Conseil en gouvernance de la sécurité et des données (ISO 27005)
Des arbitrages documentés entre les risques, les coûts et les contraintes de la vie académique.
En bref
- Résultat
- Des arbitrages documentés entre les risques, les coûts et les contraintes de la vie académique.
- Idéal pour
- Direction du numérique, secrétaire général ou présidente d'établissement qui doit arbitrer un programme de sécurité ou de protection des données.
- Ce que vous obtenez
- Note de recommandations avec options comparées, feuille de route sur douze à vingt-quatre mois et projets de documents de gouvernance.
- Prérequis de votre côté
- Organigramme, cartographie même partielle des systèmes et des traitements, résultats d'audits antérieurs et calendrier budgétaire.
- Durée et charge
- 5 à 10 jours
- Format
- Forfait
Exemple de situation
Choisir le périmètre de départ de la démarche. L'établissement veut s'appuyer sur Norme ISO 27005 (norme internationale sur la gestion des risques liés à la sécurité de l'information) Gestion des risques liés à la sécurité de l'information sans alourdir ses équipes. La note propose un périmètre de départ, les ressources nécessaires, le calendrier et les livrables attendus, et distingue ce qui est utile de ce qui relève d'une obligation, pour que la direction décide en connaissance de cause.
Le conseil répond à une décision à prendre : doter l'établissement d'une politique de sécurité, préciser les rôles du responsable de la sécurité des systèmes d'information et du délégué à la protection des données, choisir entre des solutions pour le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, hiérarchiser des chantiers avec un budget contraint. Nous partons de vos contraintes réelles : autonomie des laboratoires, pluralité des tutelles, comptes d'étudiants et d'invités, financements sur projets.
La note compare les options, chiffre les charges en jours et en licences à titre indicatif et propose une feuille de route par étapes. Elle distingue ce qui relève de la loi, de l'état de l'art et de choix internes, afin que la direction ou le conseil d'administration décide en connaissance de cause. Elle ne promet ni conformité ni résultat : elle éclaire une décision qui reste la vôtre.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et budgétaires, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par les instances de l'établissement et par les financeurs.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Note de recommandations avec options comparées et charges indicatives
- Feuille de route sur douze à vingt-quatre mois
- Projets de documents de gouvernance (lettre de mission, circuit de décision)
Format et charge : forfait, 5 à 10 jours. Idéal pour : direction du numérique, secrétaire général ou présidente d'établissement qui doit arbitrer un programme de sécurité ou de protection des données. Prérequis de votre côté : organigramme, cartographie même partielle des systèmes et des traitements, résultats d'audits antérieurs et calendrier budgétaire.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Choisir le périmètre de départ de la démarche
L'établissement veut s'appuyer sur Norme ISO 27005 Gestion des risques liés à la sécurité de l'information sans alourdir ses équipes. La note propose un périmètre de départ, les ressources nécessaires, le calendrier et les livrables attendus, et distingue ce qui est utile de ce qui relève d'une obligation, pour que la direction décide en connaissance de cause.
Articuler le référentiel avec les autres démarches
La note situe Norme ISO 27005 Gestion des risques liés à la sécurité de l'information par rapport aux démarches déjà engagées (politique de sécurité, registre des traitements, analyses d'impact) et propose de mutualiser les documents, les revues et les responsables pour éviter de refaire deux fois le même travail. La direction obtient ainsi un calendrier unique.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 5 à 10 jours, format forfait. Le livrable sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information est rédigé pour être lu par votre direction et par vos instances sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Notre établissement est-il concerné par NIS 2, et pouvez-vous nous y préparer ?
La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), n'est pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'est pas adopté, et son champ pour l'enseignement supérieur et la recherche dépendra du texte final. Aucune obligation française n'en découle donc aujourd'hui. Nous pouvons en revanche vous aider à vous y préparer, sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : cartographier vos services essentiels, diagnostiquer vos pratiques de gestion des risques et des incidents, structurer la gouvernance. Ce travail est un diagnostic de préparation, pas un audit de conformité, et il reste utile quelle que soit l'issue de la transposition.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres déclinaisons de conseil sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
Les autres types de prestation sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
