Conception de politiques de sécurité de l'information (CISSP)
Des documents applicables par les équipes, cohérents entre eux, que vous pouvez présenter au régulateur et à l'audit.
En bref
- Résultat
- Des documents applicables par les équipes, cohérents entre eux, que vous pouvez présenter au régulateur et à l'audit.
- Idéal pour
- Responsable de la sécurité des systèmes d'information (RSSI), responsable de la continuité et de la résilience opérationnelle ou architecte d'entreprise d'un établissement bancaire.
- Ce que vous obtenez
- Politique, plans et schémas d'architecture rédigés avec vos équipes, prêts à être validés par vos instances.
- Prérequis de votre côté
- Périmètre arrêté, interlocuteurs métiers et informatiques disponibles, accès aux documents existants et aux contraintes d'infrastructure.
- Durée et charge
- 8 à 20 jours
- Format
- Forfait
Exemple de situation
Rédiger un plan de reprise d'activité exploitable. Une banque privée ne dispose que d'un plan de reprise général, peu utilisable par les équipes. Sur le thème CISSP (Certified Information Systems Security Professional, certification d'ISC2), nous rédigeons avec elles un plan par service critique, avec rôles, séquences de reprise et critères de décision, puis un scénario de test.
Nous concevons avec vous les documents qui font tenir le dispositif : politique de sécurité de l'information, politique de gestion des prestataires TIC (technologies de l'information et de la communication), plans de continuité et de reprise, procédures de classification et de gestion des incidents, modèles d'accès fondés sur les rôles et architectures d'identité. Le thème CISSP fixe le sujet ; votre contexte, vos fonctions critiques ou importantes et vos contraintes techniques fixent le contenu.
Chaque livrable est rédigé en atelier, relu par vos équipes puis stabilisé, avec une matrice de traçabilité vers les exigences visées (DORA, ISO/IEC 27001, votre référentiel). Les schémas d'architecture sont accompagnés des hypothèses retenues et des points laissés à votre décision. Ces documents sont ceux de votre établissement : validés par vos instances, sans valeur d'attestation, ils vous permettent de concevoir une politique de sécurité adaptée aux enjeux actuels.
Déroulé de la prestation
Spécification
Nous précisons le livrable attendu, les données d'entrée, le référentiel et les règles de forme exigées par votre organisation ou votre donneur d'ordre.
Structure
Nous proposons un plan et une méthode, validés avec vos experts avant de produire.
Première version
Le livrable est produit avec ses hypothèses tracées et ses références aux exigences, puis soumis à votre revue.
Revue et version finale
Vos vérificateurs relisent ; nous intégrons les remarques et livrons la version finale avec sa note de justification. La signature reste la vôtre.
Passation
Nous remettons les sources, les modèles et un mode d'emploi, pour que vos équipes reprennent le livrable sans dépendance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Politique de sécurité ou plan de continuité rédigé avec vos équipes
- Schémas d'architecture d'identité et d'accès avec hypothèses retenues
- Matrice de traçabilité vers les exigences visées
Format et charge : forfait, 8 à 20 jours. Idéal pour : responsable de la sécurité des systèmes d'information (RSSI), responsable de la continuité et de la résilience opérationnelle ou architecte d'entreprise d'un établissement bancaire. Prérequis de votre côté : périmètre arrêté, interlocuteurs métiers et informatiques disponibles, accès aux documents existants et aux contraintes d'infrastructure.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Rédiger un plan de reprise d'activité exploitable
Une banque privée ne dispose que d'un plan de reprise général, peu utilisable par les équipes. Sur le thème CISSP, nous rédigeons avec elles un plan par service critique, avec rôles, séquences de reprise et critères de décision, puis un scénario de test.
Concevoir un modèle d'accès par rôles
Un établissement de crédit à la consommation veut réduire les droits cumulés par ses collaborateurs. Sur le thème CISSP, nous concevons un modèle d'accès par rôles, avec règles d'attribution, revue périodique et retrait lors d'une mobilité, rédigées pour être appliquées par les responsables d'équipe.
Questions fréquentes sur cette prestation
Comment assurez-vous la qualité et la traçabilité du livrable ?
Le livrable sur le thème CISSP est produit par étapes validées : spécification, structure, première version, revue par vos vérificateurs, version finale avec note de justification. Chaque exigence du référentiel est tracée, les hypothèses et les données d'entrée sont enregistrées, les versions sont gérées. La charge indicative est de 8 à 20 jours, format forfait. Le livrable est présentable à votre régulateur, à l'audit interne ou à votre donneur d'ordre, mais il ne vaut ni approbation ni validation : la signature et la décision restent chez vous. Les documents que vous nous confiez restent dans votre environnement ou dans un espace sécurisé convenu.
Quelle différence avec une formation sur ce thème ?
La formation apprend à vos équipes à produire elles-mêmes ; la conception et la réalisation produisent le livrable à votre place, dans les délais du projet. Sur le thème CISSP, nous recommandons la réalisation lorsque l'échéance ne laisse pas le temps de monter en compétence, et la formation lorsque le besoin est récurrent. La passation en fin de prestation, avec sources et mode d'emploi, permet à vos équipes de reprendre le livrable et prépare une éventuelle formation. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par le donneur d'ordre.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème CISSP, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres types de prestation sur le thème CISSP
