Audit organisationnel de la sécurité du système d'information (NIS2)
Une vision claire des écarts de gouvernance, d'organisation et de procédures, présentable à la direction générale et aux instances de la collectivité.
En bref
- Résultat
- Une vision claire des écarts de gouvernance, d'organisation et de procédures, présentable à la direction générale et aux instances de la collectivité.
- Idéal pour
- Responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information qui veut objectiver le niveau de maîtrise de sa collectivité ou de son administration.
- Ce que vous obtenez
- Rapport d'audit organisationnel avec les écarts aux référentiels retenus, classés par gravité, et plan d'actions priorisé.
- Prérequis de votre côté
- Accès à la politique de sécurité, à l'inventaire des applications et des comptes à privilèges, aux procédures d'exploitation et aux comptes rendus d'incidents, et entretiens avec les équipes.
- Durée et charge
- 5 à 10 jours
- Format
- Forfait
Exemple de situation
Objectiver l'organisation de la sécurité d'une intercommunalité. Une intercommunalité de vingt communes membres veut situer son organisation sur le thème NIS2. L'audit, en sept jours, relit les politiques, les procédures et les comptes rendus d'incidents, interroge les équipes, puis remet un rapport qui classe les écarts. Le plan d'actions est présenté au comité de direction.
Nous auditons l'organisation de la sécurité de votre système d'information sous l'angle du thème NIS2 : gouvernance, rôles et responsabilités, politiques et procédures, gestion des accès, sauvegardes, gestion des incidents et sensibilisation des responsables sécurité informatique et des agents. L'audit est documentaire et organisationnel : lecture des documents, entretiens, observation des pratiques, rapprochement avec les référentiels que vous avez retenus, par exemple les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), le RGS (référentiel général de sécurité) ou les normes ISO (International Organization for Standardization, Organisation internationale de normalisation).
Optédif n'est pas prestataire qualifié par l'ANSSI. Nous ne réalisons ni test d'intrusion, ni audit de configuration ou de code, qui relèvent d'un prestataire d'audit de la sécurité des systèmes d'information (PASSI) : nous vous indiquons quand il est utile d'y recourir. Le rapport classe les écarts, associe à chacun une action, un responsable et un délai, et sert de base à votre plan de traitement. L'objectif de sécuriser l'organisation en conformité avec la NIS2 structure la restitution à votre direction.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème NIS2, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos élus ou à l'autorité de contrôle.
- Rapport d'audit organisationnel avec écarts classés par gravité
- Revue de la gouvernance, des rôles et des procédures de gestion des incidents
- Plan d'actions priorisé, avec responsables et délais, présenté à la direction
Format et charge : forfait, 5 à 10 jours. Idéal pour : responsable de la sécurité des systèmes d'information ou directeur des systèmes d'information qui veut objectiver le niveau de maîtrise de sa collectivité ou de son administration. Prérequis de votre côté : accès à la politique de sécurité, à l'inventaire des applications et des comptes à privilèges, aux procédures d'exploitation et aux comptes rendus d'incidents, et entretiens avec les équipes.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Objectiver l'organisation de la sécurité d'une intercommunalité
Une intercommunalité de vingt communes membres veut situer son organisation sur le thème NIS2. L'audit, en sept jours, relit les politiques, les procédures et les comptes rendus d'incidents, interroge les équipes, puis remet un rapport qui classe les écarts. Le plan d'actions est présenté au comité de direction.
Identifier ce qui exige un audit technique qualifié
Un département prépare un projet lié au thème NIS2. L'audit organisationnel décrit les risques de gouvernance et précise les points qui demandent un audit technique, à confier à un prestataire PASSI. Le périmètre à lui soumettre est préparé avec le responsable de la sécurité.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 10 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème NIS2 dans le secteur public, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, contrôle, audit interne ou revue externe, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème NIS2, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre direction ou à l'autorité de contrôle. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Pouvez-vous nous aider à nous préparer à la directive NIS2 ?
Oui, sous la forme d'une préparation organisationnelle. La directive européenne NIS2 est en cours de transposition en droit français : le contenu définitif des obligations n'est pas arrêté, et nous n'annonçons ni échéance ni conformité. Sur le thème NIS2, nous cartographions vos services, nous examinons la gouvernance et les procédures de gestion des risques et des incidents, puis nous bâtissons un plan d'actions qui s'appuie sur les guides de l'ANSSI et reste utile quel que soit le texte final. Nous ne délivrons ni attestation de conformité NIS2, ni qualification.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème NIS2
Les autres types de prestation sur le thème NIS2
- Conseil en gouvernance de la sécurité, en politique de sécurité et en préparation à l'homologation des téléservices (NIS2)
- Conception de politique de sécurité, de plans de continuité et d'architectures d'accès sécurisées (NIS2)
- Audit blanc et préparation à l'homologation de sécurité (NIS2)
- S'initier aux exigences de la directive NIS2