Vigie Privée : la résilience numérique des entreprises observée depuis l’extérieur

Après avoir appliqué son approche aux services publics avec Vigie Publique, le même membre de l'association RsynC a décliné le service pour les entreprises. Vigie Privée propose aux PME et aux ETI de regarder leur domaine comme le ferait un observateur extérieur : quels signaux sont visibles, quels points méritent une correction et quelle place occupe la directive NIS 2 dans cette démarche ?

Un diagnostic en deux minutes

Vigie Privée commence par une analyse simple : l'entreprise saisit son nom de domaine et reçoit trois scores — global, sécurité et souveraineté. Le diagnostic est annoncé comme gratuit et sans engagement. Pour éviter qu'une personne n'obtienne les informations d'une société tierce, les résultats sont transmis à une adresse e-mail appartenant au même domaine que le site analysé.

Cette étape d'identification est importante. Un score d'exposition peut révéler des informations sensibles sur une organisation ; il ne doit pas devenir un outil de repérage anonyme de concurrents.

Le moteur Citadelle, déjà utilisé pour Vigie Publique

Le service repose sur le moteur Citadelle, également présenté comme la technologie de Vigie Publique. Son analyse est externe, passive et non intrusive : elle observe ce que le domaine expose publiquement, sans test d'intrusion ni sollicitation des systèmes internes.

Les contrôles annoncés couvrent notamment :

les certificats et les protocoles TLS ;
les enregistrements SPF, DKIM et DMARC qui limitent l'usurpation d'e-mails ;
les composants et vulnérabilités connus visibles depuis l'extérieur ;
la localisation de l'hébergement et les dépendances à des juridictions tierces.

Vigie Privée ne remplace donc pas un audit de sécurité, une analyse interne ou une attestation de conformité. Elle fournit une photographie technique de la surface exposée, utile pour décider où commencer.

NIS 2 : une question de périmètre, mais aussi de chaîne de fournisseurs

La directive européenne NIS 2 concerne directement certains secteurs et certaines catégories d'entités. Mais une PME peut être concernée indirectement lorsqu'elle fournit un acteur régulé : un donneur d'ordre peut demander des garanties sur la sécurité de ses prestataires, parfois avant même qu'une obligation réglementaire ne s'applique directement à la PME.

Le service rappelle ainsi une distinction utile : ne pas entrer dans le périmètre direct de NIS 2 ne signifie pas que l'exposition numérique est sans conséquence. Un certificat expiré, une messagerie facilement usurpable ou un composant obsolète peuvent provoquer un incident indépendamment de la taille de l'entreprise.

Du constat ponctuel au suivi

Le diagnostic gratuit donne une première vue d'ensemble. Vigie Privée propose aussi un rapport détaillé et des formules de suivi destinées à surveiller l'évolution de plusieurs domaines. L'intérêt d'une mesure récurrente est de repérer les changements : un certificat qui approche de son expiration, un sous-domaine oublié, une dépendance nouvelle ou une configuration e-mail modifiée.

Cette logique transforme la cybersécurité en trajectoire observable. Un score isolé ne suffit pas à prouver qu'une organisation progresse ; une série de mesures datées peut en revanche aider à documenter les corrections et à répondre plus rapidement aux questionnaires de sécurité des clients.

Une déclinaison cohérente du projet associatif

Vigie Privée prolonge le travail réalisé avec Vigie Publique, tout en changeant de public et de contexte. Dans les deux cas, l'objectif est de rendre lisibles des signaux techniques souvent dispersés et de rappeler qu'un service numérique se juge aussi depuis l'extérieur.

Le fait que les deux outils aient été créés par le même membre de RsynC illustre la complémentarité entre expertise individuelle et partage associatif. Les entreprises disposent d'un point d'entrée concret pour examiner leur exposition ; les collectivités bénéficient d'un observatoire dédié à leur propre périmètre.

Un point de départ, pas une certification

Le résultat doit être interprété comme une aide à la décision. Après un signal détecté, l'entreprise devra confirmer le constat, identifier le responsable de la correction et vérifier que la mesure a bien produit l'effet attendu. Pour les sujets réglementaires, elle devra également s'appuyer sur les textes officiels, les recommandations de l'ANSSI et les professionnels compétents.

Vigie Privée apporte une première réponse à une question simple : que voit-on de mon entreprise sur Internet aujourd'hui ? C'est souvent le meilleur point de départ pour passer d'une impression générale de sécurité à une liste d'actions concrètes.