Audit blanc à l'identique de l'échéance (ISO/IEC 27001)
Vous vivez l'échéance une première fois sans conséquence, puis vous la préparez avec un plan.
En bref
- Résultat
- Vous vivez l'échéance une première fois sans conséquence, puis vous la préparez avec un plan.
- Idéal pour
- Responsable conformité ou responsable du contrôle interne dont l'équipe va être auditée ou contrôlée sur le thème ISO/IEC 27001 dans les semaines qui viennent.
- Ce que vous obtenez
- Rapport d'audit blanc sur la grille réelle, constats et écarts par exigence, plan de préparation.
- Prérequis de votre côté
- Grille ou référentiel de l'échéance, disponibilité des interlocuteurs audités.
- Durée et charge
- 2 à 4 jours
- Format
- Forfait
Exemple de situation
Six semaines avant une mission d'audit interne. Une direction va être auditée par l'audit interne sur le thème ISO/IEC 27001. Nous reproduisons la mission avec la grille réelle, interrogeons les mêmes fonctions et remettons les constats par exigence ; l'équipe répartit ensuite les actions de préparation sur les six semaines restantes.
Se préparer à une évaluation commence par la vivre une première fois. L'audit blanc reproduit l'échéance à l'identique sur le thème ISO/IEC 27001 : même grille, mêmes questions, mêmes preuves demandées, mêmes entretiens avec vos chefs de projet sécurité, dans un établissement soumis au contrôle de l'ACPR (Autorité de contrôle prudentiel et de résolution), où la résilience opérationnelle numérique, la maîtrise des accès et le pilotage des prestataires de services TIC (technologies de l'information et de la communication) engagent la direction, la sécurité des systèmes d'information et chaque fournisseur.
Le rapport présente les constats et les écarts par exigence, puis un plan de préparation jusqu'au jour J. Il entraîne aussi vos interlocuteurs à présenter leurs preuves avec méthode. Il ne préjuge pas du résultat de l'audit réel, qui reste la décision de l'auditeur ou de l'autorité. Les écarts sont classés comme le ferait la grille officielle, afin que les priorités du plan correspondent à ce qui sera effectivement regardé.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires, politique du groupe ou du donneur d'ordre, norme, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème ISO/IEC 27001.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit blanc
- Constats et écarts par exigence
- Plan de préparation jusqu'à l'échéance
Format et charge : forfait, 2 à 4 jours. Idéal pour : responsable conformité ou responsable du contrôle interne dont l'équipe va être auditée ou contrôlée sur le thème ISO/IEC 27001 dans les semaines qui viennent. Prérequis de votre côté : grille ou référentiel de l'échéance, disponibilité des interlocuteurs audités.
Exemples d'usage
Une situation d'exemple, dans laquelle cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Six semaines avant une mission d'audit interne
Une direction va être auditée par l'audit interne sur le thème ISO/IEC 27001. Nous reproduisons la mission avec la grille réelle, interrogeons les mêmes fonctions et remettons les constats par exigence ; l'équipe répartit ensuite les actions de préparation sur les six semaines restantes.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification officielle ni aucune habilitation : elles relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème ISO/IEC 27001, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 2 à 4 jours, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème ISO/IEC 27001, l'évaluation intervient avant une formation pour positionner les participants, après pour attester des acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par le donneur d'ordre. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème ISO/IEC 27001, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres déclinaisons d'évaluation et audit blanc sur le thème ISO/IEC 27001
- Audit blanc de préparation et évaluation des équipes (ISO/IEC 27001)
- Évaluation de positionnement avant un parcours (ISO/IEC 27001)
Les autres types de prestation sur le thème ISO/IEC 27001
