Cyber, without the theatre.
Smart / Cyberon prend en charge la sécurité de vos applications web, de vos serveurs et des accès qui y mènent. Audit, hardening, détection 24/7, réponse à incident — sous un seul contrat, par une équipe d'engineers qui livrent les correctifs, pas des slides.
Votre IT interne gère le bureau. Qui gère votre site et vos serveurs ?
Postes, Wi-Fi, M365, support utilisateurs : c'est le métier de l'équipe IT. Sécuriser une application web exposée, durcir un serveur Linux, garder un WAF tuné — ce n'est pas le même métier. La plupart des PME n'ont personne en interne dont c'est le quotidien.
Les attaques qui font tomber les PME ne sont presque jamais sophistiquées. Un plugin WordPress non mis à jour, une dépendance npm vulnérable, un port SSH ouvert avec un mot de passe faible, un certificat expiré pendant la nuit. Ce sont des choses qu'un humain peut suivre — à condition que ce soit dans sa fiche de poste.
Notre rôle, c'est de tenir cette ligne précise : applications publiques, serveurs de production, accès admin. En complément de votre IT interne, pas à sa place. Périmètres séparés, responsabilités claires, un seul contrat de bout en bout.
Sites e-commerce (WooCommerce, Shopify), SaaS, sites WordPress, applications métier custom, APIs REST/GraphQL.
VPS Linux, conteneurs Docker, reverse proxies Nginx/Traefik, bases de données, pipelines CI/CD.
VPN, MFA, SSO, bastions SSH, coffres-forts de secrets, Zero Trust Network Access pour vos équipes techniques.
Pas de postes, pas de M365, pas de Wi-Fi de bureau, pas de helpdesk. Notre périmètre est focalisé, donc maîtrisé.
Un seul contrat. Le périmètre web, serveur et accès.
Des prestations ponctuelles (audit, pentest, réponse à incident) et un bundle managé qui couvre la prévention, la détection et la remédiation au quotidien. Chaque livrable est documenté et traçable.
Audit applicatif & pentest
OWASP Top 10, code review SAST, analyse des dépendances SCA. Pentests web, API et serveur en boîte noire, grise ou blanche. Rapport avec preuves d'exploitation et remédiation priorisée.
Hardening serveur
Durcissement Linux, Docker, reverse proxies, bases de données. Configuration auditée et versionnée.
Audit DNS, email & Cloudflare
SPF, DKIM, DMARC, DNSSEC, règles WAF Cloudflare, anti-bot. La couche edge faite correctement.
Application Security managé
Bundle récurrent : WAF + anti-bot + anti-DDoS, hardening serveur, monitoring sécurité, backups immuables, retainer réponse à incident avec SLA < 2h. Le cœur de notre offre.
Réponse à incident
Containment, forensic, nettoyage de sites compromis, restauration et post-mortem documenté. Disponible sous SLA pour les clients sous contrat, en intervention ponctuelle pour les autres.
Zero Trust Access managé
VPN, MFA, SSO, bastions SSH avec enregistrement de session, coffre-fort de secrets. Pour vos équipes techniques.
Patch management & veille CVE
Suivi des CVE sur votre stack précis, SLA de patch, fenêtres de maintenance planifiées et communiquées.
vCISO / RSSI à temps partagé
Gouvernance, roadmap sécurité, KPI au comité de direction, préparation cyber-assurance, accompagnement ISO 27001, SOC 2, GDPR, nLPD, NIS 2, PCI-DSS.
Des indicateurs honnêtes, pas des promesses.
Nous ne sommes pas un SOC traditionnel à trois équipes en 3×8. Notre détection est automatisée (CrowdSec, Wazuh, alerting comportemental) et tunée finement, complétée par des engineers d'astreinte sous SLA. C'est différent — et c'est ce qu'on appelle être honnête sur ce qu'on livre.
Pas de FUD. Pas de jargon militaire. Des correctifs livrés.
Practice cybersécurité de Smart Impact Sàrl. Genève et Fribourg, une vingtaine de personnes, dont des engineers qui écrivent du code et opèrent des serveurs au quotidien.
