La démarche complète
Élaboration ou mise à jour de votre SMSI, de la cartographie jusqu'à la préparation à la certification ISO 27001.
Méthode
Une démarche éprouvée : ISO 27001, directive NIS2 et préconisations ANSSI.
Un SMSI construit sur des référentiels reconnus
Les normes ISO 2700x et les recommandations de l'ANSSI fournissent les références pour construire un Système de Management de la Sécurité de l'Information (SMSI) efficace et conforme à la directive NIS2.
Notre démarche les décline en cinq étapes concrètes, conduites avec vos managers comme avec vos équipes opérationnelles. Nous pouvons la mener de bout en bout ou intervenir sur une seule d'entre elles.
Étape 1
Aborder le Réseau & le SI dans leur ensemble
Avant toute démarche d'audit ou d'analyse de risques, il faut appréhender — ou constituer — une cartographie du Système d'Information et des infrastructures réseau.
Notre approche
- Une pratique de la cartographie fondée sur l'état de l'art et la terminologie de l'ANSSI.
- Valeurs métier : les processus métier majeurs et les fonctions qui forment l'architecture fonctionnelle du SI.
- Biens supports : logiciels et matériels des infrastructures, mais aussi — c'est essentiel — les procédures et référentiels associés.
- Un outil d'inventaire, voire de cartographie, est recommandé.
Livrables
- Cartographie multi-vues
- Inventaire des biens supports
- Liens valeurs métier / biens supports
Outil maîtrisé : Ekialis
Étape 2
Mener une analyse de risques pragmatique
La méthode EBIOS Risk Manager, préconisée par l'ANSSI, a fait ses preuves. Elle constitue notre référence, en cohérence avec la norme ISO 27005, et se module selon vos exigences.
Notre approche
- Évaluer d'abord complètement le socle de sécurité : dispositifs de gouvernance et de résilience (redondance du SI, gestion des incidents et des crises…).
- Analyser ensuite les scénarios de menaces intentionnelles, jusqu'aux scénarios opérationnels, avec les équipes techniques référentes.
- Traiter les enjeux de protection et de défense, avec une attention particulière aux risques liés à la supply chain.
Livrables
- Évaluation du socle de sécurité
- Scénarios stratégiques et opérationnels
- Cartographie des risques
Outil maîtrisé : Fence — Security Risk Management
Étape 3
Construire un plan d'actions hiérarchisé et opérationnel
Une fois l'analyse conduite, l'enjeu essentiel — et souvent le plus ardu — est de bâtir le plan qui réduira effectivement les risques non acceptables.
Notre approche
- Une première roadmap globale construite avec les managers, pour hiérarchiser les projets.
- Des ateliers avec les équipes opérationnelles pour définir les actions proprement dites, factuelles et inscrites dans le temps.
- Une roadmap structurée autour de quatre enjeux : gouvernance, résilience, protection et défense ; chaque action rattachée à un item de l'analyse EBIOS.
- Un plan intégré à l'outil de gestion de projet déjà utilisé par vos équipes, plutôt qu'un tableur sur mesure à la charge du seul RSSI.
Livrables
- Roadmap priorisée
- Plan d'actions par équipe
- Traçabilité risques / actions
Étape 4
Renforcer l'architecture défensive
Notre expertise nous permet d'apporter une assistance particulière sur les dispositifs de défense, techniques comme organisationnels.
Notre approche
- Solutions techniques : segmentation réseau, architecture de firewalls, collecte des logs et SIEM.
- Recommandations sur la politique de sécurité du SI : gestion des accès et des privilèges.
- Évaluation du niveau de menace porté par chaque partie prenante (partenaires, clients, prestataires, utilisateurs) selon sa « fiabilité cyber », ses périmètres d'accès et ses privilèges.
- Seuls les partenaires de confiance accèdent à la « zone de danger » ; ceux dont la fiabilité ne peut être qualifiée restent hors de la « zone de contrôle ».
Livrables
- Revue d'architecture
- Matrice des flux et des accès
- Recommandations PSSI
Outil maîtrisé pour la découverte réseau et l'identification des flux : Armis
- Fiabilité confirmée
- Supposée
- Incertaine
Étape 5
Se préparer aux événements redoutés
Notre expérience de l'exploitation des Réseaux & SI et de la gestion de crise nous l'a appris : les événements que l'on redoute le plus sont justement ceux auxquels il faut être le mieux préparé.
- 1
Anticiper
Envisager les situations même les « pires » auxquelles le SI peut être confronté.
- 2
Formaliser
Des procédures qui servent de repères, voire des solutions déjà prêtes : PCA, PRA, fiches réflexes.
- 3
Exercer
Des tests en grandeur réelle, pour que les managers et les équipes s'approprient les repères.
- 4
Reconstruire
Reconstruction du SI et continuité des activités métier après une cyberattaque paralysante.
Notre approche
- Audit et préconisations d'évolution de vos PCA et PRA, puis accompagnement des managers et des équipes.
- Des repères qui permettent de passer d'une gestion de crise à une « simple » gestion d'urgence le cas échéant.
- Des ressources d'improvisation préservées pour la part imprévue et non comprise du problème.
Référentiels
- Guides de l'ANSSI sur la gestion de crise cyber.
- Spécification AFNOR Spec 2208 : reconstruction du SI et continuité des activités métier en cas de cyberattaque paralysante.
Livrables
- Audit PCA / PRA
- Procédures et fiches réflexes
- Plan d'exercices
Et ensuite : l'amélioration continue
Un SMSI vit : chaque cycle s'appuie sur le précédent, au rythme de vos audits et revues de direction.
Planifier
Cartographie, analyse de risques, plan de traitement.
Déployer
Mesures de protection, de défense et de résilience.
Contrôler
Indicateurs, audits internes, exercices.
Améliorer
Revue de direction, gestion des problèmes, mise à jour.
Certifiés Lead Implementer et Lead Auditor ISO 27001, nous vous accompagnons aussi bien dans la mise en œuvre que dans la préparation aux audits.
Nos modes d'intervention
La démarche s'adapte à la maturité et à l'organisation SSI de chaque structure.
Une étape ciblée
Une cartographie, une analyse EBIOS RM, une revue d'architecture ou un audit de vos PCA/PRA, selon votre besoin du moment.
Le choix de vos partenaires
Cahiers des charges et sélection de prestataires durables (SOC, administration firewall, MSP) ou ponctuels (pentest).
Partageons vos enjeux Réseaux & SI
Une démarche complète ou une seule étape : faisons le point sur vos priorités.
Nous contacter