Evaluation du contexte organisationel de l’entreprise
Objectif métier à intégrer :
L’objectif de ce compte rendu d’entretien est d’orienter les enjeux de l’entreprise autour de la sécurisation des actifs et de comprendre son contexte organisationnel, constituant le fondement stratégique du pilotage de la sécurité de l’information.
L’objectif de ce compte rendu d’entretien est d’orienter les enjeux de l’entreprise autour de la sécurisation des actifs et de comprendre son contexte organisationnel, constituant le fondement stratégique du pilotage de la sécurité de l’information.
Les données collectées permettront d’identifier les enjeux liés à la sécurité des actifs, d’évaluer le niveau d’exposition aux risques et de poser les bases du système de management de la sécurité de l’information (SMSI).
Étape 1 — Contexte organisationnel
Étape 2 — Enjeux internes et externes
L’entretien progresse désormais par étapes successives. La sauvegarde de l’étape 1 permet de passer au module 2 tout en conservant le compte rendu d’entretien visible à l’écran.
ÉTAPE 1 – CRÉATION DE L’ENTREPRISE
1. Informations générales
2. Interlocuteur(s)
Interlocuteur principal
3. Profil de l’entreprise
4. Structuration organisationnelle
Aide à la sélection :
Faible : l’activité peut fonctionner majoritairement sans outils numériques.
Modérée : les outils numériques facilitent l’activité sans la bloquer totalement.
Forte : les outils numériques sont indispensables au fonctionnement quotidien.
Critique : sans systèmes informatiques, l’activité s’arrête immédiatement.
Faible : l’activité peut fonctionner majoritairement sans outils numériques.
Modérée : les outils numériques facilitent l’activité sans la bloquer totalement.
Forte : les outils numériques sont indispensables au fonctionnement quotidien.
Critique : sans systèmes informatiques, l’activité s’arrête immédiatement.
Astuce : que se passe-t-il si votre système est indisponible pendant une journée ?
Aide à la sélection :
Simple : organisation centralisée avec peu d’équipes.
Moyenne : organisation structurée avec plusieurs fonctions.
Complexe : organisation multi-sites avec forte interdépendance.
Simple : organisation centralisée avec peu d’équipes.
Moyenne : organisation structurée avec plusieurs fonctions.
Complexe : organisation multi-sites avec forte interdépendance.
5. Génération du reporting – synthèse automatisée
Chaque réponse est transformée en phrase complète afin de produire un texte fluide, structuré et exploitable directement dans un compte rendu d’entretien professionnel.
Aucune sauvegarde disponible pour le moment.
C. Ressources humaines et dépendances individuelles
Pourquoi cette question ?
Des ressources insuffisantes peuvent entraîner surcharge, erreurs de configuration, faible réactivité et mauvaise gestion des incidents.
Des ressources insuffisantes peuvent entraîner surcharge, erreurs de configuration, faible réactivité et mauvaise gestion des incidents.
Signes d’alerte :
équipe réduite, forte dépendance à un prestataire, absence de compétences SSI, surcharge chronique.
équipe réduite, forte dépendance à un prestataire, absence de compétences SSI, surcharge chronique.
Pourquoi cette question ?
Une dépendance forte à une seule personne crée un risque de rupture de service, de perte de savoir-faire ou de blocage opérationnel.
Une dépendance forte à une seule personne crée un risque de rupture de service, de perte de savoir-faire ou de blocage opérationnel.
Exemple :
Une seule personne maîtrise l’administration du SI, la base de données ou un outil métier critique.
Une seule personne maîtrise l’administration du SI, la base de données ou un outil métier critique.
Aide au remplissage :
Précise ici les postes, personnes ou compétences dont l’absence pourrait provoquer une rupture de service, un retard important ou une perte de maîtrise.
Précise ici les postes, personnes ou compétences dont l’absence pourrait provoquer une rupture de service, un retard important ou une perte de maîtrise.
D. Culture sécurité et maturité cyber
Pourquoi cette question ?
