Aller au contenu principal
own2pwn
Toutes les catégories

Conformité

Les textes sont lus ici sous l'angle de ce qu'ils exigent techniquement, avec des chiffres tirés des registres publics et des sanctions de la CNIL. Pour savoir quel texte vous concerne, partez de la vue d'ensemble de la conformité réglementaire, puis passez au texte qui vous vise, à commencer par la directive NIS2. Les articles sur EBIOS RM, SecNumCloud et le plan de reprise d'activité portent sur la mise en oeuvre.

19 articles
Sécurité des PME vue de l'extérieur : 10 609 sites mesurés et rapportés à NIS2
Appsec·17 min

Sécurité des PME vue de l'extérieur : 10 609 sites mesurés et rapportés à NIS2

Étude own2pwn d'octobre 2026 sur 10 609 PME rattachées à un site à leur nom : messagerie, chiffrement, en-têtes, versions en fin de vie et sous-domaines, par secteur et par taille, rapportés aux mesures de l'article 21.2 de NIS2. Méthode complète et limites.

MMaxime J
Certification ISO 27001 : 1 019 certificats en France fin 2023, le coût réel et qui produit les preuves
Appsec·15 min

Certification ISO 27001 : 1 019 certificats en France fin 2023, le coût réel et qui produit les preuves

1 019 certificats ISO 27001 en France fin 2023, moins qu'en Allemagne, en Espagne ou en Italie. Ce que coûte le vôtre, le cycle sur trois ans, et les contrôles qui exigent une preuve technique.

MMaxime J
Conformité réglementaire en cybersécurité : quel texte s'applique, et ce que la CNIL sanctionne vraiment
Appsec·22 min

Conformité réglementaire en cybersécurité : quel texte s'applique, et ce que la CNIL sanctionne vraiment

RGPD, NIS2, DORA, CRA, HDS, LPM : qui est concerné et qui contrôle. Puis 87 sanctions de la CNIL relues une à une : la sécurité pèse 35,6 % des décisions, mais 6,7 % des amendes.

MMaxime J
Plan de reprise d'activité : 7 918 revendications de rançongiciel en neuf mois, et un PRA écrit pour l'incendie
Appsec·15 min

Plan de reprise d'activité : 7 918 revendications de rançongiciel en neuf mois, et un PRA écrit pour l'incendie

J'ai compté les revendications de rançongiciel publiées sur les sites de fuite depuis 2022 : 7 918 de janvier à septembre 2026 selon RansomLook, deux fois plus qu'en 2023. Ce que ça change pour un plan de reprise d'activité écrit pour l'incendie.

MMaxime J
Patch management : ce que 1 447 failles du catalogue KEV disent de vos délais de correctif
Appsec·18 min

Patch management : ce que 1 447 failles du catalogue KEV disent de vos délais de correctif

J'ai mesuré le délai entre publication et entrée au catalogue KEV pour 1 447 failles, et, pour 317 d'entre elles, ce que le CERT-FR en avait dit avant. Ce que ça change pour votre patch management.

MMaxime J
SecNumCloud : 12 prestataires, 27 offres qualifiées, et ce que la qualification ANSSI garantit vraiment
Appsec·16 min

SecNumCloud : 12 prestataires, 27 offres qualifiées, et ce que la qualification ANSSI garantit vraiment

12 prestataires et 27 offres qualifiées SecNumCloud au catalogue ANSSI du 15 septembre 2026, contre un seul fournisseur en 2019. Les critères face au droit extra-européen, et la limite que les acheteurs comprennent mal.

MMaxime J
Questionnaire sécurité fournisseur : ce que le site et le DNS répondent avant le fournisseur
Appsec·18 min

Questionnaire sécurité fournisseur : ce que le site et le DNS répondent avant le fournisseur

Questionnaire sécurité fournisseur : ce que couvre un questionnaire type, ce que NIS2 impose, la portée des certifications, et ce que 704 organisations laissent lire de l'extérieur, mesuré le 6 octobre 2026.

MMaxime J
EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites
Appsec·11 min

EBIOS RM : les 5 ateliers de la méthode ANSSI, et leurs limites

EBIOS RM, la méthode d'analyse de risque de l'ANSSI : les 5 ateliers et leurs livrables, sources de risque et objectifs visés, chemins d'attaque stratégiques et opérationnels, et les limites de l'exercice.

MMaxime J
Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures
Appsec·17 min

Fuite de données : ce que la CNIL sanctionne vraiment, et quoi faire en 72 heures

On a relu les 31 sanctions de la CNIL pour défaut de sécurité et 1 041 fuites du catalogue HIBP. Une sanction sur deux ne suit aucune fuite, 22 visent les mots de passe. Et les 72 heures.

MMaxime J
Cyber Resilience Act (CRA) : obligations, calendrier, sanctions
Appsec·12 min

Cyber Resilience Act (CRA) : obligations, calendrier, sanctions

Le Cyber Resilience Act (règlement UE 2024/2847) impose la cybersécurité par défaut à tout produit numérique vendu dans l'UE : calendrier, exigences, sanctions et préparation.

MMaxime J
Loi LOPMI : ce qui change pour la cybersécurité, et la règle des 72 heures
Appsec·11 min

Loi LOPMI : ce qui change pour la cybersécurité, et la règle des 72 heures

La loi LOPMI conditionne l'indemnisation d'une cyber-rançon au dépôt de plainte sous 72 heures. On explique la règle, qui est concerné et comment s'y préparer.

MMaxime J
TLPT DORA : le test d'intrusion fondé sur la menace, tous les trois ans
Appsec·8 min

TLPT DORA : le test d'intrusion fondé sur la menace, tous les trois ans

Le TLPT DORA, test d'intrusion fondé sur la menace imposé tous les 3 ans aux entités financières désignées : périmètre, cadre TIBER-EU, testeurs, et préparation.

MMaxime J
EASM29Pentest24NIS213DevSecOps10Vulnerability Management7Cybersécurité7