01 · PÉRIMÈTRE
Scénario illustratif, anonymisé
Vous achetez une entreprise, vous achetez aussi son exposition cyber.
→ LA SITUATION
Un groupe de taille intermédiaire a racheté trois sociétés en deux ans. Chaque cible a conservé son ERP, sa messagerie, son prestataire informatique et ses habitudes d'accès. Le groupe consolide ses comptes à partir de quatre systèmes.
SCHÉMA · QUATRE SYSTÈMES, UNE CONSOLIDATION
GROUPE
Société mère
Système de référence
CIBLE A
ERP propre
Comptes partagés
CIBLE B
Messagerie propre
Interconnexion ouverte
CIBLE C
Prestataire historique
Accès non revus
Consolidation des comptes
ALIMENTÉE PAR QUATRE SYSTÈMES
GROUPE
Société mère
Système de référence
CIBLE A
ERP propre
Comptes partagés
CIBLE B
Messagerie propre
Interconnexion ouverte
CIBLE C
Prestataire historique
Accès non revus
Consolidation des comptes
ALIMENTÉE PAR QUATRE SYSTÈMES
→ LE RISQUE, À DOUBLE SENS
POUR L'ACQUÉREUR
Une cible faiblement protégée devient une porte d'entrée vers le groupe : interconnexions, comptes partagés, flux de consolidation. Il hérite aussi d'une exposition qu'il n'a pas auditée avant la signature.
POUR LA SOCIÉTÉ RACHETÉE
Une intégration précipitée, des accès ouverts à la hâte, des droits non revus et un prestataire historique devenu angle mort.
→ DEUX LECTURES
POUR LE COMMISSAIRE AUX COMPTES OU L'EXPERT-COMPTABLE
Les travaux liés aux NEP 315 et 330 portent sur plusieurs environnements hétérogènes. La fiabilité des données de consolidation dépend de systèmes qui n'ont pas tous été évalués.
POUR L'ENTREPRISE
En clair : plus le groupe grandit vite par acquisitions, plus sa sécurité dépend de son maillon le plus faible.
→ CE QUE FAIT KLARIS
Avec une hiérarchisation des risques par entité.
COMMENT NOUS PROCÉDONS
Un questionnaire structuré auprès de vos équipes et de vos prestataires, des entretiens, puis la vérification des réponses directement sur les systèmes. L'activité continue pendant le diagnostic.
BUDGET
Établi selon la taille de chaque entité et la complexité de son système d'information, communiqué avant tout engagement.
CE QUE NOUS EXAMINONS
Cartographie des interconnexions
Nous recensons les liens entre les quatre systèmes : réseaux reliés, applications partagées, échanges de fichiers. Vous savez par où une cyberattaque pourrait passer d'une société à l'autre.
Accès privilégiés
Nous listons les comptes aux droits étendus (administrateurs, comptes partagés, accès à distance) et vérifions qu'ils sont justifiés, nominatifs et suivis.
Prestataires critiques
Nous identifions les prestataires qui interviennent sur chaque système, ce à quoi ils ont accès et ce que prévoit leur contrat en matière de sécurité.
Flux alimentant la consolidation
Nous suivons le chemin des données comptables de chaque société jusqu'aux comptes du groupe, et repérons les étapes où elles peuvent être altérées ou interrompues.
Résultat : chaque risque est classé par entité et par priorité, avec la mesure recommandée.
Vous achetez une entreprise, vous achetez aussi son exposition cyber.
→ LIVRABLES
COMMISSAIRE AUX COMPTES
Une note d'appui aux travaux de compréhension du système d'information et d'évaluation des risques, établie pour chaque entité.
ENTREPRISE
Des priorités et des jalons pour intégrer chaque société sans élargir l'exposition du groupe.
AVANT LA SIGNATURE
Le diagnostic peut aussi intervenir en amont d'une acquisition, pour évaluer l'exposition d'une cible.
Trente minutes pour situer la cible et cadrer le diagnostic, sans engagement.
Scénario illustratif, anonymisé.
CAS SUIVANT · 02 · FIABILITÉ DES DONNÉES→