Je prends les gens que vous avez déjà et je les amène au niveau d'un architecte sécurité, sur vos propres projets.

Penser comme un attaquant, défendre comme un stratège

Avant de pouvoir protéger quoi que ce soit, il faut comprendre ce qu'on protège et pourquoi. La plupart des gens du métier sautent cette étape et passent des années à se battre sur les mauvais fronts.

La triade CIA. Les types d'impact : financier, opérationnel, réputationnel, juridique, physique. Des incidents réels tirés de 15 ans en entreprise : des salariés qui suppriment des serveurs, des RSSI qui espionnent leur direction générale, des attaques de phishing le soir de Noël, des centres d'appels qui volent les données clients.

Puis on élargit : tous les vecteurs d'attaque réellement utilisés contre les postes Windows, les serveurs Linux, Active Directory et les infrastructures cloud (Azure, GCP, M365), et les contre-mesures (préventives, de détection, correctives) qui neutralisent chacun d'eux.

À la sortie de cette phase, vos équipes voient tout le spectre de ce qui peut mal tourner, savent comment les attaquants circulent sur chaque grande surface, et évaluent chaque risque selon sa probabilité et son impact.

Un exemple du support de cours de cette phase : comment auditer un environnement multicloud, chaque technique d'attaque associée au contrôle qui l'arrête. C'est le seul que je ne publie pas. Je ne veux pas le mettre entre les mains de script kiddies assistés par l'IA, parce qu'une chaîne d'intrusion complète écrite étape par étape leur donne beaucoup trop de pouvoir. Demandez-le-moi et je vous l'envoie.

Security By Design : devenir le point de contrôle sécurité

Comment devenir la personne que tout le monde consulte avant de trancher en informatique. C'est ce qui fait passer un professionnel de la sécurité du statut de gêneur à celui de passage obligé.

Comment être informé tôt des besoins informatiques. Comment évaluer les risques des solutions proposées. Comment proposer des mesures de sécurité qui passent. Comment obtenir une acceptation formelle du risque par les responsables métier. La documentation qui sauve votre carrière le jour où ça casse.

On apprend le processus en disséquant les catastrophes qui arrivent quand il manque : le premier RSSI qui découvre du shadow IT dans toute l'entreprise, le feu vert donné autour d'un café qui finit en compromission, la panne de VPN à 250 000 euros par jour. Chaque cas vient d'entreprises que j'ai connues de l'intérieur, et on répète les conversations face à de vrais interlocuteurs.

Vos équipes sortent de cette phase en appliquant le processus exact qui les fait passer du « type de la sécurité » au point de contrôle qu'aucun projet ne contourne.

Un des cas qu'on traite : le premier RSSI d'une start-up e-commerce en full remote qui trouve du shadow IT partout, et les manœuvres qui remettent la sécurité dans la boucle avant la décision.

Analyse de risque d'un agent IA de support

Le problème que tout architecte rencontre en 2026 : les entreprises se ruent sur les agents IA dans le support informatique. Presque aucune n'en a fait l'analyse de risque. C'est exactement la question qu'on va poser à votre équipe.

Identifier les acteurs de menace : l'attaquant par injection de prompt, l'utilisateur malveillant, le connecteur tiers compromis, l'agent lui-même trop privilégié. Cartographier les scénarios d'attaque : exfiltration de données via les appels d'outils, élévation de privilèges par la création de tickets, manipulation du modèle pour réinitialiser le mauvais mot de passe, fuite de données personnelles par l'historique de conversation. Concevoir la taxonomie complète des contrôles (préventifs, de détection, correctifs, dissuasifs, compensatoires) face à chaque scénario. Construire le registre des risques que le propriétaire du risque signera vraiment.

Je relis le travail ligne par ligne.

Vos équipes sortent de cette phase avec une analyse de risque complète d'agent IA qu'elles peuvent poser devant n'importe quel client, et une méthode transposable à tout projet informatique qui leur passera entre les mains.

Cette note est la version condensée, celle que lit un comité projet. La phase elle-même va beaucoup plus loin : chaque scénario d'attaque et chaque contrôle démontés techniquement, un par un. Elle peut aussi se dérouler en lab sur Azure ou GCP, où vos équipes déploient un vrai agent de support puis le sécurisent.

Du vrai travail, en conditions réelles

La dernière phase est différente. Pas d'exercices. Pas de contenu structuré.

Vos collaborateurs amènent un vrai dossier de leur poste actuel ou de leur mission client. On y travaille ensemble, moi à côté d'eux, pas devant eux. Je regarde comment ils raisonnent, où ils hésitent, ce qu'ils manquent. Je pose les questions qui les aident à trouver la réponse, plutôt que de la donner.

C'est là que la méthode passe dans le réflexe. Et ça n'arrive que sur du vrai travail, en conditions réelles.