Audit blanc, exercice de crise et préparation aux référentiels (RSSI)
Un entraînement réaliste avant un audit externe, une revue du superviseur ou un incident, et des écarts connus à l'avance.
En bref
- Résultat
- Un entraînement réaliste avant un audit externe, une revue du superviseur ou un incident, et des écarts connus à l'avance.
- Idéal pour
- Responsable de la continuité d'activité, responsable de la sécurité des systèmes d'information ou responsable du contrôle interne qui prépare un audit de son organisme, une revue interne ou un exercice de crise.
- Ce que vous obtenez
- Rapport d'audit blanc ou d'exercice avec points maîtrisés, écarts et recommandations, et synthèse présentable à la direction.
- Prérequis de votre côté
- Référentiel visé (ISO/IEC 27001, ISO 22301, exigences de DORA ou politique interne), documentation du système de management, disponibilité des participants à l'exercice.
- Durée et charge
- 2 à 6 jours par campagne
- Format
- Forfait
Exemple construit
Audit blanc avant un audit de certification d'organisme. Une société de gestion prépare l'audit de son système de management sur le thème RSSI (responsable de la sécurité des systèmes d'information). L'audit blanc rejoue les entretiens et le contrôle des preuves, et le rapport liste les points à compléter avant la visite de l'organisme de certification accrédité.
Nous organisons un audit blanc à l'identique de l'échéance, selon la norme ou le référentiel que vous visez, ou un exercice de crise sur scénario : indisponibilité d'un prestataire, cyberattaque, perte d'un site. Nous tenons le rôle de l'auditeur ou de l'animateur, nous collectons les preuves et nous consignons les observations sur le thème RSSI.
Le rapport distingue ce qui est démontré, ce qui est partiel et ce qui manque. La certification d'un organisme est prononcée par un organisme de certification accrédité, et les certifications de personnes comme CISA (Certified Information Systems Auditor, certification de l'ISACA) ou CISSP (Certified Information Systems Security Professional, certification de l'ISC2) sont délivrées par l'ISACA (Information Systems Audit and Control Association, association professionnelle de l'audit des systèmes d'information) et l'ISC2 après leurs propres examens : nous préparons à la démarche et aux matières, sans valoir examen ni certification. L'objectif de sensibiliser les équipes pour renforcer la sécurité organisationnelle cadre le périmètre.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires, norme, politique interne, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur des données de test, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème RSSI.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification ou un examen officiel, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.
- Scénario ou grille d'audit blanc construit sur le référentiel visé
- Rapport distinguant le démontré, le partiel et le manquant
- Synthèse présentable à la direction avec les points à traiter avant l'échéance
Format et charge : forfait, 2 à 6 jours par campagne. Idéal pour : responsable de la continuité d'activité, responsable de la sécurité des systèmes d'information ou responsable du contrôle interne qui prépare un audit de son organisme, une revue interne ou un exercice de crise. Prérequis de votre côté : référentiel visé (ISO/IEC 27001, ISO 22301, exigences de DORA ou politique interne), documentation du système de management, disponibilité des participants à l'exercice.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.
Audit blanc avant un audit de certification d'organisme
Une société de gestion prépare l'audit de son système de management sur le thème RSSI. L'audit blanc rejoue les entretiens et le contrôle des preuves, et le rapport liste les points à compléter avant la visite de l'organisme de certification accrédité.
Exercice de crise sur indisponibilité d'un prestataire
Une plateforme simule la défaillance d'un prestataire cloud sur le thème RSSI. L'exercice teste la cellule de crise, la communication interne et la bascule vers le plan de reprise, puis consigne les enseignements dans un compte rendu remis à la direction.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications et des contrôles officiels ?
Nous ne délivrons aucune certification officielle, aucun agrément ni aucune habilitation : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème RSSI, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'une revue, et vous prépare aux matières lorsqu'un examen de tiers existe. La charge indicative est de 2 à 6 jours par campagne, format forfait. Le rapport n'est ni une validation par un superviseur, ni une attestation de conformité, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème RSSI, l'évaluation intervient avant une formation pour positionner les participants, après pour mesurer les acquis, ou seule pour vérifier un niveau avant une prise de poste ou une revue. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par la confidentialité et le secret professionnel prévus au contrat. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Une prestation d'Optédif relève-t-elle des clauses de l'article 30 de DORA ?
Cela dépend de la prestation et de l'entité cliente, et nous ne le promettons pas. Lorsqu'une mission sur le thème RSSI constitue un service fourni à une entité financière au titre de ses systèmes d'information, par exemple l'administration d'un outil, les clauses de l'article 30 peuvent s'appliquer au contrat : description des services, lieux de traitement des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation. Nous les examinons avec vos équipes juridiques et achats avant la signature. Une mission d'audit ou de conseil n'entre pas toujours dans ce périmètre : la qualification relève de votre analyse.
Demander un devis
Indiquez le périmètre, les équipes concernées et l'échéance : première réponse sous 48 h ouvrées, devis ferme après l'échange de cadrage.
Les autres déclinaisons d'évaluation et audit blanc sur le thème RSSI
Les autres types de prestation sur le thème RSSI
- Audit de sécurité et de résilience opérationnelle (RSSI)
- Conseil en gouvernance de la sécurité et de la résilience (RSSI)
- Conception de politiques, de plans de continuité et d'architectures d'accès (RSSI)
- Déploiement d'outils d'identité, d'accès privilégiés et de supervision (RSSI)
- Mettre en place un plan de continuité d'activité simple
