Audit blanc et préparation à l'homologation de sécurité (Norme ISO 27005 Gestion des risques liés à la sécurité de l'information)
Une échéance abordée avec un dossier de preuves déjà constitué et des écarts connus, sans préjuger de la décision de l'organisme ou de l'autorité.
En bref
- Résultat
- Une échéance abordée avec un dossier de preuves déjà constitué et des écarts connus, sans préjuger de la décision de l'organisme ou de l'autorité.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information dont le service va être audité ou soumis à une décision d'homologation de sécurité.
- Ce que vous obtenez
- Rapport d'audit blanc sur la grille de l'échéance, écarts par exigence, plan de préparation et liste des pièces du dossier à constituer.
- Prérequis de votre côté
- Référentiel ou grille de l'échéance, documents du système de management, disponibilité des interlocuteurs audités, périmètre du dossier d'homologation.
- Durée et charge
- 3 à 6 jours
- Format
- Forfait
Exemple de situation
Six semaines avant un audit de certification. Un service prépare un audit de certification d'un système de management, sur le thème Norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 27005 Gestion des risques liés à la sécurité de l'information. Nous reproduisons l'audit à blanc, relevons les écarts exigence par exigence et répartissons les actions sur les six semaines restantes, avec un responsable par action. L'organisme accrédité reste seul décisionnaire du résultat de l'audit.
Avant un audit de certification, une revue externe ou une décision d'homologation de sécurité, nous reproduisons l'échéance à blanc sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information : même grille, mêmes preuves demandées, entretiens avec vos auditeurs internes et les agents concernés. Nous relevons les écarts exigence par exigence et nous vous aidons à constituer le dossier de preuves.
Optédif prépare mais ne certifie pas. La certification d'un système de management, par exemple ISO 27001 ou ISO 22301, est délivrée par un organisme accrédité par le Cofrac, indépendant de nous ; l'homologation de sécurité est décidée par l'autorité d'homologation de votre collectivité ; un audit technique qualifié relève d'un prestataire PASSI (prestataire d'audit de la sécurité des systèmes d'information). Le rapport vous aide à vous préparer, notamment pour mettre en place un plan de traitement des risques efficace, et ne préjuge d'aucun résultat.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires, référentiel de l'État, norme, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos élus ou à l'autorité de contrôle.
- Rapport d'audit blanc sur la grille de l'échéance
- Liste des pièces à constituer pour le dossier de preuves
- Plan de préparation jusqu'à l'échéance
Format et charge : forfait, 3 à 6 jours. Idéal pour : responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information dont le service va être audité ou soumis à une décision d'homologation de sécurité. Prérequis de votre côté : référentiel ou grille de l'échéance, documents du système de management, disponibilité des interlocuteurs audités, périmètre du dossier d'homologation.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Six semaines avant un audit de certification
Un service prépare un audit de certification d'un système de management, sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information. Nous reproduisons l'audit à blanc, relevons les écarts exigence par exigence et répartissons les actions sur les six semaines restantes, avec un responsable par action. L'organisme accrédité reste seul décisionnaire du résultat de l'audit.
Préparer le dossier d'homologation d'un téléservice
Une commune veut homologuer un téléservice lié au thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information. L'évaluation relève les pièces manquantes du dossier, propose un plan de complétude et prépare la présentation à l'autorité d'homologation, qui décide seule d'homologuer ou non. Les décisions de mise en service restent celles de la collectivité.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification officielle ni aucun agrément : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 3 à 6 jours, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, l'évaluation intervient avant une formation pour positionner les participants, après pour attester des acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des praticiens du secteur, tenus à la confidentialité des documents et des données qui leur sont confiés.
Pouvez-vous nous aider à nous préparer à la directive NIS2 ?
Oui, sous la forme d'une préparation organisationnelle. La directive européenne NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information) est en cours de transposition en droit français : le contenu définitif des obligations n'est pas arrêté, et nous n'annonçons ni échéance ni conformité. Sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information, nous cartographions vos services, nous examinons la gouvernance et les procédures de gestion des risques et des incidents, puis nous bâtissons un plan d'actions qui s'appuie sur les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et reste utile quel que soit le texte final. Nous ne délivrons ni attestation de conformité NIS2, ni qualification.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'évaluation et audit blanc sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
Les autres types de prestation sur le thème Norme ISO 27005 Gestion des risques liés à la sécurité de l'information
- Audit organisationnel de la sécurité du système d'information (Norme ISO 27005 Gestion des risques liés à la sécurité de l'information)
- Conseil en gouvernance de la sécurité, en politique de sécurité et en préparation à l'homologation des téléservices (Norme ISO 27005 Gestion des risques liés à la sécurité de l'information)
- Conception de politique de sécurité, de plans de continuité et d'architectures d'accès sécurisées (Norme ISO 27005 Gestion des risques liés à la sécurité de l'information)
- Concevoir un plan d'action simple de gestion des risques
