est-à-dire les rend illisibles, puis exige une rançon pour les restituer. Des sauvegardes isolées et testées en limitent fortement les conséquences.
- 04
Les comptes compromis
Un mot de passe réutilisé ou trop simple, sans double authentification, suffit à ouvrir une messagerie ou un espace d'administration.
- 05
Les logiciels non mis à jour
Un site, une extension ou un équipement réseau oublié depuis des années présente souvent des failles connues et documentées publiquement.
Audit, test d'intrusion ou durcissement : par où commencer ?
Ces trois prestations se complètent, mais elles ne répondent pas à la même question. Le bon point de départ dépend de ce que vous savez déjà de votre situation.
- 01
Vous ne savez pas où vous en êtes
Commencez par un audit de sécurité et une analyse de risques. Nous faisons l'état des lieux de vos outils, de vos accès et de vos pratiques, puis nous classons les risques par priorité.
- 02
Vous exploitez un site, une boutique ou une application
Un test d'intrusion vérifie concrètement si un attaquant pourrait contourner vos protections, voler des données ou prendre la main sur un compte.
- 03
Vous avez déjà une liste de failles
Passez directement au durcissement et à la remédiation : nous corrigeons, configurons et vérifions que chaque correction tient.
Une méthode fondée sur des référentiels reconnus : OWASP et ANSSI
Nous ne travaillons pas à l'instinct. Nos contrôles s'appuient sur des référentiels publics et largement reconnus, ce qui rend nos constats comparables et vérifiables par un autre prestataire.
Nous ne revendiquons aucune qualification ni certification officielle. Si votre statut ou vos obligations réglementaires imposent un prestataire qualifié par l'ANSSI, nous vous le signalons dès le premier échange.
- 01
OWASP
Une fondation internationale à but non lucratif qui publie des ressources de référence sur la sécurité des applications web, dont une liste des risques les plus courants et un guide de test détaillé.
- 02
Les guides de l'ANSSI
L'Agence nationale de la sécurité des systèmes d'information publie des recommandations pratiques, comme son guide d'hygiène informatique, qui servent de base à nos audits de configuration et à nos plans de durcissement.
- 03
Le RGPD
Le règlement européen sur la protection des données impose des mesures de sécurité adaptées dès que vous traitez des données personnelles. Nos recommandations vous aident à documenter ces mesures.
Un interlocuteur unique en Haute-Corse et des résultats compréhensibles
KALLISTACK est un studio basé à Bastia, fondé par Alexandre Sciacca, ingénieur full-stack depuis plus de dix ans. Avoir construit et maintenu des sites, des applications et des serveurs aide à comprendre où les failles apparaissent et comment les corriger sans casser ce qui fonctionne.
Nous accompagnons des PME, des startups et des organismes publics, en Corse et au-delà. Les tests portant sur des services exposés sur internet se mènent à distance ; les audits peuvent se dérouler dans vos locaux lorsque c'est utile. Vous avez un seul interlocuteur du cadrage à la vérification finale, une réponse sous 48 heures et un devis clair avant tout engagement.
Chaque mission suit les mêmes étapes : comprendre votre activité et vos contraintes, concevoir le plan de test ou d'audit, le réaliser en vérifiant chaque résultat, puis vous accompagner dans les corrections.
À qui s'adresse ce service
PME, commerces, cabinets et collectivités qui manipulent des données sensibles ou dépendent de leurs outils numériques. Inutile d'avoir un service informatique : nous traduisons les risques en actions compréhensibles.
Comment nous travaillons
- T-3
Comprendre
Nous écoutons vos objectifs, votre budget et vos délais. Devis clair, sans jargon.
- T-2
Concevoir
Nous dessinons la solution et les maquettes, que vous validez avant tout développement.
- T-1
Construire
Nous développons et testons. Vous suivez l'avancement à chaque étape.
- T-0
Lancer et suivre
Mise en ligne, puis hébergement, maintenance et évolutions dans la durée.
Technologies et méthodes
- Tests d'intrusion
- OWASP
- Audit de configuration
- Durcissement des systèmes
- Sensibilisation
Questions fréquentes
Qu'est-ce qu'un test d'intrusion ?
C'est une attaque simulée, réalisée avec votre accord et dans un cadre défini, pour découvrir les failles de vos systèmes avant qu'elles ne soient exploitées par des personnes malveillantes.
Une petite entreprise est-elle vraiment ciblée ?
Oui : les attaques automatisées visent toutes les entreprises, quelle que soit leur taille, et les plus petites sont souvent les moins protégées.
Que recevez-vous à la fin d'un audit ?
Un rapport lisible qui classe les failles par niveau de risque, explique leurs conséquences et détaille les corrections à apporter, avec un accompagnement si vous le souhaitez.
Est-il légal de faire tester la sécurité de son propre site ?
Oui, dès lors que la personne qui autorise les tests en a le pouvoir et que les tiers concernés sont informés lorsque c'est nécessaire. Si votre site est hébergé ou géré par un prestataire, ses conditions peuvent exiger qu'il soit prévenu, voire qu'il donne son accord. Nous vérifions ce point avec vous avant de commencer.
Notre activité sera-t-elle interrompue pendant la mission ?
Nous cherchons justement à l'éviter. Les tests sont planifiés sur des créneaux convenus, les essais les plus sensibles peuvent être menés sur un environnement de test, et un contact d'urgence est désigné de chaque côté pour réagir immédiatement à tout comportement inattendu.
Travaillez-vous uniquement en Corse ?
Non. Nous sommes basés à Bastia et nous accompagnons aussi des clients sur le continent et au-delà. Une grande partie du travail se fait à distance, avec des points réguliers en visioconférence.