Assistance à la rédaction d'un cahier des charges (Pen Testing)
Vous consultez des prestataires sur une base claire et comparez des offres comparables.
En bref
- Résultat
- Vous consultez des prestataires sur une base claire et comparez des offres comparables.
- Idéal pour
- Directeur des systèmes d'information, chef de projet ou directeur de la fonction concernée qui doit confier une prestation sur le thème Pen Testing sans en être spécialiste.
- Ce que vous obtenez
- Cahier des charges ou spécification de prestation : objet, exigences, livrables attendus, critères de recette, grille d'évaluation des offres.
- Prérequis de votre côté
- Objectif de la consultation, contraintes contractuelles et de calendrier, exigences réglementaires à répercuter sur le prestataire.
- Durée et charge
- 4 à 8 jours
- Format
- Forfait
Exemple construit
Consulter trois prestataires sur une base comparable. Une société de gestion doit externaliser une action sur le thème Pen Testing et reçoit des offres difficiles à comparer. Le cahier des charges rédigé avec nous précise les livrables, les exigences à répercuter et les critères de recette ; la consultation suivante repose sur une grille d'évaluation commune.
Confier une prestation sur le thème Pen Testing suppose de savoir la décrire : ce que vous attendez, les exigences à répercuter, les livrables, les critères de recette et la manière de comparer les offres. Nous rédigeons avec vous ce cahier des charges, en tenant compte du contexte de votre activité, dans des organisations financières soumises à DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier), où le risque lié aux technologies de l'information, les prestataires tiers et la continuité des services critiques engagent la direction et chacun de ses fournisseurs.
Nous intégrons les exigences à répercuter sur les prestataires (sécurité de l'information, confidentialité, sous-traitance, réversibilité et, pour les entités concernées, les exigences contractuelles de DORA), les règles d'accès aux données, puis nous vous aidons à analyser les offres reçues avec une grille d'évaluation. Vos analystes en cybersécurité disposent d'un document réutilisable pour les consultations suivantes.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les exigences réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Pen Testing pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par vos instances, par vos fonctions de contrôle et par le superviseur.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction. Elle ne constitue ni un avis juridique ni un conseil en investissement.
Appui à la décision
Nous présentons la note en comité et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.
- Cahier des charges ou spécification de prestation
- Grille d'évaluation des offres
- Trame de clauses contractuelles, à faire valider par votre service juridique
Format et charge : forfait, 4 à 8 jours. Idéal pour : directeur des systèmes d'information, chef de projet ou directeur de la fonction concernée qui doit confier une prestation sur le thème Pen Testing sans en être spécialiste. Prérequis de votre côté : objectif de la consultation, contraintes contractuelles et de calendrier, exigences réglementaires à répercuter sur le prestataire.
Exemples d'usage
Une situation d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.
Consulter trois prestataires sur une base comparable
Une société de gestion doit externaliser une action sur le thème Pen Testing et reçoit des offres difficiles à comparer. Le cahier des charges rédigé avec nous précise les livrables, les exigences à répercuter et les critères de recette ; la consultation suivante repose sur une grille d'évaluation commune.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en comité. La charge indicative est de 4 à 8 jours, format forfait. Le livrable sur le thème Pen Testing est rédigé pour être lu par votre direction et par vos fonctions de contrôle sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Il s'agit d'une analyse d'organisation et de méthode, sans avis juridique ni conseil en investissement. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Pen Testing, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Une prestation d'Optédif relève-t-elle des clauses de l'article 30 de DORA ?
Cela dépend de la prestation et de l'entité cliente, et nous ne le promettons pas. Lorsqu'une mission sur le thème Pen Testing constitue un service fourni à une entité financière au titre de ses systèmes d'information, par exemple l'administration d'un outil, les clauses de l'article 30 peuvent s'appliquer au contrat : description des services, lieux de traitement des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation. Nous les examinons avec vos équipes juridiques et achats avant la signature. Une mission d'audit ou de conseil n'entre pas toujours dans ce périmètre : la qualification relève de votre analyse.
Demander un devis
Indiquez le périmètre, les équipes concernées et l'échéance : première réponse sous 48 h ouvrées, devis ferme après l'échange de cadrage.
Les autres déclinaisons de conseil sur le thème Pen Testing
- Conseil en gouvernance de la sécurité et de la résilience (Pen Testing)
- Cadrage de méthode et de périmètre (Pen Testing)
Les autres types de prestation sur le thème Pen Testing
