Le jargon cyber expliqué simplement

Les niveaux EAL vont de EAL1 (test fonctionnel) à EAL7 (conception formellement vérifiée). Plus le niveau est élevé, plus la profondeur d'analyse et la rigueur d'évaluation sont fortes.

L'ANSSI s'appuie sur ces évaluations pour ses qualifications (élémentaire, standard, renforcée). Les exigences typiques pour un produit de sécurité destiné à l'État sont EAL3+ à EAL4+.

Plusieurs composants SYLink sont conçus pour atteindre EAL3+ ; les démarches de qualification sont menées avec un CESTI agréé.

La certification HDS (référentiel ANS/ANSSI) est obligatoire pour tout acteur qui héberge ou traite des données de santé pour le compte d'établissements de santé.

Elle couvre la sécurité physique, logique, la résilience et la gouvernance des accès.

L'IGI 1300 définit les règles de protection physique, organisationnelle et numérique applicables aux informations classifiées de défense.

Elle impose un cloisonnement strict des systèmes traitant ces informations (pas d'interconnexion non maîtrisée), une habilitation préalable des personnels et des contrôles d'accès renforcés.

Les déploiements SYLink en zone classifiée respectent ces principes, généralement en air-gap pur, sur du matériel dédié et avec MCO/MCS opérés sur le territoire national.

L'II 901 fixe les exigences applicables aux systèmes d'information traitant des informations sensibles ne relevant pas du secret de la défense nationale, notamment les mentions Diffusion Restreinte et Non Protégé.

Elle précise les principes de cloisonnement, d'authentification, de traçabilité et de durcissement applicables. Les opérateurs publics et industriels qui traitent ces informations doivent s'y conformer.

Les architectures SYLink on-premise sont conçues pour répondre à ces exigences, avec air-gap possible et chiffrement de bout en bout.

ISO 27001 spécifie les exigences pour mettre en place, exploiter, surveiller et améliorer un Système de Management de la Sécurité de l'Information (SMSI).

Elle est de plus en plus exigée par les grands donneurs d'ordre — privés comme publics — comme prérequis aux marchés.

SYLink Audit produit un mapping ISO 27001 automatique avec plan d'action priorisé.

La LPM 2014, complétée par les lois successives, encadre la cybersécurité des Opérateurs d'Importance Vitale : analyse de risque, audit régulier, supervision homologuée, notification obligatoire des incidents.

NIS2 remplace la directive NIS de 2016. Elle élargit considérablement le périmètre : 18 secteurs concernés (énergie, santé, transport, finance, eau, numérique, fabrication...) et seuils abaissés (entités importantes ≥ 50 salariés).

Obligations : analyse de risque, gouvernance, gestion d'incidents, reporting sous 24h, formation, audit, sanctions financières en cas de manquement.

Tous les outils SYLink sont mappés NIS2 dans les rapports d'audit pour faciliter la conformité.

Désignés par décret, les OIV sont les organisations dont la défaillance ou la compromission cyber aurait un impact majeur sur la sécurité ou l'économie de la Nation.

Soumis à la LPM, ils ont des obligations cyber renforcées : analyse de risque, supervision dans des SOC homologués, notification, plan de reprise testé.

Les OSE sont une notion européenne (directive NIS) qui élargit la liste des opérateurs critiques au-delà des OIV nationaux. NIS2 fusionne et étend cette catégorie en "entités essentielles" et "entités importantes".

Un prestataire PASSI est qualifié par l'ANSSI pour réaliser des audits selon une méthodologie homologuée. La qualification est exigée pour les audits LPM des OIV.

Les rapports d'audit SYLink sont livrés au format PASSI : ils sont compatibles avec les attentes ANSSI et peuvent être repris par un prestataire PASSI qualifié.

La PSSIE fixe les règles de sécurité informatique applicables à l'ensemble des ministères et établissements publics. Elle est complétée par les politiques sectorielles (HDS pour la santé, par exemple).

Les architectures SYLink sont mappées PSSIE dans les rapports destinés aux administrations.

Le RGPD impose des principes (minimisation, consentement, portabilité), des obligations de sécurité (chiffrement, pseudonymisation), un DPO pour certaines structures et la notification des fuites sous 72h.

