Audit cryptographique : crypto-agilité et inventaire CBOM

Un audit de crypto-agilité évalue la capacité d'une organisation à changer d'algorithme cryptographique sans réécrire ses applications. Il inventorie l'ensemble des usages cryptographiques du système d'information, mesure à quel point les choix d'algorithmes sont figés dans le code, les configurations, le matériel et les contrats fournisseurs, puis chiffre l'effort nécessaire pour en changer. Chez Zivyx Quantum, il produit un CBOM, une matrice de risque et une feuille de route budgétée.

Un CBOM est l'inventaire normalisé de tous les objets cryptographiques d'un système d'information : algorithmes, tailles de clés, certificats, protocoles, bibliothèques, matériels et dépendances entre eux. C'est l'équivalent cryptographique du SBOM. Nous le produisons au format CycloneDX 1.6, la norme OWASP qui porte nativement les composants de type cryptographic-asset, ce qui le rend lisible par vos outils et réutilisable par n'importe quel prestataire.

Trois formules à prix affiché : l'Audit Flash à 9 500 € HT pour les startups et éditeurs SaaS de moins de 50 personnes, l'Audit CBOM Complet à 18 500 € HT pour les PME et fintechs, et l'Audit Souverain à 42 000 € HT pour les banques, OIV et administrations. Le tarif est ferme après un cadrage gratuit de trente minutes, et le montant est déduit à 100 % du coût de la migration si vous nous la confiez dans les douze mois.

Trois semaines pour l'Audit Flash, cinq semaines pour l'Audit CBOM Complet, et huit à douze semaines pour l'Audit Souverain. Vos équipes sont mobilisées moins de quatre heures au total sur l'ensemble de la mission : la découverte est automatisée et les entretiens sont ciblés sur les zones que les outils ne peuvent pas trancher seuls.

Non. La phase de découverte est passive et en lecture seule : sondes réseau non intrusives, énumération des terminaisons TLS, lecture des magasins de certificats et analyse statique du code. Nous ne modifions aucune configuration et ne réalisons aucun test intrusif sans mandat écrit et fenêtre planifiée avec vous. Aucune interruption de service n'est nécessaire.

En JSON CycloneDX 1.6, accompagné d'un export CSV et d'un rapport PDF commenté. Le format JSON est versionnable dans votre dépôt Git, réimportable lors des réévaluations annuelles et exploitable par vos outils de gestion des vulnérabilités et d'inventaire. Vous recevez également les sources modifiables de tous les documents.

Le théorème de Mosca s'écrit X + Y > T. X est la durée pendant laquelle la donnée protégée doit rester confidentielle, Y la durée réelle de votre migration, et T le temps restant avant un ordinateur quantique cryptographiquement pertinent. Si la somme dépasse T, l'actif est déjà en retard. Nous mesurons X et Y actif par actif, puis pondérons par l'exposition externe et les obligations réglementaires de votre secteur.

Oui, et c'est la seule séquence défendable. Une migration quantum-safe engagée sans inventaire déborde systématiquement : les usages cryptographiques oubliés — une clé SSH ancienne, une bibliothèque figée dans un conteneur, un HSM hors support — apparaissent en cours de projet et font exploser le budget. L'audit transforme une estimation en engagement chiffré.

À partir de l'Audit CBOM Complet, oui. Nous analysons les dépendances applicatives et leurs primitives cryptographiques, la signature des artefacts et des images de conteneurs, ainsi que la posture de vos prestataires critiques. C'est une exigence directe de DORA pour les entités financières et leurs prestataires TIC, et un critère de plus en plus fréquent dans les appels d'offres grands comptes.

Oui, et c'est un engagement assumé. Le CBOM est livré dans un format ouvert et normalisé, la feuille de route est rédigée sans dépendance à nos outils, et vous recevez les sources modifiables. Aucune clause ne vous lie à Zivyx Quantum pour la suite. Un audit qui ne serait exploitable que par son auteur n'aurait aucune valeur devant un auditeur.