Un partenaire qui connaît votre stack ligne par ligne, qui décroche au premier appel et qui documente chaque décision.
Qui tient vraiment la ligne applications web et serveurs ?
Votre IT interne n'a pas vocation à le faire — et ce n'est pas un reproche. Une SSII facture à l'heure sans accountability. Un freelance disparaît en vacances. Voici ce que chaque option couvre réellement sur le périmètre web/serveur/accès.
| IT interne seule Postes, M365, support | SSII / freelance Au coup par coup | Smart / Cyberon MSSP web · serveur · accès | |
|---|---|---|---|
| Périmètre | Bureau, postes, réseau local | Variable selon mission | Web, serveurs, accès — figé contractuellement |
| Modèle | Salaires + outils | Régie à l'heure | Forfait managé + prestations one-shot |
| Détection 24/7 | Aucune | Pas inclus | Automatisée + astreinte engineer < 2h |
| Conformité | Hors scope | À la demande, sans suivi | ISO 27001, SOC 2, GDPR, nLPD, NIS 2 accompagnés |
| Réponse à incident | Improvisation sous stress | Si disponible, facturé à l'heure | Runbook testé, SLA contractuel, post-mortem livré |
| Accountability | Diffuse | Variable selon prestataire | Contrat unique, KPI publiés, rapports trimestriels |
Ancrés en Suisse.
Connectés au monde.
Des CTO qui dorment mieux, pas qui rêvent en couleur.
« On avait deux développeurs full-stack et personne pour tenir la couche sécurité de la plateforme. Smart / Cyberon a pris ce périmètre sous contrat unique : audit, hardening, WAF, patches mensuels, et un engineer joignable quand il faut. La préparation SOC 2 type II s'est faite en six mois, dossier validé du premier coup. »
« Notre boutique WooCommerce s'est fait défoncer un dimanche soir : sites miroirs, redirections SEO, plugins compromis. L'astreinte a containé dans la nuit, restauré le lundi midi à partir des backups immuables, post-mortem livré le mardi. On a appris ce qu'on aurait dû faire avant — et c'est en place depuis. »
« Nos équipes IT gèrent les postes et M365, ce qu'elles font très bien. Nous, on avait une dette sur les serveurs publics et personne pour la traiter. Smart / Cyberon a pris cette couche sans empiéter sur le reste. Périmètres clairs, contrat clair, comité sécurité trimestriel. »
Témoignages anonymisés. Référence nominative remise sur demande après NDA mutuel.
De l'audit à l'opération, en 4 phases.
Chaque phase produit un livrable signé : rapport, runbook, configuration versionnée. Périmètre web, serveur et accès — pas plus, pas moins.
Audit applicatif & serveur
Pentest sur les applications publiques, revue de configuration des serveurs et du edge, analyse des accès admin. Rapport avec preuves d'exploitation et remédiation priorisée sur l'exploitabilité réelle.
Hardening & remédiation
Correctifs livrés sous forme de pull requests et de configurations versionnées : durcissement Linux, règles WAF, MFA partout, secrets sortis du code, bastions en place. Tout est transférable.
Mise en supervision
Bascule en monitoring continu (CrowdSec, Wazuh, alerting comportemental), retainer réponse à incident actif, SLA d'astreinte engineer engagé. Runbooks testés en exercice de table.
Run & comité sécurité
Patch management mensuel, veille CVE sur votre stack, rapport trimestriel avec KPI publiés, comité sécurité annuel. Pour les clients sous vCISO, gouvernance au niveau du comité de direction.
Pour les organisations dont le site et les serveurs sont critiques.
PME et mid-market, 10 à 300 personnes, en Suisse, en Europe et au-delà. Souvent avec une équipe IT qui pilote le bureau — et personne dont la sécurité applicative est le métier.
E-commerce & boutiques WooCommerce
Trafic constant, conversion sensible, plugins multiples, paiements en jeu. Notre expertise WordPress/WooCommerce nous distingue : hardening, plugins audités, anti-bot ciblé, PCI-DSS.