L'autorité française est la CNIL. Les sanctions peuvent atteindre 4 % du chiffre d'affaires mondial.

Le RGS définit les règles de sécurité applicables aux téléservices et systèmes d'information de l'État et de ses partenaires.

Il couvre l'authentification, le chiffrement, la signature électronique et l'horodatage.

SecNumCloud est le référentiel ANSSI qui qualifie les offres cloud sur des critères de souveraineté : hébergement européen, équipes EU, immunité au Cloud Act, contrôle juridique.

C'est le seul label officiel français pour distinguer un cloud souverain d'un cloud opéré localement par un acteur sous droit extra-européen.

Service du Premier ministre rattaché au SGDSN. L'ANSSI définit la doctrine cyber française, qualifie les produits (visa de sécurité, certification CSPN), et certifie les prestataires (PASSI, SecNumCloud, PVID, etc.).

Elle pilote la transposition française des directives européennes (NIS, NIS2, eIDAS), publie les référentiels (PSSIE, RGS, IGI 1300) et coordonne la réponse aux incidents majeurs.

Les architectures SYLink sont conçues selon la doctrine ANSSI : on-premise par défaut, mode air-gap natif, conformité RGS et PSSIE attestée.

Un NOC (Network Operations Center) supervise l'infrastructure réseau d'une organisation : disponibilité, performance, qualité de service, alertes proactives.

Souvent confondu avec le SOC, il est complémentaire : le NOC veille sur la santé opérationnelle, le SOC sur les menaces.

Le NOC SYLink supervise les équipements (Box, Pro, sondes DPI) et déclenche l'intervention d'un partenaire intégrateur en cas de défaillance.

Le RSSI est la personne responsable, dans une organisation, de la définition et de la mise en œuvre de la stratégie de cybersécurité. Il rend généralement compte à la Direction Générale ou à la DSI.

Ses missions : analyse de risque, choix d'architecture, conformité réglementaire (NIS2, ISO 27001), pilotage des audits, gestion des incidents et acculturation des équipes.

SYLink livre ses rapports d'audit et plans d'action dans un format directement exploitable par le RSSI ou son équivalent (DSI dans les structures plus petites).

Un SOC (Security Operations Center) est une équipe et une plateforme dédiées à la détection et à la réponse aux incidents de sécurité, 24h/24 et 7j/7.

Il agrège les logs et événements (SIEM), corrèle les signaux faibles, qualifie les alertes par criticité et déclenche la réponse (confinement, forensic, communication de crise).

SYLink propose un SOC mutualisé (palier PME) et un SOC dédié (palier Enterprise) — analystes français, intégration possible à votre SIEM existant.

Le CAASM consolide les données provenant des outils existants (EDR, scanners, CMDB, cloud, identité) pour produire une vision unifiée de l'ensemble des actifs et de leur exposition.

Objectif : repérer les actifs oubliés, mal configurés ou en dérive, et prioriser les remédiations en fonction du risque réel.

Les rapports SYLink Audit incluent un volet CAASM cartographiant les expositions internes et externes du système d'information.

Un dispositif DLP inspecte le trafic, les fichiers et les comportements pour détecter et bloquer l'exfiltration de données classifiées (PII, secrets industriels, données de santé).

Les DLP modernes opèrent à plusieurs niveaux : poste de travail (agents), réseau (sondes DPI) et services cloud (DLP intégré aux suites SaaS).

SYLink Box et la gamme DPI assurent la détection au niveau réseau ; SYLink EDR couvre le poste de travail.

La Deep Packet Inspection analyse le contenu réel des paquets réseau (au-delà des en-têtes) pour identifier protocoles, applications et menaces.

Une sonde DPI peut, par exemple, distinguer un appel WebRTC légitime d'un canal de commande discret (C2) qui se déguise en HTTPS.

SYLink propose 3 sondes DPI : DPI Mini (15 000 IPs, 2 ans de stockage), DPI VM (virtualisée), DPI Pro (70 000 IPs, 5 ans, time machine forensique).

Un EDR remplace l'antivirus classique : il surveille en continu les processus, fichiers, connexions réseau et appels système d'un endpoint, détecte les comportements suspects et peut isoler la machine en cas d'incident.

Différence avec un antivirus : l'EDR détecte des menaces inconnues (zero-day) par analyse comportementale, pas seulement par signature.