L’utilisateur est souvent la première cible des attaques. Une sensibilisation insuffisante augmente le risque de phishing, de compromission de comptes et de fuite d’information.
L’utilisateur est souvent la première cible des attaques. Une sensibilisation insuffisante augmente le risque de phishing, de compromission de comptes et de fuite d’information.
Indicateurs :
campagnes de sensibilisation, rappels réguliers, bonnes pratiques connues, exercices ou formations.
campagnes de sensibilisation, rappels réguliers, bonnes pratiques connues, exercices ou formations.
Pourquoi cette question ?
Une politique de sécurité n’est utile que si elle est comprise, appliquée et cohérente avec les pratiques réelles de l’entreprise.
Une politique de sécurité n’est utile que si elle est comprise, appliquée et cohérente avec les pratiques réelles de l’entreprise.
Aide à la sélection :
Oui : politique connue et appliquée.
Partiellement : document existant mais application incomplète.
Non : politique inexistante, obsolète ou non suivie.
Oui : politique connue et appliquée.
Partiellement : document existant mais application incomplète.
Non : politique inexistante, obsolète ou non suivie.
Pourquoi cette question ?
Une analyse de risques formelle aide à anticiper les menaces, hiérarchiser les priorités et éviter que des risques critiques restent non identifiés.
Une analyse de risques formelle aide à anticiper les menaces, hiérarchiser les priorités et éviter que des risques critiques restent non identifiés.
Exemple :
registre des risques, méthode d’analyse documentée, mises à jour périodiques et arbitrages formalisés.
registre des risques, méthode d’analyse documentée, mises à jour périodiques et arbitrages formalisés.
E. État des technologies et des outils
Pourquoi cette question ?
Les technologies obsolètes ou non maintenues sont davantage exposées aux vulnérabilités, aux défaillances techniques et aux pertes de données.
Les technologies obsolètes ou non maintenues sont davantage exposées aux vulnérabilités, aux défaillances techniques et aux pertes de données.
Exemples :
système non mis à jour, logiciel métier en fin de support, serveur ancien sans maintenance.
système non mis à jour, logiciel métier en fin de support, serveur ancien sans maintenance.
Pourquoi cette question ?
Les comptes à privilèges concentrent les droits les plus sensibles. Des droits excessifs ou jamais revus augmentent le risque d’abus ou d’erreur à fort impact.
Les comptes à privilèges concentrent les droits les plus sensibles. Des droits excessifs ou jamais revus augmentent le risque d’abus ou d’erreur à fort impact.
Bonnes pratiques :
revue régulière, principe du moindre privilège, suppression des comptes inutiles, traçabilité des usages sensibles.
revue régulière, principe du moindre privilège, suppression des comptes inutiles, traçabilité des usages sensibles.
Pourquoi cette question ?
Sans segmentation réseau, un incident comme un malware ou un ransomware peut se propager rapidement à l’ensemble du système d’information.
Sans segmentation réseau, un incident comme un malware ou un ransomware peut se propager rapidement à l’ensemble du système d’information.
Exemple :
séparation des environnements utilisateurs, serveurs, production, administration ou zones sensibles.
séparation des environnements utilisateurs, serveurs, production, administration ou zones sensibles.
F. Exposition interne et dépendance aux tiers
Pourquoi cette question ?
Une forte dépendance à un prestataire critique peut créer un risque d’interruption de service ou de faille de sécurité si ce tiers est défaillant.
Une forte dépendance à un prestataire critique peut créer un risque d’interruption de service ou de faille de sécurité si ce tiers est défaillant.
Exemples :
infogérance, hébergeur, fournisseur cloud, éditeur métier, prestataire d’exploitation ou de cybersécurité.
infogérance, hébergeur, fournisseur cloud, éditeur métier, prestataire d’exploitation ou de cybersécurité.
Pourquoi cette question ?
Cette question vise à vérifier si les exigences de sécurité imposées aux tiers sont réellement formalisées, suivies et contrôlées.
