Cartographier son exposition

Le problème

Une organisation connaît mal sa propre surface d’exposition. Les noms de domaine réservés au fil des années par des équipes différentes, les comptes ouverts sur des plateformes pour une campagne et jamais refermés, les prestataires qui sous-traitent à d’autres prestataires : tout cela existe dans des tableurs séparés, tenus par des personnes qui ne se parlent pas.

Le jour où un domaine ressemblant au vôtre est enregistré, ou qu’un compte usurpe votre marque, la question n’est pas seulement de le traiter. C’est de savoir si c’est isolé, ou si cela s’inscrit dans un ensemble déjà repéré six mois plus tôt.

Ce que la carte apporte

Voir son périmètre. Domaines, sous-domaines, comptes officiels, prestataires, sites de marque : posés sur une carte, ils cessent d’être une liste et deviennent un ensemble avec ses zones denses et ses angles morts.

Rapprocher les signalements. Trois usurpations traitées séparément ne racontent rien. Les mêmes trois posées sur une carte, avec leurs dates d’enregistrement et leurs hébergeurs, montrent parfois qu’elles viennent du même endroit.

Suivre les dépendances en cascade. Un prestataire critique qui dépend lui-même d’un autre est une information de continuité d’activité, pas seulement d’achat. Le lien nommé la rend visible.

Garder l’historique. Une carte reprise à chaque incident devient la mémoire du service. Elle survit aux départs, ce que les tableurs personnels ne font jamais.

Une séance type

Vous partez de votre nom de domaine principal. Vous le posez, vous ajoutez son bureau d’enregistrement et sa date d’expiration, puis les sous-domaines exposés que vous connaissez.

Vous posez ensuite les domaines proches signalés ces derniers mois, un par entité, avec leur date de création. Deux d’entre eux ont été enregistrés le même jour, chez le même bureau : vous les reliez à une entité commune que vous nommez pour ce qu’elle est, un enregistrement groupé, sans conclure sur l’auteur.

Vous ajoutez les comptes officiels de la marque et les comptes signalés comme usurpateurs, en notant la plateforme et la date de signalement. Vous verrez peut-être qu’un même pseudonyme revient.

Côté fournisseurs, vous posez les prestataires critiques et ce dont ils dépendent eux-mêmes quand vous le savez. Les liens portent la nature de la dépendance.

Vous exportez, et cette carte devient la référence que vous rouvrirez au prochain signalement.

Ce que ça ne fait pas

L’outil ne surveille rien. Il ne scanne pas, n’alerte pas et ne se connecte à aucun flux. La détection reste le rôle de vos dispositifs de veille et de vos prestataires.

Il ne remplace pas non plus un inventaire technique tenu par l’informatique. Il sert à comprendre les relations entre les éléments, pas à en garantir l’exhaustivité.

Le point sensible

Une carte d’exposition est un document sensible : elle décrit vos dépendances et vos faiblesses au même endroit. Elle mérite le même soin qu’un plan de continuité.

C’est un argument pour la garder sur un poste maîtrisé plutôt que dans un service en ligne, et pour n’y faire figurer que ce qui sert à décider. Le guide sur le choix d’un outil revient sur les questions à poser avant de confier ce type de document à un tiers.