Conseil en gouvernance de la sécurité et de la résilience (Pen Testing)
Des choix de gouvernance justifiés, rattachés à DORA et à vos risques, et un plan réaliste.
En bref
- Résultat
- Des choix de gouvernance justifiés, rattachés à DORA et à vos risques, et un plan réaliste.
- Idéal pour
- Directeur des systèmes d'information, responsable de la sécurité des systèmes d'information (RSSI) ou directeur des risques qui structure la gouvernance de la sécurité.
- Ce que vous obtenez
- Note de recommandations avec organisation cible, rôles, trajectoire de mise en œuvre et éléments à présenter à la direction.
- Prérequis de votre côté
- Organigramme, politique de sécurité en vigueur, cartographie des fonctions critiques ou importantes, dernier rapport d'audit ou de contrôle.
- Durée et charge
- 5 à 15 jours
- Format
- Forfait
Exemple de situation
Structurer le pilotage des prestataires TIC. Un établissement de paiement doit organiser le suivi de ses fournisseurs de services numériques sur le thème Pen Testing. La note compare trois organisations entre achats, sécurité et contrôle interne, retient la plus simple à tenir et en décrit les indicateurs de suivi, présentés chaque trimestre au comité des risques.
Le conseil traite des décisions que votre établissement doit prendre : répartition des rôles entre première et deuxième ligne, place du responsable de la sécurité, rattachement de la politique de sécurité à l'appétit pour le risque, pilotage des prestataires TIC (technologies de l'information et de la communication), articulation avec la continuité d'activité. Nous instruisons ces questions avec vous sur le thème Pen Testing, à partir de vos documents, du règlement (UE) 2022/2554 et de ses normes techniques, des normes ISO/IEC 27001, 27005 et 22301 et de la méthode EBIOS (Expression des besoins et identification des objectifs de sécurité) Risk Manager lorsqu'elle est retenue.
La note compare les options, estime l'effort en jours et en moyens, et propose une trajectoire de mise en œuvre. Elle est rédigée pour être présentée au comité de direction, au comité des risques ou à l'audit interne, et pour soutenir l'objectif d'optimiser la détection des vulnérabilités dans les systèmes de paiement. Elle ne remplace ni la décision de l'organe de direction, qui reste responsable du dispositif, ni l'appréciation de votre conformité.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Pen Testing pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre comité de direction, votre donneur d'ordre et votre régulateur.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Note de recommandations avec organisation cible, rôles et responsabilités
- Trajectoire de mise en œuvre estimée en jours et en moyens
- Synthèse pour le comité de direction ou le comité des risques
Format et charge : forfait, 5 à 15 jours. Idéal pour : directeur des systèmes d'information, responsable de la sécurité des systèmes d'information (RSSI) ou directeur des risques qui structure la gouvernance de la sécurité. Prérequis de votre côté : organigramme, politique de sécurité en vigueur, cartographie des fonctions critiques ou importantes, dernier rapport d'audit ou de contrôle.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Structurer le pilotage des prestataires TIC
Un établissement de paiement doit organiser le suivi de ses fournisseurs de services numériques sur le thème Pen Testing. La note compare trois organisations entre achats, sécurité et contrôle interne, retient la plus simple à tenir et en décrit les indicateurs de suivi, présentés chaque trimestre au comité des risques.
Articuler sécurité et continuité d'activité
Les équipes sécurité et continuité d'une banque de réseau travaillent chacune de leur côté sur le thème Pen Testing. Le conseil propose un comité commun, un calendrier de tests partagé et une cartographie unique des fonctions critiques ou importantes, utilisable par les deux équipes comme par l'audit interne.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 5 à 15 jours, format forfait. Le livrable sur le thème Pen Testing est rédigé pour être lu par votre direction et par votre donneur d'ordre sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Pen Testing, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème Pen Testing, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres déclinaisons de conseil sur le thème Pen Testing
- Cadrage de méthode et de périmètre (Pen Testing)
- Assistance à la rédaction d'un cahier des charges (Pen Testing)
Les autres types de prestation sur le thème Pen Testing