Audit blanc de préparation et évaluation des équipes (IAM)
Une répétition documentée avant l'audit d'un organisme de certification, d'un client ou du contrôle interne.
En bref
- Résultat
- Une répétition documentée avant l'audit d'un organisme de certification, d'un client ou du contrôle interne.
- Idéal pour
- Responsable de la sécurité des systèmes d'information (RSSI) ou responsable du contrôle interne et du risque opérationnel qui prépare un audit de surveillance, une certification ISO/IEC 27001 ou une revue interne.
- Ce que vous obtenez
- Rapport d'audit blanc suivant la structure du référentiel visé, avec écarts classés et recommandations de préparation.
- Prérequis de votre côté
- Périmètre du système de management, déclaration d'applicabilité et documents associés, disponibilité des équipes pour les entretiens.
- Durée et charge
- 3 à 8 jours
- Format
- Forfait
Exemple de situation
Répéter un audit de surveillance ISO/IEC 27001. Un établissement dont le système de management fait déjà l'objet d'une certification par un organisme tiers prépare son audit de surveillance sur le thème Identity and Access Management. L'audit blanc rejoue le déroulé habituel et classe quatre points à documenter avant la venue de l'auditeur, avec les preuves correspondantes.
Avant un audit de certification, une revue du contrôle interne ou la demande d'un grand client, nous conduisons un audit blanc sur le thème Identity and Access Management, en suivant la structure du référentiel visé : périmètre, analyse de risques, mesures applicables, preuves d'exploitation, revue de direction, actions correctives. Nous interrogeons aussi les équipes, pour mesurer ce que chacun sait de son rôle dans le dispositif.
Le rapport identifie les écarts, classés par criticité, et ce qu'un auditeur demanderait pour les lever. Il vous aide à gérer les comptes utilisateurs et les permissions avec Office 365. La certification elle-même relève d'organismes de certification accrédités ; l'audit blanc ne vaut ni certification ni avis préalable du certificateur, et nous n'évaluons pas pour le compte d'un organisme.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires, politique du groupe ou du donneur d'ordre, norme, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème Identity and Access Management.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit blanc suivant la structure du référentiel visé
- Entretiens avec les équipes et synthèse des points à consolider
- Liste des preuves à rassembler avant l'audit
Format et charge : forfait, 3 à 8 jours. Idéal pour : responsable de la sécurité des systèmes d'information (RSSI) ou responsable du contrôle interne et du risque opérationnel qui prépare un audit de surveillance, une certification ISO/IEC 27001 ou une revue interne. Prérequis de votre côté : périmètre du système de management, déclaration d'applicabilité et documents associés, disponibilité des équipes pour les entretiens.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Répéter un audit de surveillance ISO/IEC 27001
Un établissement dont le système de management fait déjà l'objet d'une certification par un organisme tiers prépare son audit de surveillance sur le thème Identity and Access Management. L'audit blanc rejoue le déroulé habituel et classe quatre points à documenter avant la venue de l'auditeur, avec les preuves correspondantes.
Évaluer la connaissance de la gestion de crise
Une banque évalue, sur le thème Identity and Access Management, ce que ses équipes savent de leur rôle en cas d'incident majeur. Entretiens et mise en situation sur table révèlent des consignes anciennes et des astreintes mal connues ; la synthèse alimente le prochain exercice, qui portera sur la communication avec les clients.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification officielle ni aucune habilitation : elles relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème Identity and Access Management, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 3 à 8 jours, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème Identity and Access Management, l'évaluation intervient avant une formation pour positionner les participants, après pour attester des acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par le donneur d'ordre. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème Identity and Access Management, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres déclinaisons d'évaluation et audit blanc sur le thème Identity and Access Management
Les autres types de prestation sur le thème Identity and Access Management
- Audit documentaire et d'architecture de sécurité (IAM)
- Conseil en gouvernance de la sécurité et de la résilience (IAM)
- Conception de politiques, de plans de continuité et d'architectures d'accès (IAM)
- Déploiement de solutions d'identité, de supervision et d'authentification (IAM)
- Identifier les actifs à protéger et les besoins d'accès
