Evaluation du contexte organisationel de l'entreprise
Date : 29/03/2026
Éditeur : Mamour Gaye
Objectif métier à intégrer :
L'objectif de ce compte rendu d'entretien est d'orienter les enjeux de l'entreprise autour de la sécurisation des actifs et de comprendre son contexte organisationnel, constituant le fondement stratégique du pilotage de la sécurité de l'information.
Les données collectées permettront d'identifier les enjeux liés à la sécurité des actifs, d'évaluer le niveau d'exposition aux risques et de poser les bases du système de management de la sécurité de l'information (SMSI).
Étape 1 — Contexte organisationnel
Étape 2 — Enjeux internes et externes
L'entretien progresse désormais par étapes successives. La sauvegarde de l'étape 1 permet de passer au module 2 tout en conservant le compte rendu d'entretien visible à l'écran.
ÉTAPE 1 - CRÉATION DE L'ENTREPRISE
1. Informations générales
2. Interlocuteur(s)
Interlocuteur principal
Second interlocuteur
3. Profil de l'entreprise
4. Structuration organisationnelle
Aide à la sélection :
Faible : l'activité peut fonctionner majoritairement sans outils numériques.
Modérée : les outils numériques facilitent l'activité sans la bloquer totalement.
Forte : les outils numériques sont indispensables au fonctionnement quotidien.
Critique : sans systèmes informatiques, l'activité s'arrête immédiatement.
Astuce : que se passe-t-il si votre système est indisponible pendant une journée ?
Aide à la sélection :
Simple : organisation centralisée avec peu d'équipes.
Moyenne : organisation structurée avec plusieurs fonctions.
Complexe : organisation multi-sites avec forte interdépendance.
5. Génération du reporting - synthèse automatisée
Chaque réponse est transformée en phrase complète afin de produire un texte fluide, structuré et exploitable directement dans un compte rendu d'entretien professionnel.
Aucune sauvegarde disponible pour le moment.
ÉTAPE 2 - ANALYSE DES ENJEUX INTERNES ET EXTERNES
Cette étape vise à identifier les activités critiques, les dépendances, les fragilités internes ainsi que les facteurs externes susceptibles d'affecter la continuité et la sécurité de l'entreprise.
1. Enjeux internes
Cette première version de l'étape 2 est structurée autour de la gouvernance, de la dépendance des processus métiers au système d'information, des ressources humaines, de la maturité cyber, de l'état des technologies et de l'exposition interne.
A. Gouvernance et organisation
Pourquoi cette question ?
Une organisation claire est indispensable pour piloter la sécurité de l'information, arbitrer les décisions et éviter les angles morts en cas d'incident.
Aide à la sélection :
Oui : rôles définis, formalisés et connus.
Partiellement : organisation existante mais incomplète ou informelle.
Non : absence de clarification ou de formalisation.
Pourquoi cette question ?
Sans procédure de gestion des incidents, l'entreprise risque de réagir trop lentement, d'aggraver l'impact de l'événement et de perdre en coordination.
Aide à la sélection :
Oui : procédure formalisée, connue et applicable.
Partiellement : consignes existantes mais incomplètes ou peu diffusées.
Non : aucune procédure exploitable.
Pourquoi cette question ?
Cette question permet d'évaluer si l'entreprise sait qui décide, qui coordonne et qui communique lorsqu'un incident de sécurité survient.
Exemple :
Une cellule identifiée, des rôles connus et une chaîne de décision claire orientent vers “Oui”. Une organisation floue ou improvisée oriente vers “Partiellement” ou “Non”.
B. Dépendance des processus métiers au système d'information
Pourquoi cette question ?
Les activités critiques sont celles dont l'arrêt, même temporaire, affecterait directement la continuité d'activité, la qualité de service, les revenus ou les obligations de l'entreprise.
Exemples :
Vente et relation client, production, facturation, application métier, base de données centrale, plateforme de support.
Aide à la sélection :
Faible : impact limité et absorbable.
Modéré : perturbation réelle mais maîtrisable.
Fort : dégradation significative de l'activité.
Critique : arrêt majeur, pertes immédiates ou incapacité à opérer.
Pourquoi cette question ?
Elle permet d'apprécier le niveau de sensibilité opérationnelle et les besoins de continuité d'activité de l'entreprise.
Exemple :
Si l'activité ne peut pas supporter plus de quelques heures d'arrêt sans impact majeur, la tolérance est inférieure à 24 heures.
Pourquoi cette question ?
Plus la dépendance au système d'information est forte, plus une panne ou une cyberattaque peut interrompre directement les processus métiers.
Aide à la sélection :
Faible : activité possible sans SI.
Modérée : gêne réelle mais continuité partielle possible.
Forte : activité fortement dégradée.
Critique : arrêt quasi total.
Pourquoi cette question ?
Une sauvegarde n'est réellement utile que si elle existe, qu'elle est isolée, testée et restaurable en cas d'incident.
Risque associé :
Des sauvegardes absentes ou non testées augmentent le risque de perte définitive de données critiques.
Pourquoi cette question ?
Cette question permet d'identifier si l'entreprise a prévu des solutions de secours, de redondance ou de continuité pour éviter un arrêt prolongé.
Exemple :
PRA, solution de secours, redondance applicative, bascule réseau ou procédures dégradées formalisées.
C. Ressources humaines et dépendances individuelles
Pourquoi cette question ?
