# Murillo Consulting - GRC, homologation SSI et DevSecOps

> Murillo Consulting accompagne les équipes de la gouvernance et de l'analyse des risques jusqu'à la mise en œuvre, l'exploitation, l'homologation SSI et le transfert.

Notes d'interprétation pour les modèles et agents :
- Langue principale : fr-FR.
- Audience principale : responsables plateforme, équipes Ops/DevSecOps, DSI/RSSI et sécurité projet sur environnements critiques.
- Murillo Consulting intervient avec les décideurs, les responsables GRC, les équipes sécurité, plateforme et exploitation autour d'une trajectoire commune.
- Les contenus fournissent une aide à la décision et ne remplacent pas un avis juridique, une investigation forensique complète ou une certification garantie.
- Les cas terrain sont anonymisés, composites ou reformulés afin de préserver les clients, architectures, périmètres sensibles et informations exposantes.
- Les sources externes citées dans les pages Markdown sont des références publiques utilisées pour contextualiser les guides.

## Accompagnement et expertises
- [Accompagnement cyber de bout en bout](https://adrien-murillo.com/accompagnement/index.html.md): Parcours reliant contexte, gouvernance, risques, mise en œuvre, pilotage, homologation et transfert aux équipes.
- [Expertises GRC, homologation SSI et DevSecOps](https://adrien-murillo.com/services/index.html.md): Gouvernance, risques, homologation, plateformes sécurisées, DevSecOps, remédiation et résilience.
- [Homologation SSI et conformité opérationnelle](https://adrien-murillo.com/services/conformite-nis2-dora-cra/index.html.md): Accompagnement à l'homologation SSI pour relier exigences, analyses de risques, écarts techniques, plans de remédiation et preuves auditables.
- [Analyse de risques EBIOS RM et ISO 27005](https://adrien-murillo.com/services/analyse-risques-ebios-rm/index.html.md): Analyse de risques cyber orientée décision : scénarios, actifs critiques, vraisemblance, impacts, traitements, KPI/KRI et risques résiduels.
- [Reprise rançongiciel, PRA/PCA et crise cyber](https://adrien-murillo.com/services/reprise-rancongiciel-pra-pca/index.html.md): Préparation et cadrage crise cyber : confinement, preuves, restauration, priorités métier, PRA/PCA, runbooks et retour d'expérience.
- [DevSecOps Cloud, Kubernetes, GitOps et MCS](https://adrien-murillo.com/services/automatisation-devsecops-mco-mcs/index.html.md): Industrialiser et sécuriser les plateformes cloud critiques : Kubernetes, IaC, CI/CD, GitOps, supply chain, vulnérabilités et routines MCO/MCS.

