Évaluation de maturité et exercice de crise (ISO 27005)
Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
En bref
- Résultat
- Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes.
- Ce que vous obtenez
- Grille d'évaluation, synthèse par service ou composante, scénario et compte rendu d'exercice, recommandations d'amélioration.
- Prérequis de votre côté
- Accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
- Durée et charge
- 2 à 5 jours par campagne
- Format
- Forfait
Exemple de situation
Évaluer la maturité de la démarche. L'évaluation mesure où en est l'établissement vis-à-vis de Norme ISO 27005 (norme internationale sur la gestion des risques liés à la sécurité de l'information) Gestion des risques liés à la sécurité de l'information : documents existants, décisions tracées, appropriation par les équipes. Elle restitue une grille par composante et des priorités, sans délivrer de certification ni de note officielle. Une seconde évaluation, un an plus tard, mesure l'évolution.
Nous évaluons la maîtrise du thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information par des moyens adaptés à la question : questionnaire de maturité, entretiens, revue d'un échantillon de comptes ou de traitements, simulation d'hameçonnage pilotée avec votre équipe, exercice de crise sur table. L'exercice déroule un scénario construit avec vous, par exemple l'indisponibilité de la messagerie ou la fuite d'un fichier d'étudiants, et observe qui décide, qui prévient la CNIL (Commission nationale de l'informatique et des libertés), qui informe les personnes.
Les résultats sont restitués de façon agrégée, par composante ou par fonction, sans désigner de personnes. Il ne s'agit pas d'une réponse à incident au sens de la qualification de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) : l'exercice prépare les équipes et la gouvernance, il ne remplace pas un prestataire qualifié en cas d'attaque réelle. Nous ne délivrons aucun titre ni certificat de compétence.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : texte réglementaire, norme, référentiel national, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Grille d'évaluation construite avec vos équipes
- Synthèse agrégée par composante ou par fonction
- Scénario et compte rendu d'exercice avec recommandations d'amélioration
Format et charge : forfait, 2 à 5 jours par campagne. Idéal pour : responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes. Prérequis de votre côté : accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Évaluer la maturité de la démarche
L'évaluation mesure où en est l'établissement vis-à-vis de Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : documents existants, décisions tracées, appropriation par les équipes. Elle restitue une grille par composante et des priorités, sans délivrer de certification ni de note officielle. Une seconde évaluation, un an plus tard, mesure l'évolution.
Éprouver la démarche par un exercice
Un exercice sur table met la démarche liée à Norme ISO 27005 Gestion des risques liés à la sécurité de l'information à l'épreuve d'un scénario construit avec l'établissement. Le compte rendu relève les rôles flous et les décisions sans trace, puis propose des ajustements et une date de nouvel exercice. Les participants valident le compte rendu.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification, aucun titre ni aucune habilitation : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de formation ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 2 à 5 jours par campagne, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, l'évaluation intervient avant une formation pour positionner les participants, après pour mesurer les acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par votre établissement.
Notre établissement est-il concerné par NIS 2, et pouvez-vous nous y préparer ?
La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), n'est pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'est pas adopté, et son champ pour l'enseignement supérieur et la recherche dépendra du texte final. Aucune obligation française n'en découle donc aujourd'hui. Nous pouvons en revanche vous aider à vous y préparer, sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : cartographier vos services essentiels, diagnostiquer vos pratiques de gestion des risques et des incidents, structurer la gouvernance. Ce travail est un diagnostic de préparation, pas un audit de conformité, et il reste utile quelle que soit l'issue de la transposition.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres déclinaisons d'évaluation et audit blanc sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
Les autres types de prestation sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