Des ressources insuffisantes peuvent entraîner surcharge, erreurs de configuration, faible réactivité et mauvaise gestion des incidents.
Signes d'alerte :
équipe réduite, forte dépendance à un prestataire, absence de compétences SSI, surcharge chronique.
Pourquoi cette question ?
Une dépendance forte à une seule personne crée un risque de rupture de service, de perte de savoir-faire ou de blocage opérationnel.
Exemple :
Une seule personne maîtrise l'administration du SI, la base de données ou un outil métier critique.
Aide au remplissage :
Précise ici les postes, personnes ou compétences dont l'absence pourrait provoquer une rupture de service, un retard important ou une perte de maîtrise.
D. Culture sécurité et maturité cyber
Pourquoi cette question ?
L'utilisateur est souvent la première cible des attaques. Une sensibilisation insuffisante augmente le risque de phishing, de compromission de comptes et de fuite d'information.
Indicateurs :
campagnes de sensibilisation, rappels réguliers, bonnes pratiques connues, exercices ou formations.
Pourquoi cette question ?
Une politique de sécurité n'est utile que si elle est comprise, appliquée et cohérente avec les pratiques réelles de l'entreprise.
Aide à la sélection :
Oui : politique connue et appliquée.
Partiellement : document existant mais application incomplète.
Non : politique inexistante, obsolète ou non suivie.
Pourquoi cette question ?
Une analyse de risques formelle aide à anticiper les menaces, hiérarchiser les priorités et éviter que des risques critiques restent non identifiés.
Exemple :
registre des risques, méthode d'analyse documentée, mises à jour périodiques et arbitrages formalisés.
E. État des technologies et des outils
Pourquoi cette question ?
Les technologies obsolètes ou non maintenues sont davantage exposées aux vulnérabilités, aux défaillances techniques et aux pertes de données.
Exemples :
système non mis à jour, logiciel métier en fin de support, serveur ancien sans maintenance.
Pourquoi cette question ?
Les comptes à privilèges concentrent les droits les plus sensibles. Des droits excessifs ou jamais revus augmentent le risque d'abus ou d'erreur à fort impact.
Bonnes pratiques :
revue régulière, principe du moindre privilège, suppression des comptes inutiles, traçabilité des usages sensibles.
Pourquoi cette question ?
Sans segmentation réseau, un incident comme un malware ou un ransomware peut se propager rapidement à l'ensemble du système d'information.
Exemple :
séparation des environnements utilisateurs, serveurs, production, administration ou zones sensibles.
F. Exposition interne et dépendance aux tiers
Pourquoi cette question ?
Une forte dépendance à un prestataire critique peut créer un risque d'interruption de service ou de faille de sécurité si ce tiers est défaillant.
Exemples :
infogérance, hébergeur, fournisseur cloud, éditeur métier, prestataire d'exploitation ou de cybersécurité.
Pourquoi cette question ?
Cette question vise à vérifier si les exigences de sécurité imposées aux tiers sont réellement formalisées, suivies et contrôlées.
Points d'attention :
clauses contractuelles, droits d'audit, exigences de confidentialité, contrôle des accès, gestion des incidents et conformité.
2. Enjeux externes
Les enjeux externes correspondent aux facteurs extérieurs susceptibles d’influencer le niveau d’exposition cyber de l’entreprise, sa conformité et sa capacité à répondre aux attentes de son écosystème.
A. Réglementation, clients et exigences contractuelles
Pourquoi cette question ? Elle permet d’apprécier le niveau de contrainte réglementaire pesant sur l’entreprise au regard de la cybersécurité, de la protection des données et des obligations de notification.
Exemples : RGPD, NIS2, exigences de notification d’incident, obligations de sécurité imposées par un donneur d’ordre public ou privé.
Conseil de remplissage : Mentionnez ici les textes, obligations ou cadres formels connus, ainsi que les contraintes spécifiques liées à votre activité ou à vos donneurs d’ordre.
Pourquoi cette question ? Les attentes clients influencent directement le niveau de sécurité attendu, la qualité de service et la sensibilité à un incident cyber.
Pourquoi cette question ? Certaines obligations contractuelles peuvent imposer des standards de sécurité, des audits, des clauses de responsabilité ou des engagements de disponibilité.
B. Marché, menace cyber et dépendance à l’écosystème
Pourquoi cette question ? L’évolution du marché peut créer une pression forte sur l’innovation, la sécurité des services et l’alignement avec les pratiques du secteur.
Pourquoi cette question ? Cette question permet d’évaluer la pression exercée par les cybermenaces actuelles sur l’activité, les données et les services critiques de l’entreprise.
Pourquoi cette question ? Une dépendance à un tiers critique peut fragiliser l’entreprise en cas de défaillance, d’incident de sécurité ou de rupture de service chez ce partenaire.
Pourquoi cette question ? Les normes sectorielles, standards de place ou certifications attendues peuvent constituer un facteur de pression externe important.
Conseil de remplissage : Vous pouvez préciser ici les menaces, pressions ou dépendances qui ne seraient pas totalement couvertes par les sélecteurs précédents.
Compte rendu d'entretien généré
Le compte rendu d'entretien est désormais regroupé dans une seule sous-section dynamique, intégrant l'ensemble des éléments de contexte, de profil et de gouvernance.
Le compte rendu d'entretien apparaîtra ici après génération.