Pôle Conformité et gouvernance
Nous mettons en place ou nous améliorons votre gouvernance de la sécurité, votre gestion des risques et votre conformité aux référentiels applicables à votre activité.
Le point de départ
Ces organisations ne partent pas de rien. Ce qui leur manque n'est pas la documentation, c'est la hiérarchie : quelle exigence prime, et qui détient le mandat pour trancher.
Aujourd'hui
Une organisation qui subit ses risques numériques, sans visibilité sur son niveau d'exposition ni sur les priorités à traiter. Les exigences arrivent par plusieurs canaux, réglementaire, contractuel, assurantiel, et chacune est traitée dans son coin par l'équipe qui l'a reçue.
Après notre accompagnement
Une organisation capable de comprendre, maîtriser et piloter durablement ses risques. Les exigences sont rassemblées dans un référentiel unique, les priorités sont ordonnées et datées, et le comité de direction dispose d'une vue qu'il peut lire sans traducteur.
Vous n'avez pas besoin de tout sécuriser, tout de suite. Vous avez besoin de savoir quoi sécuriser en priorité, et comment le faire efficacement.
Le geste central
Trois sources d'exigences pèsent sur vous, et jamais du même endroit. Traitées séparément, elles produisent trois plans d'action qui se recouvrent.
Sans cet arbitrage, une organisation peut être parfaitement conforme à un référentiel et n'avoir jamais traité le risque qui pèse le plus sur son activité. La conformité achetée seule ne dit rien de ce qu'elle ne couvre pas.
Le cadre applicable
« Sommes-nous conformes ? » n'a de réponse qu'une fois la question posée texte par texte. Trois familles se rassemblent au cadrage.
| Famille d'exigences | Ce qu'elle contient, selon votre activité | Ce qu'elle change pour vous |
|---|---|---|
| Réglementations européennes | RGPD pour les données à caractère personnel, NIS 2 pour les organisations classées essentielles ou importantes selon leur secteur et leur taille, DORA pour les établissements financiers et les prestataires informatiques dont ils dépendent, le règlement européen sur l'intelligence artificielle pour les systèmes que vous déployez. | Vous ne choisissez ni le périmètre ni le calendrier : ils sont posés par le texte. Le travail porte sur la démonstration, pas sur la décision d'y aller. |
| Textes nationaux et régionaux | Lois de protection des données à caractère personnel des pays où vous opérez, obligations propres aux opérateurs d'importance vitale et aux secteurs critiques, Convention de l'Union africaine sur la cybersécurité et la protection des données, dite Convention de Malabo. | C'est la famille qui change d'un pays à l'autre. Elle se traite en premier quand vos activités sont réparties entre l'Afrique et l'Europe, sans quoi chaque filiale répond dans son coin. |
| Référentiels et standards volontaires | ISO 27001 pour le système de management de la sécurité de l'information, ISO 22301 pour la continuité d'activité, ISO 27005 et la méthode EBIOS Risk Manager de l'ANSSI pour l'appréciation des risques, PCI DSS pour vos flux de paiement, et le cadre de cybersécurité du NIST lorsqu'une maison mère l'a retenu comme langue commune. | Vous choisissez le référentiel, donc le périmètre et le rythme. C'est le seul endroit où vous gardez la main sur les deux, sauf si un partenaire vous impose son choix par contrat. |
Au cadrage, nous retenons avec vous les textes qui s'appliquent réellement à votre activité, et nous écartons les autres par écrit pour que la question ne revienne pas à chaque comité.
Directive européenne sur la sécurité des réseaux et des systèmes d'information. Elle classe les organisations en entités essentielles et en entités importantes, selon leur secteur et leur taille. Elle attend quatre choses : une gouvernance des risques portée par la direction, des mesures proportionnées, la notification des incidents significatifs, et la maîtrise des risques fournisseurs.
Une directive se transpose dans le droit de chaque pays. Deux filiales d'un même groupe implantées dans deux pays européens ne répondent donc pas aux mêmes modalités.
Règlement européen sur la résilience opérationnelle numérique du secteur financier. Là où NIS 2 raisonne par secteur, DORA raisonne par chaîne de dépendance : quels prestataires portent vos fonctions critiques, ce que vos contrats prévoient réellement, et comment vous vérifiez votre capacité à continuer de fonctionner.
Il vise les banques, les assureurs, les entreprises d'investissement et leurs prestataires informatiques. Un règlement s'applique directement, sans transposition : les exigences sont les mêmes dans toute l'Union.
Ces deux textes se recouvrent largement sur la gouvernance et sur la maîtrise des risques fournisseurs. C'est précisément le recouvrement que l'arbitrage sert à supprimer : une organisation soumise aux deux ne construit pas deux dispositifs, elle en construit un seul et le démontre deux fois.
