Je prépare quelque chose. Ça s’appelle Foundation, et c’est déjà dans le forfait RSI.

Ça fait un mois que je n’ai rien publié ici. Ce n’est pas de la paresse : je construis quelque chose, et je préfère écrire quand la chose tient debout. Elle tient debout. Elle s’appelle Foundation, et voilà pourquoi je m’y suis mis.

Votre entreprise n’aura jamais de politique de sécurité informatique

Ce n’est pas un reproche. C’est une constatation arithmétique.

Le document que tous les grands groupes possèdent — la PSSI, politique de sécurité des systèmes d’information — coûte, produit de façon classique, plusieurs dizaines de milliers d’euros de conseil. Une entreprise de 10 à 80 personnes ne dépensera jamais ça. Elle a raison : à ce prix-là, le calcul ne se fait pas.

Le sujet n’est donc pas technique, il est économique. Et un problème économique se résout en changeant la façon de produire, pas en faisant la morale au dirigeant. C’est exactement le pari de Foundation : industrialiser cette production pour qu’elle devienne accessible à une PME.

Le vrai livrable, ce n’est pas le document

Un document de sécurité qui dort dans un tiroir n’a jamais protégé personne. Ce que je cherche à provoquer est ailleurs :

L’idée est de pointer le plus vite possible les choses que le dirigeant va vouloir mettre sous le tapis pour ne pas avoir à y faire face.

Le livrable réel, c’est le moment où un dirigeant voit écrit noir sur blanc ce qu’il évitait de regarder — et où il tranche, ou l’accepte formellement, daté et signé. Tout le reste en découle.

Et la répartition des rôles est claire : le client répond parce qu’il a la connaissance, nous l’accompagnons parce que nous avons la méthode. Personne n’est pris en défaut. Un dirigeant sait comment tourne son entreprise mieux que quiconque ; ce qui lui manque, ce n’est pas la connaissance, c’est le cadre pour la mettre à plat.

Comment la PSSI se fabrique dans Foundation

Sans jargon, voilà le parcours complet :

1. Cadrage — le périmètre, et qui fait quoi. Un registre des acteurs, activité par activité.
2. Entretiens — direction, informatique, RH, finance, opérations, utilisateurs : chacun reçoit un lien et répond depuis son poste, en texte libre, sans avoir à parler comme un expert.
3. Parc — le relevé du matériel et des logiciels réellement en service. Pas ceux du contrat : ceux qui tournent.
4. Registre de risques — les réponses et le parc sont analysés. Un moteur de règles pour les constats mécaniques (un système en fin de support, l’absence d’un type d’outil…), un moteur d’analyse pour ce qui ne se déduit que des entretiens.
5. Plan d’action, puis validation par la direction, horodatée et tracée, puis document généré.
6. Et ça vit — révision à échéance, mais aussi après un incident, un changement de périmètre, ou une demande extérieure.

La base méthodologique est publique et vérifiable : les guides de l’ANSSI — le guide TPE/PME (ANSSI-GP-086) et le guide d’élaboration d’une PSSI, avec ses seize domaines de principes de sécurité. Je ne vends aucune conformité réglementaire, et je n’en promets aucune. Ce qui touche vraiment une PME aujourd’hui, ce n’est pas un texte européen : c’est le questionnaire sécurité que son donneur d’ordre lui envoie, et auquel il faut savoir répondre.

Deux règles qui ne bougeront pas

Les sections « à définir » restent imprimées dans le document. On ne maquille pas un trou. Un sujet non tranché reste visible comme non tranché — c’est précisément ce qui rend le document utile la fois suivante.

Un risque subi n’est pas un risque assumé. Quand un dirigeant n’a pas le choix — une seule personne cumule des rôles qui devraient être séparés, par exemple — on n’écrit pas « risque accepté par la direction ». On informe, et on propose des mesures compensatoires. Un rôle tenu par Ezohiko est d’ailleurs une de ces mesures : l’offre apparaît dans le document à l’endroit exact où elle répond à un risque, et nulle part ailleurs.