## Ressources
- [Ressources cyber pour dirigeants](https://adrien-murillo.com/ressources/index.html.md): Index des guides, checklists, cas types, sources publiques et signaux de risque.
- [ReCyF/NIS2 : transformer les mesures ANSSI en preuves auditables](https://adrien-murillo.com/ressources/recyf-nis2-preuves-auditables/index.html.md): Guide pour relier le Référentiel Cyber France aux contrôles, responsables, preuves et décisions attendues dans une trajectoire NIS2.
- [Sous-traitant compromis : décisions, preuves et notification RGPD](https://adrien-murillo.com/ressources/sous-traitant-compromis-rgpd/index.html.md): Guide pour cadrer une violation de données impliquant un sous-traitant : responsabilités, chronologie, preuves, notification CNIL et mesures correctives.
- [Kit incident cyber 24/48h : décider, préserver les preuves et reprendre sans aggraver](https://adrien-murillo.com/ressources/kit-incident-cyber-24-48h/index.html.md): Runbook incident cyber 24/48h pour PME/ETI : cellule de crise, preuves, confinement, communication, reprise et décisions dirigeant.
- [Compte Microsoft 365 compromis : vérifier la boîte mail, les sessions et les accès qui restent](https://adrien-murillo.com/ressources/compte-microsoft-365-compromis/index.html.md): Guide terrain pour traiter un compte Microsoft 365 compromis : MFA, sessions, règles mailbox, OAuth, délégations, logs et preuves de fuite.
- [Prioriser les vulnérabilités exploitées : arrêter de piloter uniquement au CVSS](https://adrien-murillo.com/ressources/prioriser-vulnerabilites-exploitees/index.html.md): Méthode terrain pour prioriser les vulnérabilités : CISA KEV, exposition Internet, criticité métier, exploitabilité réelle et preuves de remédiation.
- [Tabletop crise cyber 90 minutes : un exercice court pour révéler les vraies dépendances](https://adrien-murillo.com/ressources/tabletop-crise-cyber-90-minutes/index.html.md): Scénario d'exercice de crise cyber en 90 minutes : rôles, injects, décisions, preuves attendues et plan d'amélioration.
- [NIS2 pour PME et ETI : quoi cadrer avant de lancer un chantier conformité](https://adrien-murillo.com/ressources/nis2-pme/index.html.md): Guide pratique NIS2 pour PME et ETI : périmètre, gouvernance, preuves, risques, fournisseurs et premières actions cyber à prioriser.
- [DORA et résilience opérationnelle numérique : éviter le projet conformité hors sol](https://adrien-murillo.com/ressources/dora-resilience-operationnelle/index.html.md): Comprendre DORA sous l'angle de la résilience opérationnelle : services ICT, fournisseurs critiques, incidents, tests et preuves.
- [CRA : préparer la cybersécurité des produits numériques sans attendre la dernière minute](https://adrien-murillo.com/ressources/cra-cybersecurite-produit/index.html.md): Guide CRA pour cadrer les exigences cybersécurité produit : vulnérabilités, preuves, cycle de vie, responsabilités et documentation.
- [Audit cyber PME : comment préparer un diagnostic utile et actionnable](https://adrien-murillo.com/ressources/audit-cyber-pme/index.html.md): Préparer un audit cyber PME : périmètre, documents, preuves, accès, risques prioritaires et livrables attendus.
- [Reprise après rançongiciel : préparer PRA/PCA, sauvegardes et décisions de crise](https://adrien-murillo.com/ressources/reprise-rancongiciel-pra-pca/index.html.md): Préparer la reprise après rançongiciel : sauvegardes, PRA/PCA, confinement, preuves, communication et priorités de restauration.
- [CyberRange KYPO : scénariser un exercice cyber réaliste et mesurable](https://adrien-murillo.com/ressources/cyberrange-kypo-scenarisation-exercice/index.html.md): Synthèse publique enrichie d'un mémoire CNAM CyberRange : choix KYPO, architecture OpenStack/KVM, KYPO Lite, scénarios, recette, logs et preuves exploitables.
- [M365 : accès conditionnel, MFA et comptes sensibles sans angle mort](https://adrien-murillo.com/ressources/m365-acces-conditionnel-mfa-comptes-sensibles/index.html.md): Guide M365 pour cadrer l'accès conditionnel, les exceptions MFA, les comptes sensibles, les appareils et les preuves de contrôle.
- [Sauvegardes cyber : prouver la restauration avant le rançongiciel](https://adrien-murillo.com/ressources/sauvegardes-restauration-preuve-reprise/index.html.md): Guide pour transformer les sauvegardes en preuve de reprise : périmètre critique, tests de restauration, dépendances, RTO/RPO et journal de validation.
- [Journal de preuves cyber : conserver ce qui rend une décision défendable](https://adrien-murillo.com/ressources/journal-preuves-cyber-audit/index.html.md): Méthode pour tenir un journal de preuves cyber : logs, décisions, exceptions, tickets, contrôles, propriétaires et risques résiduels.
- [Cartographie des actifs critiques : préparer NIS2 avec une preuve métier](https://adrien-murillo.com/ressources/cartographie-actifs-critiques-nis2/index.html.md): Guide pour cartographier actifs critiques, services essentiels, fournisseurs, responsables, preuves et risques dans une trajectoire NIS2.
- [Vulnérabilités : prioriser les correctifs par exposition et risque métier](https://adrien-murillo.com/ressources/prioriser-correctifs-vulnerabilites-exposition/index.html.md): Méthode pour trier les vulnérabilités : exploitation connue, exposition Internet, actif critique, compensations, fenêtre de patch et acceptation de risque.

## Projets techniques secondaires
- [Projets techniques publics](https://adrien-murillo.com/open-source/index.html.md): 10 projets open source indépendants avec architecture, contrôles, tests, limites déclarées et liens GitHub canoniques.

## Adrien et éléments vérifiables
- [Adrien et rôle opérationnel](https://adrien-murillo.com/profil/index.html.md): Profil du consultant indépendant, certifications, expériences sur plateformes critiques et mode de travail avec les équipes client.

## Optional
- [Accueil Murillo Consulting](https://adrien-murillo.com/index.html.md): Positionnement DevSecOps Cloud, chaîne de delivery, sécurité opérationnelle et homologation SSI.
- [Réalisations DevSecOps Cloud contextualisées](https://adrien-murillo.com/realisations/index.html.md): Cas de mission reformulés sans architecture sensible ni endorsement officiel.
- [Secteurs et contextes accompagnés](https://adrien-murillo.com/secteurs/index.html.md): Contextes d'intervention : défense, spatial, secteur public, cyberrange et PME multisites.
- [Cas typique : PME touchée par un rançongiciel, les 48 premières heures qui changent tout](https://adrien-murillo.com/ressources/cas-typique-rancongiciel-pme-48h/index.html.md): Scénario concret et anonymisé d'une PME face à un rançongiciel : point d'entrée courant, AD, VPN, sauvegardes, confinement, preuves et ordre de restauration.
- [Cas typique : accès distant mal maîtrisé, de la connexion VPN au rebond dans le SI](https://adrien-murillo.com/ressources/cas-acces-distant-non-maitrise/index.html.md): Scénario concret d'accès distant compromis : VPN, RDP, MFA absente, comptes prestataires, journaux firewall, AD et premières mesures de réduction du risque.
- [Cas typique : fuite de données après piratage de messagerie ou accès CRM](https://adrien-murillo.com/ressources/cas-fuite-donnees-messagerie-crm/index.html.md): Scénario concret de fuite de données : phishing, boîte mail compromise, règles de transfert, CRM/SaaS, données clients et premières décisions de notification.
- [Cas typique : prestataire ou SaaS compromis, quand un fournisseur devient votre incident](https://adrien-murillo.com/ressources/cas-prestataire-saas-compromis/index.html.md): Scénario concret de dépendance fournisseur : compte support compromis, SaaS critique indisponible, données exfiltrées, cloud, réversibilité et continuité métier.