SYLink EDR est édité en France, intègre nativement la console SYLink et fonctionne en mode souverain (pas de télémétrie sortante).

Un IPS combine la détection (comme un NIDS) et le blocage en temps réel. Il coupe les sessions malveillantes, bloque les exploits et empêche l'exfiltration.

Souvent intégré au NGFW pour les sites de production, ou en mode autonome (sondes en coupure réseau) pour les architectures sensibles.

Les SYLink Box / Pro intègrent un IPS managé avec base de signatures maintenue en France.

Dans une architecture MoE, le modèle dispose de centaines de milliards de paramètres au total, mais seul un sous-ensemble — quelques milliards — est activé pour traiter chaque token. Cela combine profondeur de raisonnement et efficacité d'exécution.

L'approche permet de spécialiser certains experts (cybersécurité, code, raisonnement structuré) sans payer le coût d'un modèle dense équivalent.

Les modèles SYLink AI à 80 milliards de paramètres reposent sur cette architecture, avec environ 3 milliards de paramètres actifs par token.

Le MTTD mesure la latence entre le début d'une activité malveillante et son identification par les outils ou les analystes.

Plus le MTTD est court, plus l'attaquant a peu de temps pour étendre son emprise. Sur les attaques évoluées, viser un MTTD inférieur à quelques heures est devenu un standard pour les organisations sous obligation NIS2.

Sur les périmètres SYLink supervisés via UniSOC ou un SOC partenaire, le MTTD typique est observé sous 5 minutes pour les motifs connus et sous l'heure pour les comportements anormaux.

Le MTTR englobe la qualification, la décision, le containment et la restauration. Il complète le MTTD : un MTTD court sans MTTR maîtrisé n'apporte qu'une partie de la valeur.

Les équipes outillées (EDR, playbooks, SOC dédié) atteignent typiquement un MTTR opérationnel de l'ordre de l'heure sur les incidents récurrents.

Les rapports SYLink Audit incluent les MTTD et MTTR observés sur la période, avec recommandations chiffrées.

Un NGFW (Next-Generation Firewall) combine un pare-feu classique (filtrage par adresse IP et port) avec une inspection applicative (DPI), un IPS, un antivirus de flux et le blocage URL.

Il comprend ce qui transite sur le réseau, pas seulement d'où ça vient. Il peut bloquer un téléchargement de malware, un site de phishing, ou détecter une commande de bot.

Les SYLink Box, Mini et Pro sont des NGFW français — code et signatures maintenus en France, pas de rappel cloud.

Un NIDS (Network IDS) écoute le trafic réseau en mode passif et détecte les motifs d'attaque connus (signatures) et anormaux (anomalies comportementales).

Contrairement à un IPS (qui bloque), un NIDS se contente de signaler — utile pour la time machine forensique sans risque d'impact sur la production.

SYLink déploie des sondes NIDS via DPI Mini, DPI VM ou DPI Pro selon le périmètre.

Un SIEM collecte les logs et événements de toutes les sources (pare-feu, EDR, serveurs, applications), les corrèle et déclenche des alertes en cas de motifs suspects.

C'est l'outil central d'un SOC : il rend visible ce qui se passe et permet une réponse coordonnée.

SYLink s'intègre aux SIEM du marché (Splunk, Elastic, Wazuh) via connecteurs natifs.

Un VPN établit un tunnel chiffré entre deux points (poste-serveur ou site-site), de sorte que le trafic est illisible pour l'opérateur réseau ou un attaquant intermédiaire.

Cas d'usage : télétravail sécurisé, connexion Wi-Fi public, contournement de la géolocalisation, fédération de sites distants.

SYLink VPN est self-hosted (vous gardez les clés), Protect le décline en mode site-à-site pour les architectures multi-sites.

Un VPN inter-sites établit des tunnels chiffrés permanents entre plusieurs locaux d'une même organisation, de sorte qu'ils forment un seul réseau privé virtuel.

Avantage : même politique de sécurité partout, ressources accessibles à tous les sites comme s'ils étaient en LAN, supervision centralisée.

SYLink Protect orchestre ces tunnels avec rotation automatique des clés, supervision NOC 24/7 et bascule automatique en cas de panne.

