Audit blanc et préparation à l'homologation de sécurité (EBIOS RM)
Une échéance abordée avec un dossier de preuves déjà constitué et des écarts connus, sans préjuger de la décision de l'organisme ou de l'autorité.
En bref
- Résultat
- Une échéance abordée avec un dossier de preuves déjà constitué et des écarts connus, sans préjuger de la décision de l'organisme ou de l'autorité.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information dont le service va être audité ou soumis à une décision d'homologation de sécurité.
- Ce que vous obtenez
- Rapport d'audit blanc sur la grille de l'échéance, écarts par exigence, plan de préparation et liste des pièces du dossier à constituer.
- Prérequis de votre côté
- Référentiel ou grille de l'échéance, documents du système de management, disponibilité des interlocuteurs audités, périmètre du dossier d'homologation.
- Durée et charge
- 3 à 6 jours
- Format
- Forfait
Exemple de situation
Six semaines avant un audit de certification. Un service prépare un audit de certification d'un système de management, sur le thème EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI). Nous reproduisons l'audit à blanc, relevons les écarts exigence par exigence et répartissons les actions sur les six semaines restantes, avec un responsable par action. L'organisme accrédité reste seul décisionnaire du résultat de l'audit.
Avant un audit de certification, une revue externe ou une décision d'homologation de sécurité, nous reproduisons l'échéance à blanc sur le thème EBIOS RM : même grille, mêmes preuves demandées, entretiens avec vos chefs de projet digital et les agents concernés. Nous relevons les écarts exigence par exigence et nous vous aidons à constituer le dossier de preuves.
Optédif prépare mais ne certifie pas. La certification d'un système de management, par exemple ISO (International Organization for Standardization, Organisation internationale de normalisation) 27001 ou ISO 22301, est délivrée par un organisme accrédité par le Cofrac, indépendant de nous ; l'homologation de sécurité est décidée par l'autorité d'homologation de votre collectivité ; un audit technique qualifié relève d'un prestataire PASSI (prestataire d'audit de la sécurité des systèmes d'information). Le rapport vous aide à vous préparer, notamment pour gérer les risques de sécurité avec un tableur, et ne préjuge d'aucun résultat.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires, référentiel de l'État, norme, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème EBIOS RM.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos élus ou à l'autorité de contrôle.
- Rapport d'audit blanc sur la grille de l'échéance
- Liste des pièces à constituer pour le dossier de preuves
- Plan de préparation jusqu'à l'échéance
Format et charge : forfait, 3 à 6 jours. Idéal pour : responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information dont le service va être audité ou soumis à une décision d'homologation de sécurité. Prérequis de votre côté : référentiel ou grille de l'échéance, documents du système de management, disponibilité des interlocuteurs audités, périmètre du dossier d'homologation.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Six semaines avant un audit de certification
Un service prépare un audit de certification d'un système de management, sur le thème EBIOS RM. Nous reproduisons l'audit à blanc, relevons les écarts exigence par exigence et répartissons les actions sur les six semaines restantes, avec un responsable par action. L'organisme accrédité reste seul décisionnaire du résultat de l'audit.
Préparer le dossier d'homologation d'un téléservice
Une commune veut homologuer un téléservice lié au thème EBIOS RM. L'évaluation relève les pièces manquantes du dossier, propose un plan de complétude et prépare la présentation à l'autorité d'homologation, qui décide seule d'homologuer ou non. Les décisions de mise en service restent celles de la collectivité.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification officielle ni aucun agrément : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème EBIOS RM, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 3 à 6 jours, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème EBIOS RM, l'évaluation intervient avant une formation pour positionner les participants, après pour attester des acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus à la confidentialité des documents et des données qui leur sont confiés. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance.
Pouvez-vous nous aider à nous préparer à la directive NIS2 ?
Oui, sous la forme d'une préparation organisationnelle. La directive européenne NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information) est en cours de transposition en droit français : le contenu définitif des obligations n'est pas arrêté, et nous n'annonçons ni échéance ni conformité. Sur le thème EBIOS RM, nous cartographions vos services, nous examinons la gouvernance et les procédures de gestion des risques et des incidents, puis nous bâtissons un plan d'actions qui s'appuie sur les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et reste utile quel que soit le texte final. Nous ne délivrons ni attestation de conformité NIS2, ni qualification.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'évaluation et audit blanc sur le thème EBIOS RM
Les autres types de prestation sur le thème EBIOS RM
- Audit organisationnel de la sécurité du système d'information (EBIOS RM)
- Conseil en gouvernance de la sécurité, en politique de sécurité et en préparation à l'homologation des téléservices (EBIOS RM)
- Conception de politique de sécurité, de plans de continuité et d'architectures d'accès sécurisées (EBIOS RM)
- Réaliser une première analyse de risques avec EBIOS RM
