Diagnostic flash avant une revue, un contrôle ou un audit interne (Norme ISO 27005 Gestion des risques liés à la sécurité de l'information)

Quand l'échéance est proche, un audit complet n'est plus possible. Le diagnostic flash sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information se concentre sur ce qui sera regardé : les documents que l'examinateur demandera, les pratiques qu'il observera, les questions qu'il posera, à partir de notre connaissance des revues et des contrôles, dans des organisations financières soumises à DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier), où le risque lié aux technologies de l'information, les prestataires tiers et la continuité des services critiques engagent la direction et chacun de ses fournisseurs.

En deux à trois jours, nous relisons l'essentiel, interrogeons les responsables sécurité informatique concernés et remettons une note courte : points solides à mettre en avant, points bloquants à corriger sans attendre, points secondaires à traiter ensuite. La note se lit en vingt minutes et se transforme en plan d'actions pour les semaines restantes. Elle n'anticipe pas la décision de l'auditeur ni celle du superviseur.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, de déontologie et d'accès aux documents.

2. Lecture documentaire

   Nous lisons les politiques, procédures, enregistrements et comptes rendus de comité relatifs au thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, avant toute rencontre, pour arriver aux entretiens avec des questions précises.

3. Entretiens et contrôles par échantillon

   Nous rencontrons les responsables et les équipes, observons les pratiques et contrôlons des échantillons sur des extraits anonymisés que vous préparez dans votre environnement, ou sur des données de test, sans aucune information privilégiée ni donnée d'ordre ou de position.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.

• Note de diagnostic de cinq pages
• Liste priorisée des actions avant l'échéance
• Conseils de présentation pour le jour de la revue

Format et charge : forfait, 2 à 3 jours. Idéal pour : responsable de la conformité, directeur des risques ou contrôleur permanent à quelques semaines d'une revue interne, d'un audit ou d'un contrôle sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information. Prérequis de votre côté : date et périmètre de l'échéance, accès aux documents principaux, une demi-journée d'entretiens.

Exemples d'usage

Une situation d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.