Conception d'architecture et de politiques de sécurité (ISO 27005)
Un socle écrit et cohérent, directement utilisable par vos équipes d'exploitation.
En bref
- Résultat
- Un socle écrit et cohérent, directement utilisable par vos équipes d'exploitation.
- Idéal pour
- Responsable des infrastructures, administrateur des identités ou délégué à la protection des données qui prépare un projet structurant.
- Ce que vous obtenez
- Dossier de conception : politiques et procédures rédigées, schémas d'architecture, matrice des rôles et des droits, analyse de risques ou d'impact associée.
- Prérequis de votre côté
- Périmètre du projet, contraintes techniques et contractuelles, accès aux équipes d'exploitation et aux métiers concernés.
- Durée et charge
- 8 à 20 jours
- Format
- Forfait
Exemple de situation
Adapter le référentiel à l'établissement. La mission traduit Norme ISO 27005 (norme internationale sur la gestion des risques liés à la sécurité de l'information) Gestion des risques liés à la sécurité de l'information en documents utilisables : trames, grilles, responsabilités, calendrier de revue. Les documents sont rédigés avec le responsable de la sécurité et relus par les directeurs d'unité concernés, pour tenir compte de la vie des laboratoires. Ils restent courts et réutilisables d'une année à l'autre.
Nous concevons les documents et les architectures qui serviront de socle au thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : politique de sécurité adaptée à un établissement ouvert, modèle de rôles et de droits pour les étudiants, enseignants-chercheurs, personnels et invités, schémas d'annuaire et d'authentification, plan de gestion des certificats, registre et analyses d'impact des traitements, procédure de gestion des violations de données.
La conception s'appuie sur une analyse de risques menée avec vos équipes, avec EBIOS (Expression des besoins et identification des objectifs de sécurité) Risk Manager ou la démarche de l'ISO/IEC 27005 selon votre choix, et sur une analyse d'impact relative à la protection des données quand le traitement l'exige. Elle aboutit à un dossier que vos équipes déploient elles-mêmes ou que nous déployons dans une mission distincte, avec les arbitrages et les hypothèses écrits.
Déroulé de la prestation
Spécification
Nous précisons le livrable attendu, les données d'entrée, le référentiel et les règles de forme exigées par votre établissement.
Structure
Nous proposons un plan et une méthode, validés avec vos experts avant de produire.
Première version
Le livrable est produit avec ses hypothèses tracées et ses références aux exigences, puis soumis à votre revue.
Revue et version finale
Vos vérificateurs relisent ; nous intégrons les remarques et livrons la version finale avec sa note de justification. La signature reste la vôtre.
Passation
Nous remettons les sources, les modèles et un mode d'emploi, pour que vos équipes reprennent le livrable sans dépendance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Politiques et procédures rédigées et relues avec vos équipes
- Schémas d'architecture et matrice des rôles et des droits
- Analyse de risques ou analyse d'impact relative à la protection des données associée
Format et charge : forfait, 8 à 20 jours. Idéal pour : responsable des infrastructures, administrateur des identités ou délégué à la protection des données qui prépare un projet structurant. Prérequis de votre côté : périmètre du projet, contraintes techniques et contractuelles, accès aux équipes d'exploitation et aux métiers concernés.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Adapter le référentiel à l'établissement
La mission traduit Norme ISO 27005 Gestion des risques liés à la sécurité de l'information en documents utilisables : trames, grilles, responsabilités, calendrier de revue. Les documents sont rédigés avec le responsable de la sécurité et relus par les directeurs d'unité concernés, pour tenir compte de la vie des laboratoires. Ils restent courts et réutilisables d'une année à l'autre.
Concevoir une trame de travail pour les composantes
La mission conçoit une trame simple pour appliquer Norme ISO 27005 Gestion des risques liés à la sécurité de l'information dans une composante : questionnaire de départ, fiches à remplir, calendrier de revue et modèle de compte rendu. Elle est testée sur une composante volontaire puis ajustée avant diffusion. La trame reste courte pour être réellement utilisée.
Questions fréquentes sur cette prestation
Comment assurez-vous la qualité et la traçabilité du livrable ?
Le livrable sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information est produit par étapes validées : spécification, structure, première version, revue par vos vérificateurs, version finale avec note de justification. Chaque exigence du référentiel est tracée, les hypothèses et les données d'entrée sont enregistrées, les révisions sont gérées. La charge indicative est de 8 à 20 jours, format forfait. Le livrable est présentable à votre direction, à un évaluateur ou à une instance, mais il ne vaut ni approbation ni validation : la signature et la décision restent chez vous. Les documents que vous nous confiez restent dans votre environnement ou dans un espace sécurisé convenu.
Quelle différence avec une formation sur ce thème ?
La formation apprend à vos équipes à produire elles-mêmes ; la conception et la réalisation produisent le livrable à votre place, dans les délais du projet. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, nous recommandons la réalisation lorsque l'échéance ne laisse pas le temps de monter en compétence, et la formation lorsque le besoin est récurrent. La passation en fin de prestation, avec sources et mode d'emploi, permet à vos équipes de reprendre le livrable et prépare une éventuelle formation.
Notre établissement est-il concerné par NIS 2, et pouvez-vous nous y préparer ?
La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), n'est pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'est pas adopté, et son champ pour l'enseignement supérieur et la recherche dépendra du texte final. Aucune obligation française n'en découle donc aujourd'hui. Nous pouvons en revanche vous aider à vous y préparer, sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : cartographier vos services essentiels, diagnostiquer vos pratiques de gestion des risques et des incidents, structurer la gouvernance. Ce travail est un diagnostic de préparation, pas un audit de conformité, et il reste utile quelle que soit l'issue de la transposition.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres déclinaisons de conception et réalisation sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
- Modèles, trames et guides de rédaction (ISO 27005)
- Mise à jour et remise à niveau de livrables existants (ISO 27005)
Les autres types de prestation sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
