Des services ordonnés pour produire un résultat vérifiable.
Un programme proportionné aux actifs critiques, aux menaces, aux obligations et à la capacité réelle de l’organisation.
01
Cartographie et analyse d’applicabilité
Définir le périmètre critique
ObjectifIdentifier les entités, services, actifs, données et tiers qui conditionnent la continuité de l’entreprise.
Livrables
Périmètre réglementaire
Cartographie de criticité
Matrice des responsabilités
Résultats mesurables visés
Services essentiels recensés
Propriétaires de risques désignés
Tiers critiques identifiés
02
Audit cyber et analyse d’écarts
Évaluer l’exposition
ObjectifMesurer la couverture des risques et des exigences NIS2, DORA, RGPD ou sectorielles.
Livrables
Gap analysis
Scénarios de risques
Registre des écarts
Résultats mesurables visés
Écarts classés par criticité
Niveau de couverture mesuré
Plan de preuves constitué
03
Plan de remédiation cyber
Traiter les priorités
ObjectifRéduire rapidement l’exposition sur les scénarios les plus critiques.
Livrables
Plan de traitement
Mesures prioritaires
Tableau de suivi
Résultats mesurables visés
Actions critiques assorties d’un responsable et d’une échéance
Réduction mesurable des écarts majeurs
Risques résiduels explicitement acceptés ou traités
04
PCA/PRA, crise et exercices
Tester la résilience
ObjectifVérifier que l’organisation sait détecter, décider, contenir et reprendre ses activités.
Livrables
Plans de continuité et de reprise
Playbooks de crise
Rapports d’exercice
Résultats mesurables visés
RTO et RPO testés sur les services critiques
Temps de décision et d’escalade mesurés
Plans corrigés après exercice
05
Gouvernance RSSI et reporting
Pérenniser le pilotage
ObjectifInstaller les indicateurs, comités et contrôles nécessaires à l’amélioration continue.
Livrables
Tableau de bord cyber
Calendrier de contrôles
Reporting de direction
Résultats mesurables visés
Indicateurs présentés à cadence définie
Incidents et remédiations tracés
Décisions de risque documentées
Lecture des résultats : les indicateurs ci-dessus constituent des résultats visés, à préciser lors du cadrage selon la situation initiale. Un résultat « obtenu » n’est publié qu’après mesure et validation avec le client.
