Audit de maturité et gouvernance cyber
Évaluation de la maturité, analyse des écarts, définition d'une stratégie de sécurité et accompagnement de sa mise en œuvre.
Avant d'investir, il faut savoir d'où l'on part. L'audit de maturité cybersécurité donne une photographie de vos pratiques — gouvernance, gestion des accès, sauvegardes, continuité, relations avec les fournisseurs, sensibilisation — au regard d'un référentiel reconnu.
La gouvernance de la sécurité des systèmes d'information en découle : qui décide, selon quelles règles, avec quels moyens et quel suivi. Nous rédigeons des politiques de sécurité et des chartes d'utilisation adaptées à votre organisation et directement applicables.
Les situations auxquelles nous répondons
- Vous voulez un état des lieux objectif avant de bâtir un budget de sécurité.
- Vous préparez une certification, une mise en conformité ou une homologation et souhaitez un audit à blanc.
- Vos règles de sécurité sont implicites ou dispersées.
- Vous devez rendre compte du niveau de sécurité à un conseil d'administration, un actionnaire ou un client.
Les étapes de l'intervention
-
Choisir le référentiel
ISO 27001 et 27002, guide d'hygiène informatique de l'ANSSI, NIST CSF ou CIS Controls, selon vos objectifs.
-
Recueillir les éléments
Entretiens avec la direction, les métiers et l'informatique ; revue de la documentation existante.
-
Analyser les écarts
Niveau de maturité par domaine, points forts et écarts, classés selon le risque.
-
Définir la stratégie
Objectifs de sécurité, organisation cible et feuille de route.
-
Accompagner la mise en œuvre
Rédaction des politiques et des chartes, instances de pilotage, sensibilisation des équipes.
Il s'agit d'audits d'organisation et de conformité, fondés sur des entretiens et une revue documentaire. Ils se distinguent des audits techniques, comme les tests d'intrusion.
Livrables possibles
Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.
- Rapport d'audit de maturité
- Synthèse pour la direction
- Feuille de route de sécurité
- Politique de sécurité des systèmes d'information
- Charte d'utilisation des moyens informatiques
- Programme de sensibilisation
Questions fréquentes
Quelle différence entre un audit de maturité et un audit de certification ?
L'audit de maturité est un diagnostic réalisé pour vous : il mesure vos pratiques et propose des priorités. L'audit de certification est conduit par un organisme accrédité, qui vérifie la conformité à une norme et délivre, ou non, un certificat.
Combien de temps dure un audit de maturité ?
Pour une PME, quelques jours d'entretiens et d'analyse suffisent le plus souvent, répartis sur deux à quatre semaines selon la disponibilité des interlocuteurs.