Audit d'organisation de la sécurité et de la protection des données (Gestion des violations de données)

Nous examinons sur pièces et en entretiens la façon dont votre établissement traite le thème Gestion des violations de données : gouvernance, politiques écrites, rôles et responsabilités, inventaire des systèmes et des traitements, gestion des comptes, des vulnérabilités et des incidents, information des personnes. Les constats sont rapprochés des référentiels que vous visez, par exemple la PSSI (politique de sécurité des systèmes d'information) de l'État, l'ISO/IEC 27001, le RGPD (règlement général sur la protection des données) et les recommandations de la CNIL (Commission nationale de l'informatique et des libertés) et de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Pour un texte non encore transposé, comme NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), l'audit prend la forme d'un diagnostic de préparation.

Il s'agit d'un audit d'organisation et de pratiques. Ce n'est pas un audit de sécurité qualifié par l'ANSSI : nous ne réalisons ni test d'intrusion ni audit technique d'architecture au sens de cette qualification. Le rapport hiérarchise les constats par niveau de risque, propose des actions réalistes pour un établissement public et se rédige pour être présenté à votre direction, à votre comité de sécurité ou à votre délégué à la protection des données.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès aux sites et aux systèmes.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Gestion des violations de données, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les utilisateurs, et nous observons les pratiques sur le terrain (salle, laboratoire, bibliothèque, local technique) lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.

• Rapport d'audit avec écarts constatés et niveau de risque par constat
• Rapprochement avec les référentiels visés (PSSI de l'État, ISO/IEC 27001, RGPD)
• Plan d'actions priorisé, présenté à la direction et au responsable de la sécurité

Format et charge : forfait, 6 à 12 jours. Idéal pour : responsable de la sécurité des systèmes d'information, directrice du numérique ou délégué à la protection des données d'un établissement d'enseignement supérieur. Prérequis de votre côté : accès aux politiques, procédures et registres existants, entretiens avec les équipes concernées et désignation d'un interlocuteur côté établissement.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.