L’autre face : le quotidien de votre SI, rendu accessible

La politique de sécurité est un moment. Le reste de l’année, Foundation sert à répondre à trois questions très simples que se pose un dirigeant : est-ce que ça tourne ? qu’est-ce qui s’est passé ? qu’attend-on de moi ? C’est là que se joue le vrai sujet : rendre lisible le quotidien d’un système d’information à quelqu’un dont ce n’est pas le métier.

L’état de santé, brique par brique

Vos hyperviseurs Proxmox, vos NAS Synology, votre réseau et vos points d’accès UniFi, votre tenant Microsoft 365 ou Google Workspace : la supervision est intégrée à la plateforme, pas branchée à côté. Chaque brique remonte son état en continu, et cet état s’affiche là où vous le lisez déjà — pas dans une console d’administration que vous n’ouvrirez jamais.

Les sauvegardes, y compris ce qui part à l’extérieur

Le suivi des sauvegardes a sa place à part : ce qui a tourné cette nuit, ce qui est réellement parti en externalisation hors site, ce qui n’est pas passé et comment ça s’est terminé. Une sauvegarde dont personne ne regarde le résultat n’est pas une sauvegarde — c’est une intention. Vous voyez la différence à l’écran, sans avoir à demander.

La traduction, c’est le vrai travail

Un message de supervision brut ne veut rien dire pour un dirigeant, et lui en envoyer trois cents par mois revient à ne rien lui dire du tout. Dans Foundation, chaque événement est d’abord enregistré comme un fait daté, puis réécrit en langage commun. Vous ne lisez jamais le message technique : vous lisez ce qu’il implique, et ce qu’il est devenu.

C’est aussi là qu’on se parle

Foundation n’est pas seulement un tableau de bord qu’on regarde : c’est l’interface d’échange entre vous et nous. Vous posez une question, vous formulez une demande d’action ; elle est rattachée à votre dossier, elle vit à côté des faits qui l’ont provoquée, et son dénouement s’écrit au même endroit. Plus de décision enterrée au fond d’un fil de mails que personne ne retrouve six mois plus tard.

Arrivées et départs de collaborateurs

Quelqu’un arrive : vous le déclarez depuis votre espace, et une fiche d’arrivée (onboarding) se déclenche — comptes, accès, droits, matériel, licences. Quelqu’un part : la fiche de départ (offboarding) fait le chemin inverse, et l’on sait ce qui a été désactivé, rendu, récupéré, et quand. C’est le sujet le plus banal du monde, et c’est celui qui laisse le plus de portes ouvertes quand personne ne le suit sérieusement.

Et le reste, au même endroit

Le bulletin de santé de votre SI en un écran. Le relevé de ce que votre abonnement a produit ce mois-ci, intervention par intervention, événement par événement, avec son dénouement. L’avancement de votre politique de sécurité, étape par étape, et ce qui reste à trancher. L’inventaire qui sert au calcul de votre forfait, au point près. Et vos factures, sans avoir à fouiller dans une boîte mail.

Les trois choses que ça change, concrètement

Et tout cela sans engagement. C’est un pari assumé : la seule chose qui retient un client, c’est ce qu’il voit à l’écran. Vous restez parce que vous êtes satisfait, pas parce que vous n’avez pas le choix.

Où j’en suis, honnêtement

Je préfère le dire avant qu’on me le demande. Ezohiko est son propre client zéro : mon dossier PSSI est dans Foundation et j’ai suivi le parcours complet, entretiens compris. C’est plus facile de défendre une méthode qu’on s’est appliquée à soi-même d’abord.

Ce que vous venez de lire existe et tourne aujourd’hui : l’espace client et son bulletin de santé, la supervision intégrée de vos hyperviseurs, NAS, réseau et tenants, le suivi des sauvegardes et de leur externalisation, la traduction des événements en langage commun, le fil d’échange et les demandes d’action, les arrivées et départs avec leurs fiches, le parcours PSSI de bout en bout, et l’inventaire au point.

D’autres briques sont en chantier. Je ne les annoncerai pas ici tant qu’elles ne tourneront pas — annoncer une fonctionnalité qui n’existe pas, c’est exactement le contraire de ce que je vends. Mais oui : je prépare la suite, et elle est ambitieuse.