Le problème
Dans beaucoup d’organisations, les risques informatiques sont connus de quelques personnes, consignés dans des fichiers personnels, et ressortis à l’occasion d’un audit. Les contrôles existent mais leur exécution n’est pas tracée. Les politiques sont approuvées mais jamais révisées. Chaque audit devient alors un chantier de reconstitution.
Les enjeux et les risques
Un dispositif de gouvernance insuffisant a un coût direct : des constats d’audit répétés d’une année sur l’autre, des délais de réponse longs face aux demandes de clients ou de régulateurs, et une incapacité à démontrer que les mesures annoncées sont effectivement appliquées.
Il a aussi un coût indirect, moins visible : les arbitrages de risque remontent mal, et la direction découvre tardivement des expositions que les équipes connaissaient depuis longtemps.
La prestation
Nous intervenons sur la structure du dispositif plutôt que sur des mesures isolées :
- analyse et évaluation des risques informatiques, selon une méthode documentée et reproductible ;
- élaboration des plans de traitement, avec propriétaires, échéances et critères de clôture ;
- évaluation de la maturité des dispositifs de gouvernance existants ;
- audits de sécurité et évaluations de conformité ;
- analyse des écarts par rapport aux référentiels qui vous sont applicables ;
- élaboration et révision des politiques et des procédures ;
- accompagnement à la préparation des audits, internes comme externes ;
- amélioration de la traçabilité des contrôles : qui les exécute, à quelle fréquence, et quelle preuve en subsiste ;
- conseil en gouvernance de la sécurité de l’information : instances, rôles, seuils d’arbitrage, remontée d’information ;
- structuration des dispositifs de contrôle et de suivi.
Les référentiels retenus sont ceux qui s’appliquent réellement à votre activité et à vos marchés. Nous n’ajoutons pas de cadre qui ne vous concerne pas : chaque exigence suivie représente une charge durable.
Notre méthode
- Identification des obligations. Ce qui s’impose à vous : réglementation applicable, engagements contractuels, exigences de clients, référentiels sectoriels.
- État des lieux. Dispositifs existants, contrôles réellement exécutés, preuves disponibles, écarts documentés.
- Analyse des risques. Construction ou reprise d’une méthode utilisable par vos équipes sans accompagnement permanent.
- Conception du dispositif. Instances, périodicités, rôles, seuils de remontée et format des arbitrages.
- Mise en place de la traçabilité. Chaque contrôle a un responsable, une fréquence et une preuve attendue.
- Transfert. Le dispositif doit tourner sans nous. La mission inclut la formation des personnes qui le feront vivre.
Les livrables
- la cartographie des obligations applicables ;
- la méthode d’analyse des risques et le registre associé ;
- les plans de traitement, avec propriétaires et échéances ;
- le référentiel de contrôles, avec périodicités et preuves attendues ;
- les politiques et procédures élaborées ou révisées ;
- le modèle de reporting destiné aux instances de direction ;
- le rapport d’évaluation de maturité et sa feuille de route.
Ce que cela change
Les audits se préparent en consultant un dispositif existant plutôt qu’en reconstituant une année écoulée. Les arbitrages de risque sont tracés et opposables. Et la direction dispose d’une information régulière, au bon niveau de détail, sur ce qui est maîtrisé et ce qui ne l’est pas encore.
Prochaine étape
Indiquez les obligations qui pèsent sur vous et les échéances d’audit connues. Nous évaluons l’écart entre le dispositif actuel et celui qui permettrait de les tenir sans travail exceptionnel.