Évaluation de maturité et exercice de crise (Loi RGPD)
Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
En bref
- Résultat
- Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes.
- Ce que vous obtenez
- Grille d'évaluation, synthèse par service ou composante, scénario et compte rendu d'exercice, recommandations d'amélioration.
- Prérequis de votre côté
- Accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
- Durée et charge
- 2 à 5 jours par campagne
- Format
- Forfait
Exemple de situation
Éprouver le dispositif par un exercice. Un exercice sur table éprouve le dispositif lié au thème Loi RGPD (règlement général sur la protection des données) : un scénario construit avec l'établissement, des décisions à prendre, des messages à rédiger. Le compte rendu relève les rôles flous et les délais irréalistes et propose des ajustements, sans valoir contrôle ni attestation.
Nous évaluons la maîtrise du thème Loi RGPD par des moyens adaptés à la question : questionnaire de maturité, entretiens, revue d'un échantillon de comptes ou de traitements, simulation d'hameçonnage pilotée avec votre équipe, exercice de crise sur table. L'exercice déroule un scénario construit avec vous, par exemple l'indisponibilité de la messagerie ou la fuite d'un fichier d'étudiants, et observe qui décide, qui prévient la CNIL (Commission nationale de l'informatique et des libertés), qui informe les personnes.
Les résultats sont restitués de façon agrégée, par composante ou par fonction, sans désigner de personnes. Il ne s'agit pas d'une réponse à incident au sens de la qualification de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) : l'exercice prépare les équipes et la gouvernance, il ne remplace pas un prestataire qualifié en cas d'attaque réelle. Nous ne délivrons aucun titre ni certificat de compétence.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : texte réglementaire, norme, référentiel national, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème Loi RGPD.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Grille d'évaluation construite avec vos équipes
- Synthèse agrégée par composante ou par fonction
- Scénario et compte rendu d'exercice avec recommandations d'amélioration
Format et charge : forfait, 2 à 5 jours par campagne. Idéal pour : responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes. Prérequis de votre côté : accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Éprouver le dispositif par un exercice
Un exercice sur table éprouve le dispositif lié au thème Loi RGPD : un scénario construit avec l'établissement, des décisions à prendre, des messages à rédiger. Le compte rendu relève les rôles flous et les délais irréalistes et propose des ajustements, sans valoir contrôle ni attestation.
Mesurer la connaissance du dispositif par les relais
Un questionnaire adressé aux relais des composantes mesure leur connaissance du dispositif lié au thème Loi RGPD. La synthèse, agrégée par composante, oriente les actions de sensibilisation de l'année et les modèles à clarifier. Le questionnaire, anonyme, est refait un an plus tard.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification, aucun titre ni aucune habilitation : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème Loi RGPD, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de formation ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 2 à 5 jours par campagne, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème Loi RGPD, l'évaluation intervient avant une formation pour positionner les participants, après pour mesurer les acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par votre établissement. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Que devons-nous préparer avant la prestation ?
Pour le thème Loi RGPD, nous demandons les documents existants, un référent interne et l'accès aux outils concernés. Le cadrage fixe le périmètre, les livrables et le calendrier avant le devis détaillé ; la prestation commence après votre accord. Rien n'est engagé avant le devis. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par votre établissement. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance. Nous validons le cadrage avec vous avant de démarrer et nous vous remettons un calendrier.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres déclinaisons d'évaluation et audit blanc sur le thème Loi RGPD
Les autres types de prestation sur le thème Loi RGPD