Cette question vise à vérifier si les exigences de sécurité imposées aux tiers sont réellement formalisées, suivies et contrôlées.
Points d’attention :
clauses contractuelles, droits d’audit, exigences de confidentialité, contrôle des accès, gestion des incidents et conformité.
clauses contractuelles, droits d’audit, exigences de confidentialité, contrôle des accès, gestion des incidents et conformité.
2. Enjeux externes
Les enjeux externes correspondent aux facteurs extérieurs susceptibles d’influencer le niveau d’exposition cyber de l’entreprise, sa conformité et sa capacité à répondre aux attentes de son écosystème.
A. Réglementation, clients et exigences contractuelles
Pourquoi cette question ?
Elle permet d’apprécier le niveau de contrainte réglementaire pesant sur l’entreprise au regard de la cybersécurité, de la protection des données et des obligations de notification.
Elle permet d’apprécier le niveau de contrainte réglementaire pesant sur l’entreprise au regard de la cybersécurité, de la protection des données et des obligations de notification.
Exemples :
RGPD, NIS2, exigences de notification d’incident, obligations de sécurité imposées par un donneur d’ordre public ou privé.
RGPD, NIS2, exigences de notification d’incident, obligations de sécurité imposées par un donneur d’ordre public ou privé.
Conseil de remplissage :
Mentionnez ici les textes, obligations ou cadres formels connus, ainsi que les contraintes spécifiques liées à votre activité ou à vos donneurs d’ordre.
Mentionnez ici les textes, obligations ou cadres formels connus, ainsi que les contraintes spécifiques liées à votre activité ou à vos donneurs d’ordre.
Pourquoi cette question ?
Les attentes clients influencent directement le niveau de sécurité attendu, la qualité de service et la sensibilité à un incident cyber.
Les attentes clients influencent directement le niveau de sécurité attendu, la qualité de service et la sensibilité à un incident cyber.
Pourquoi cette question ?
Certaines obligations contractuelles peuvent imposer des standards de sécurité, des audits, des clauses de responsabilité ou des engagements de disponibilité.
Certaines obligations contractuelles peuvent imposer des standards de sécurité, des audits, des clauses de responsabilité ou des engagements de disponibilité.
B. Marché, menace cyber et dépendance à l’écosystème
Pourquoi cette question ?
L’évolution du marché peut créer une pression forte sur l’innovation, la sécurité des services et l’alignement avec les pratiques du secteur.
L’évolution du marché peut créer une pression forte sur l’innovation, la sécurité des services et l’alignement avec les pratiques du secteur.
Pourquoi cette question ?
Cette question permet d’évaluer la pression exercée par les cybermenaces actuelles sur l’activité, les données et les services critiques de l’entreprise.
Cette question permet d’évaluer la pression exercée par les cybermenaces actuelles sur l’activité, les données et les services critiques de l’entreprise.
Pourquoi cette question ?
Une dépendance à un tiers critique peut fragiliser l’entreprise en cas de défaillance, d’incident de sécurité ou de rupture de service chez ce partenaire.
Une dépendance à un tiers critique peut fragiliser l’entreprise en cas de défaillance, d’incident de sécurité ou de rupture de service chez ce partenaire.
Pourquoi cette question ?
Les normes sectorielles, standards de place ou certifications attendues peuvent constituer un facteur de pression externe important.
Les normes sectorielles, standards de place ou certifications attendues peuvent constituer un facteur de pression externe important.
Conseil de remplissage :
Vous pouvez préciser ici les menaces, pressions ou dépendances qui ne seraient pas totalement couvertes par les sélecteurs précédents.
Vous pouvez préciser ici les menaces, pressions ou dépendances qui ne seraient pas totalement couvertes par les sélecteurs précédents.
Compte rendu d’entretien généré
Le compte rendu d’entretien est désormais regroupé dans une seule sous-section dynamique, intégrant l’ensemble des éléments de contexte, de profil et de gouvernance.
Le compte rendu d’entretien apparaîtra ici après génération.