Discuter de mon contexteSaaS B2B & sites corporate à fort trafic
Vos clients vous demandent SOC 2 ou ISO 27001 avant de signer. Vos investisseurs aussi. On prend la couche sécurité applicative et serveur pendant que votre équipe produit livre.
Discuter de mon contexteFiduciaires & cabinets professionnels suisses
Données clients sensibles, exigences nLPD strictes, secret professionnel à tenir. Hébergement Suisse, accès Zero Trust, audits documentés pour la cyber-assurance et les régulateurs.
Discuter de mon contexteLes questions qu'un CTO pose avant de signer.
Réponses directes, sans la couche commerciale.
01 Qu'est-ce que vous ne couvrez pas ?
Qu'est-ce que vous ne couvrez pas ?
Pas de postes de travail, pas d'EDR utilisateur, pas de MDM. Pas de Microsoft 365 ni Google Workspace en gestion. Pas de Wi-Fi de bureau, pas de firewall périmétrique de site, pas de switching. Pas de helpdesk, pas de téléphonie, pas d'imprimantes, pas de badges. Pas de formation anti-phishing utilisateur (on forme les développeurs et les sysadmins, pas les commerciaux). Notre périmètre est volontairement étroit : web, serveurs, accès admin — c'est ce qui nous permet d'être bons.
02 Vous remplacez notre équipe IT interne ?
Vous remplacez notre équipe IT interne ?
Non — et on ne s'est jamais positionnés au-dessus d'elle. Votre IT gère ce qui est son métier : postes, M365, Wi-Fi, support utilisateurs. Nous tenons une couche distincte (applications publiques, serveurs de production, accès admin) que beaucoup de PME n'ont personne en interne pour couvrir. Partenariat de pairs, périmètres écrits dans le contrat, points hebdomadaires.
03 Vous avez un SOC 24/7 traditionnel avec des analystes en 3×8 ?
Vous avez un SOC 24/7 traditionnel avec des analystes en 3×8 ?
Non, et nous préférons le dire. Notre détection est automatisée (CrowdSec, Wazuh, alerting comportemental tuné finement sur votre stack) et complétée par des engineers d'astreinte avec un SLA d'intervention < 2h. C'est différent d'un SOC entreprise classique, c'est plus adapté à une PME ou un mid-market, et c'est honnête sur ce qu'on livre.
04 Combien ça coûte ?
Combien ça coûte ?
Une prestation ponctuelle (audit web, pentest, hardening serveur) démarre vers 4k–15k CHF/EUR selon le périmètre. Le bundle managé Application Security se chiffre entre 2k et 8k CHF/EUR par mois pour une PME avec une application principale et une infra Linux standard. Un accompagnement ISO 27001 from-scratch : 35k–80k selon la maturité initiale. Chaque devis est itemisé, sans frais cachés.
05 Vos données restent-elles en Suisse ou en UE ?
Vos données restent-elles en Suisse ou en UE ?
Selon votre marché : oui. Nos engineers sont à Genève et Fribourg. L'infra de monitoring peut être hébergée en Suisse, en France, en Allemagne ou aux Pays-Bas. La juridiction, les sous-traitants éventuels et les transferts sont précisés dans le contrat. Pas de chaîne opaque.
06 Comment se passe une intervention d'urgence si on n'est pas client ?
Comment se passe une intervention d'urgence si on n'est pas client ?
Ligne /urgence-cyber ouverte aux non-clients en cas d'incident actif (site compromis, intrusion, ransomware). Forfait initial de prise en charge, puis facturation au temps passé. Containment et restauration en priorité, post-mortem documenté livré ensuite. Si vous nous appelez pour la première fois pendant un incident, on ne perd pas de temps à vendre — on intervient.
Parlons de votre stack, pas de notre méthode.
30 minutes avec un de nos engineers. On regarde concrètement votre application, votre infra et vos accès. On vous remet une note de posture en une page, avec les 3 écarts les plus exploitables et leur coût de remédiation. Gratuit, sans pression commerciale.