ISO 27001 ne décrit pas une liste de mesures techniques à installer. Elle décrit un système de management : définir un périmètre, y apprécier les risques, décider des mesures, les mettre en œuvre et vérifier qu'elles produisent l'effet attendu. C'est cette différence qui surprend le plus les organisations qui abordent la norme pour la première fois.
Ce que la démarche demande
La définition du périmètre, qui conditionne la charge de tout le reste et se décide au tout début. L'appréciation des risques sur ce périmètre, avec les critères d'acceptation associés. La déclaration d'applicabilité, qui justifie mesure par mesure ce que vous retenez et ce que vous écartez. Le corpus documentaire, réduit à ce qui est utile et tenu à jour. Enfin les preuves de fonctionnement, revue de direction, audit interne et traitement des écarts, qui sont ce qu'un auditeur regarde en priorité.
Un délai type. La durée d'une préparation dépend du périmètre retenu, de la maturité de départ et de la disponibilité de vos équipes. Toute estimation donnée avant le cadrage serait un chiffre sorti de nulle part, et vous le découvririez au premier jalon. Nous posons ce calendrier avec vous, sur votre périmètre.
Ce que recouvre le pôle
Chacun se traite seul quand le besoin est circonscrit, et ils se combinent dès que la mission touche au pilotage. Aucun n'est vendu isolément quand le contexte appelle les autres, et nous le disons au cadrage, avant le devis.
Qui décide quoi et dans quelle instance, quelles politiques existent et lesquelles sont réellement appliquées, comment un risque est qualifié, par qui il est accepté, et quels indicateurs remontent au comité de direction.
La cartographie détaillée des risques et la méthode d'évaluation qui l'alimente sont traitées sur le pôle Risques IT.
Voir le pôle Risques ITStructuration du système de management, préparation aux audits, amélioration continue. Nous partons de votre organisation réelle et non d'un modèle documentaire : écarts par rapport au référentiel visé, plan de réduction, préparation des équipes à l'audit.
Le corpus documentaire est produit avec vos équipes, pas à leur place. C'est la condition pour qu'il reste vivant au lieu d'être figé le jour de l'audit.
Ce que demande ISO 27001Arbitrer un budget sécurité, choisir un référentiel cible, dimensionner une équipe, intégrer la sécurité dans un programme de transformation, préparer un passage devant un comité ou devant un régulateur.
Nous intervenons en appui de la décision, avec les éléments qui permettent de la défendre.
Voir le pôle Cyber-résilience| Discipline | La question à laquelle elle répond | Ce qu'elle ne dit pas | Ce qui arrive quand on la traite seule |
|---|---|---|---|
| Gouvernance | Qui décide, sur quelle base, dans quelle instance, et devant qui il rend compte. | Elle ne dit rien du niveau d'exposition réel ni des exigences externes. | Des instances qui se réunissent sans matière à arbitrer, et qui s'éteignent d'elles-mêmes. |
| Gestion des risques | Quelles activités sont exposées, à quel niveau, et dans quel ordre les traiter. | Elle ne dit pas ce qui est exigé de vous par un texte ou par un partenaire. | Une cartographie juste que personne n'a le mandat de faire appliquer. |
| Conformité | Quelles exigences externes s'appliquent, et quels écarts existent aujourd'hui. | Elle ne dit pas ce qui compte le plus pour votre activité. | Un dossier tenu, et des priorités métier qui n'arrivent jamais à l'ordre du jour. |
En mission, ces colonnes deviennent des questions posées aux mêmes personnes, dans le même entretien. C'est ce qui fait apparaître les sujets dont chaque équipe pense qu'ils sont traités par une autre.
Comment nous travaillons
Comprendre avant d'agir, prioriser avant d'investir, et transmettre les compétences pour vous rendre progressivement autonomes. La méthode ne change pas d'un pôle à l'autre : seul son point d'application change.
Écouter et comprendre
Diagnostiquer
Identifier et prioriser les risques
Construire la feuille de route
Mettre en œuvre et renforcer les compétences
Mesurer, améliorer et accompagner
Ce que vous gardez
La crainte la plus souvent exprimée au cadrage est celle du rapport générique, juste sur le fond et inapplicable chez vous.
Une vision objective de l'existant, organisation, processus et systèmes, écrite sans jargon non expliqué et lisible par une direction non technique.
Une cartographie des risques qualifiés selon leur criticité et leur impact métier, construite avec vos équipes plutôt qu'appliquée depuis un modèle.
L'analyse des écarts par rapport aux référentiels applicables, écart par écart, avec ce qui est déjà couvert et par quoi.
Une feuille de route priorisée, avec des objectifs mesurables, des responsables nommés et une trajectoire compatible avec vos moyens réels.
Un dispositif de gouvernance opérationnel, instances, rôles, politiques et indicateurs de pilotage, dimensionné pour votre organisation.
Un plan de montée en compétence des équipes concernées, articulé avec les parcours de formation du cabinet.