Un système air-gappé n'a aucune connexion réseau (ni filaire, ni Wi-Fi, ni Bluetooth) avec l'extérieur. Les échanges se font par supports physiques (clé USB, disque) avec procédures contrôlées.

Utilisé pour les zones classifiées (II 901, IGI 1300), les SCADA industriels critiques, les systèmes de défense.

SYLink est conçu dès l'origine pour l'on-premise et l'air-gap : signatures et IA mises à jour par paquets hors-ligne, MCO/MCS opérés par équipes habilitées.

Le MCO regroupe toutes les opérations qui maintiennent un système informatique en état de marche : application des correctifs, mises à jour applicatives, supervision, gestion des incidents non sécurité.

Sur les périmètres sensibles (OIV, Défense), le MCO est exigé par contrat avec des SLA précis et des équipes habilitées.

Le MCS regroupe les opérations spécifiques à la sécurité : application des correctifs de sécurité, durcissement des configurations, revues d'habilitation, tests d'intrusion réguliers.

Sur les zones classifiées, MCS et MCO sont distincts contractuellement et opérés par des équipes différentes.

SYLink propose le MCO et le MCS par équipes habilitées sur le territoire national.

On-premise désigne un déploiement où le logiciel et les données restent dans votre datacenter ou vos locaux, par opposition au SaaS / cloud public.

Avantages : souveraineté totale, conformité air-gap possible, immunité aux régimes extra-territoriaux (Cloud Act, FISA).

SYLink est on-premise par défaut, avec option SaaS souverain pour les structures qui le souhaitent.

La CTI consiste à collecter, analyser et diffuser de l'information sur les menaces cyber : qui attaque, comment, avec quels outils et indicateurs.

Elle alimente les défenses (signatures, IOC, règles de détection) et permet d'anticiper plutôt que de subir.

SYLink CTI s'appuie sur 12 ans d'expertise et 30 Po de flux analysés par mois.

Le darkweb désigne la fraction d'Internet inaccessible via les navigateurs classiques, généralement via Tor ou I2P. C'est le canal privilégié des marketplaces criminelles, leak sites de ransomware et forums de cybercrime.

La surveillance darkweb permet de détecter une exposition de marque ou une fuite avant qu'elle ne devienne publique.

Les leaks regroupent toutes les fuites de données : credentials, fichiers internes, données clients, propriété intellectuelle, qui apparaissent sur des forums underground, marketplaces, sites de leak ou groupes Telegram.

Détecter une fuite tôt permet de réagir vite : changer les mots de passe compromis, prévenir les utilisateurs, lancer un takedown.

SYLink Leaks (Basic / Enterprise / VIP) surveille en continu jusqu'à 58 modules de sources et qualifie les alertes par nos analystes.

Le phishing exploite l'humain pour obtenir des informations sensibles (identifiants, codes, données bancaires) via un message qui imite une entité légitime (banque, employeur, service public).

Variante ciblée : le spear-phishing, qui personnalise le message pour un individu précis (souvent un dirigeant ou un comptable).

Learn N1 sensibilise les collaborateurs à reconnaître ces tentatives ; Learn N4 forme les COMEX aux attaques sophistiquées.

Un ransomware chiffre les fichiers d'une organisation et exige une rançon (souvent en cryptomonnaie) pour fournir la clé de déchiffrement. Variante moderne : double extorsion (chiffrement + menace de publication des données).

Vecteurs principaux : phishing, exploitation de vulnérabilités, accès distants compromis.

Les SYLink Box, EDR et la supervision SOC réduisent le risque de propagation et accélèrent la remédiation.

Le spear-phishing vise une personne identifiée (souvent un dirigeant, RAF, comptable) avec un message très personnalisé : nom du PDG, références internes, ton crédible.

Il sert souvent à initier une fraude (virement frauduleux, accès au SI), parfois précédé de mois de reconnaissance.

La surveillance VIP (Leaks 58 modules) détecte les indicateurs de préparation : exposition de la cible, identifiants compromis, mentions sur le darkweb.

Une zero-day est une vulnérabilité non publiée et non corrigée. Les attaquants qui la connaissent peuvent exploiter avant que l'éditeur ne réagisse.

Les défenses comportementales (EDR, sondes DPI) sont les seules à pouvoir détecter une exploitation zero-day, puisque les signatures n'existent pas encore.