Évaluation de maturité et exercice de crise (RSSI)
Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
En bref
- Résultat
- Des constats concrets sur la réalité des pratiques, obtenus sans attendre un incident.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes.
- Ce que vous obtenez
- Grille d'évaluation, synthèse par service ou composante, scénario et compte rendu d'exercice, recommandations d'amélioration.
- Prérequis de votre côté
- Accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
- Durée et charge
- 2 à 5 jours par campagne
- Format
- Forfait
Exemple de situation
Évaluer la maturité de la pratique. L'évaluation situe la pratique de l'établissement sur le thème RSSI (responsable de la sécurité des systèmes d'information) à l'aide d'un questionnaire et d'entretiens, composante par composante. Les résultats, restitués de façon agrégée, orientent les priorités de l'année suivante, sans classement des personnes ni certification. Un second passage, un an plus tard, mesure l'évolution.
Nous évaluons la maîtrise du thème RSSI par des moyens adaptés à la question : questionnaire de maturité, entretiens, revue d'un échantillon de comptes ou de traitements, simulation d'hameçonnage pilotée avec votre équipe, exercice de crise sur table. L'exercice déroule un scénario construit avec vous, par exemple l'indisponibilité de la messagerie ou la fuite d'un fichier d'étudiants, et observe qui décide, qui prévient la CNIL (Commission nationale de l'informatique et des libertés), qui informe les personnes.
Les résultats sont restitués de façon agrégée, par composante ou par fonction, sans désigner de personnes. Il ne s'agit pas d'une réponse à incident au sens de la qualification de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) : l'exercice prépare les équipes et la gouvernance, il ne remplace pas un prestataire qualifié en cas d'attaque réelle. Nous ne délivrons aucun titre ni certificat de compétence.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : texte réglementaire, norme, référentiel national, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème RSSI.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Grille d'évaluation construite avec vos équipes
- Synthèse agrégée par composante ou par fonction
- Scénario et compte rendu d'exercice avec recommandations d'amélioration
Format et charge : forfait, 2 à 5 jours par campagne. Idéal pour : responsable de la sécurité des systèmes d'information ou directrice générale des services qui souhaite éprouver la préparation de ses équipes. Prérequis de votre côté : accord de la direction sur le périmètre et le calendrier, information préalable des instances et des équipes concernées, référent désigné.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Évaluer la maturité de la pratique
L'évaluation situe la pratique de l'établissement sur le thème RSSI à l'aide d'un questionnaire et d'entretiens, composante par composante. Les résultats, restitués de façon agrégée, orientent les priorités de l'année suivante, sans classement des personnes ni certification. Un second passage, un an plus tard, mesure l'évolution.
Éprouver la pratique par un scénario
Un scénario construit avec la direction éprouve la pratique liée au thème RSSI : qui décide, qui prévient, dans quel délai. Le compte rendu propose des ajustements, des modèles de messages et un calendrier de nouvel exercice. Chaque participant reçoit le compte rendu.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification, aucun titre ni aucune habilitation : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème RSSI, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de formation ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 2 à 5 jours par campagne, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème RSSI, l'évaluation intervient avant une formation pour positionner les participants, après pour mesurer les acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par votre établissement. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Notre établissement est-il concerné par NIS 2, et pouvez-vous nous y préparer ?
La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), n'est pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'est pas adopté, et son champ pour l'enseignement supérieur et la recherche dépendra du texte final. Aucune obligation française n'en découle donc aujourd'hui. Nous pouvons en revanche vous aider à vous y préparer, sur le thème RSSI : cartographier vos services essentiels, diagnostiquer vos pratiques de gestion des risques et des incidents, structurer la gouvernance. Ce travail est un diagnostic de préparation, pas un audit de conformité, et il reste utile quelle que soit l'issue de la transposition.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres déclinaisons d'évaluation et audit blanc sur le thème RSSI
Les autres types de prestation sur le thème RSSI
