Audit de sécurité et de résilience opérationnelle (ISO/IEC 27001)
Une vision traçable et argumentée de l'état du dispositif, présentable à la direction, à l'audit interne ou au superviseur.
En bref
- Résultat
- Une vision traçable et argumentée de l'état du dispositif, présentable à la direction, à l'audit interne ou au superviseur.
- Idéal pour
- Responsable de la sécurité des systèmes d'information, responsable des risques ou auditeur interne d'une société de gestion, d'une banque de marché ou d'une plateforme.
- Ce que vous obtenez
- Rapport d'audit documentaire et organisationnel avec écarts par rapport au cadre de référence retenu (DORA, ISO/IEC 27001, politique interne) et plan d'actions priorisé.
- Prérequis de votre côté
- Politiques et procédures en vigueur, cartographie des services et des actifs, registre des prestataires TIC (technologies de l'information et de la communication), comptes rendus d'incidents et de tests récents, entretiens avec les responsables.
- Durée et charge
- 6 à 15 jours
- Format
- Forfait
Exemple construit
Avant un échange avec le superviseur. Une société de gestion veut mesurer l'état de son dispositif sur le thème ISO/IEC 27001. L'audit, mené sur six jours, relit la politique de sécurité, le registre des prestataires TIC et les comptes rendus d'incidents, puis classe les écarts par gravité. Le plan d'actions est présenté au comité des risques.
Nous auditons votre dispositif sous l'angle du thème ISO/IEC 27001 : gouvernance et rôle de l'organe de direction, cadre de gestion du risque lié aux TIC, gestion des accès, supervision et détection, traitement des incidents, sauvegardes et reprise, suivi des prestataires. L'audit est documentaire et organisationnel, fondé sur des entretiens et des échantillons de preuves. Il ne comprend aucun test d'intrusion ni aucune intervention sur vos systèmes de production.
Le rapport confronte vos pratiques au référentiel que nous retenons avec vous (exigences de DORA, norme ISO/IEC 27001, guides de l'ANSSI, politique interne), classe les écarts par gravité et propose un plan d'actions. Il est rédigé pour être présenté à votre direction, à l'audit interne ou à votre superviseur. Il n'est pas l'audit d'une autorité et ne vaut ni attestation ni certification ; l'objectif de piloter la gouvernance de la sécurité des données et prévenir les cyberattaques structure la restitution.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, de déontologie et d'accès aux documents.
Lecture documentaire
Nous lisons les politiques, procédures, enregistrements et comptes rendus de comité relatifs au thème ISO/IEC 27001, avant toute rencontre, pour arriver aux entretiens avec des questions précises.
Entretiens et contrôles par échantillon
Nous rencontrons les responsables et les équipes, observons les pratiques et contrôlons des échantillons sur des extraits anonymisés que vous préparez dans votre environnement, ou sur des données de test, sans aucune information privilégiée ni donnée d'ordre ou de position.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.
- Rapport d'audit documentaire et organisationnel avec écarts au référentiel retenu
- Revue des preuves : politiques, registre des prestataires TIC, journaux d'incidents, comptes rendus de tests
- Plan d'actions priorisé, présenté à la direction et à l'audit interne
Format et charge : forfait, 6 à 15 jours. Idéal pour : responsable de la sécurité des systèmes d'information, responsable des risques ou auditeur interne d'une société de gestion, d'une banque de marché ou d'une plateforme. Prérequis de votre côté : politiques et procédures en vigueur, cartographie des services et des actifs, registre des prestataires TIC, comptes rendus d'incidents et de tests récents, entretiens avec les responsables.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.
Avant un échange avec le superviseur
Une société de gestion veut mesurer l'état de son dispositif sur le thème ISO/IEC 27001. L'audit, mené sur six jours, relit la politique de sécurité, le registre des prestataires TIC et les comptes rendus d'incidents, puis classe les écarts par gravité. Le plan d'actions est présenté au comité des risques.
Comparer deux entités d'un même groupe
Un groupe financier constate des pratiques différentes entre deux filiales sur le thème ISO/IEC 27001. L'audit compare les gouvernances, les rôles et les preuves conservées dans chaque entité, puis propose un socle commun que les deux filiales adaptent ensuite à leur taille et à leurs activités.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 15 jours, format forfait, répartie entre la lecture documentaire, les entretiens, les contrôles par échantillon et la rédaction. L'auditeur est un praticien du thème ISO/IEC 27001, indépendant de vos équipes, qui signe les engagements de confidentialité et de déontologie demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, revue interne, mission d'audit ou contrôle du superviseur, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème ISO/IEC 27001, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre direction, à votre audit interne ou au superviseur. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus une mission que la loi confie à une personne désignée, ni le contrôle d'une autorité, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Une prestation d'Optédif relève-t-elle des clauses de l'article 30 de DORA ?
Cela dépend de la prestation et de l'entité cliente, et nous ne le promettons pas. Lorsqu'une mission sur le thème ISO/IEC 27001 constitue un service fourni à une entité financière au titre de ses systèmes d'information, par exemple l'administration d'un outil, les clauses de l'article 30 peuvent s'appliquer au contrat : description des services, lieux de traitement des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation. Nous les examinons avec vos équipes juridiques et achats avant la signature. Une mission d'audit ou de conseil n'entre pas toujours dans ce périmètre : la qualification relève de votre analyse.
Demander un devis
Indiquez le périmètre, les équipes concernées et l'échéance : première réponse sous 48 h ouvrées, devis ferme après l'échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème ISO/IEC 27001
- Audit de conformité aux exigences réglementaires et au référentiel interne (ISO/IEC 27001)
- Diagnostic flash avant une revue, un contrôle ou un audit interne (ISO/IEC 27001)
Les autres types de prestation sur le thème ISO/IEC 27001