Une gouvernance tient parce que les personnes qui l'appliquent comprennent ce qu'elle attend d'elles. Les parcours de formation du cabinet couvrent la cybersécurité, la gouvernance, la gestion des risques, la conformité et l'intelligence artificielle, et se déroulent sur votre propre dispositif.
Voir les parcoursCas client
Cas client, secteur assurance
Acteur majeur de l'assurance
Mieux intégrer la sécurité dans les projets et l'architecture applicative, en cohérence avec les exigences de gouvernance, de risques et de conformité.
Analyse des risques, accompagnement de la gouvernance sécurité, définition et revue des exigences de sécurité applicative, contribution à la cartographie des risques.
Meilleure intégration de la sécurité dans les projets, et vision plus structurée des risques pour les équipes métiers, informatiques et sécurité.
Deux autres cas clients
Audit indépendant du niveau de sécurité d'une plateforme numérique, constats qualifiés selon leur criticité, puis feuille de route priorisée selon criticité et impact métier.
Structuration du traitement et du suivi des risques sur plusieurs entités, priorisation de la remédiation et tableaux de bord de pilotage. Le volet opérationnel relève de notre pôle Cyber-opérations.
Avant de nous appeler
Avant de signer
La question se tranche sur votre calendrier, pas sur le nôtre. Un programme de transformation qui démarre, un référentiel demandé par un client ou par un régulateur, une équipe sécurité qui se réorganise : ce sont des moments où l'arbitrage coûte moins cher, simplement parce qu'il n'y a encore rien à défaire.
Nous ne publions pas de grille tarifaire, parce qu'une mission de gouvernance se dimensionne sur trois variables : le périmètre, le nombre d'entités concernées et le niveau de maturité de départ. Le cadrage établit ces trois éléments avant tout chiffrage, et il se fait avec vous. Le bénéfice s'exprime en priorités effectivement traitées, en décisions que vous pouvez défendre devant un comité, et en compétences acquises en interne. Jamais en promesse de protection.
C'est le sens des deux premières étapes. Nous ne posons pas un référentiel sur votre organisation, nous partons de la façon dont elle fonctionne réellement, contraintes de moyens comprises. Une recommandation qu'aucune de vos équipes ne peut porter n'est pas une recommandation, c'est une ligne dans un document. Nous préférons une action tenue à trois actions écrites.
Une mission se termine quand vos équipes tiennent le dispositif sans nous, pas quand le dernier document est remis. Vous gardez la feuille de route et ses responsables nommés, le référentiel d'exigences retenues, les ordres du jour et les indicateurs qui font vivre les instances, et la liste écrite de ce qui a été écarté avec son motif.
Nous répondons par ce qui est vérifiable plutôt que par des adjectifs. Nous portons la mise en œuvre et pas seulement le diagnostic : c'est l'étape 5, et elle figure dans la proposition avant la signature. Nous formons vos équipes pendant la mission, sur votre propre dispositif. Nous vous disons quand un sujet ne relève pas de nous, y compris quand cela réduit la mission.
Sur la méthode
Cela se détermine sur quatre critères : votre secteur d'activité, les pays où vous opérez, la nature des données que vous traitez et les engagements pris par contrat envers vos clients. Un même groupe peut relever du RGPD et de NIS 2 en Europe, d'une loi nationale ailleurs, et d'un référentiel réclamé par un donneur d'ordre sans qu'aucun texte ne l'impose. Nous établissons cette liste au cadrage, texte par texte.
Quatre briques sont posées en mission : les rôles et les instances de décision, les politiques réellement applicables, la cartographie des risques qui alimente ces instances, et les indicateurs qui remontent à la direction. L'ordre compte, car une instance sans matière à arbitrer s'éteint d'elle-même.
Par une analyse d'écarts, menée périmètre par périmètre. Elle compare ce que le référentiel exige et ce qui existe réellement chez vous, exigence par exigence, avec les preuves associées. Elle mesure un état, à une date, sur un périmètre donné. Elle ne dit pas si ce périmètre est le bon : c'est l'arbitrage préalable qui le décide.
Cela dépend de qui vous demande la preuve. Un client, un assureur ou un régulateur qui exige un certificat impose l'audit d'un organisme accrédité, donc le formalisme et le calendrier qui vont avec. Si personne ne réclame ce document, l'alignement produit les mêmes bénéfices internes sans la charge de la certification, et il reste convertible plus tard.
Sur une partie du sujet, oui, et c'est l'objectif que nous visons. Un intervenant extérieur apporte un regard indépendant sur les arbitrages internes, un point de comparaison avec d'autres organisations, et du temps dédié. Le transfert de compétence est prévu à l'étape 5.
Par la priorisation. Un budget contraint se traite en réduisant le périmètre du premier lot, jamais l'exigence sur ce périmètre : une entité, un processus critique ou une filiale, traités entièrement, valent mieux qu'un chantier global mené à moitié partout.
Le premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
secfonops