Un périmètre défini, un calendrier défini, et un cadre de sécurité sur lequel votre conseil et vos clients peuvent s'appuyer.
Du conseil en gouvernance, risque et conformité au forfait, pour les organisations qui ont un écart précis à combler et non un poste à créer. Chaque mission est cadrée, planifiée et transmise avec un cadre qui tient encore debout après mon départ.
Rôles et responsabilités dans une mission type
Une mission de conseiller GRC indépendant se cadre autour d'un résultat défini. Selon l'écart à combler, elle mobilise tout ou partie des volets suivants.
Conception du référentiel et analyse d'écart
Positionner vos contrôles actuels face au NIST CSF (ou au référentiel qu'attendent votre régulateur ou vos clients) et produire une liste priorisée de ce qui manque.
Rédaction des politiques et des standards
Écrire les politiques, standards et procédures qui transforment le référentiel en pratique quotidienne, dimensionnés pour votre organisation plutôt que copiés d'une bibliothèque de modèles.
Évaluation des risques et registre des risques
Identifier, coter et documenter le risque dans un registre que votre direction peut réellement lire et exploiter, avec un plan de traitement pour tout ce qui dépasse votre appétence au risque.
Préparation aux audits et aux examens réglementaires
Préparer les preuves, clôturer les constats connus et représenter l'organisation pendant la revue elle-même, qu'il s'agisse d'un audit client, d'un organisme de certification ou d'un régulateur.
Risque tiers et fournisseurs
Construire le processus qui classe les fournisseurs par sensibilité des données et les revoit à une fréquence définie, pour que les partenaires qui élargissent votre surface d'attaque n'élargissent pas votre exposition sans contrôle.
Feuille de route de remédiation et exécution
Ordonner les constats dans une feuille de route avec des responsables et des dates, et la mener jusqu'à la clôture, au lieu de remettre un rapport en vous laissant le suivi.
Reporting vers la direction et les parties prenantes
Traduire les constats techniques dans le langage qu'utilisent votre comité de direction et votre conseil, pour que la sécurité devienne une décision qu'ils peuvent approuver et financer.
Passation et montée en autonomie interne
Documenter le référentiel et former la personne qui en aura la charge en interne après la mission, pour que le programme survive sans contrat récurrent.
Un cabinet de services professionnels avait besoin de contrôles alignés ISO 27001 pour être éligible à un appel d'offres majeur.
Un cabinet de services professionnels de 60 personnes était présélectionné pour un contrat grand compte. L'appel d'offres exigeait la preuve d'un système de management de la sécurité de l'information certifiable, dans une fenêtre de soumission fixe. Le cabinet avait des pratiques informelles, mais rien de documenté, de testé ni de rattaché à un référentiel reconnu, et personne en interne ne portait la sécurité comme une fonction.
Scénario composite construit à partir du périmètre typique d'une mission de conseiller GRC indépendant. Les détails de l'entreprise sont illustratifs et ne désignent pas un client précis.
- Référentiel et analyse d'écart
- Contrôles positionnés face à l'Annexe A de l'ISO 27001 ; écarts priorisés selon leur pertinence pour l'appel d'offres et la charge de travail
- Politiques et standards
- Corpus de politiques de sécurité de l'information rédigé et validé par la direction
- Registre des risques
- Premier registre des risques formel construit, avec un responsable et une fréquence de revue pour chaque entrée
- Risque fournisseurs
- Inventaire fournisseurs construit et hiérarchisé ; processus de revue mis en place pour les renouvellements
- Préparation à l'audit
- Dossier de preuves constitué et revue interne blanche menée avant l'évaluation externe
Avant : aucun SMSI documenté, des pratiques informelles, aucun registre des risques.→Après : un dossier de preuves prêt pour l'appel d'offres, avec des contrôles alignés ISO 27001, des politiques validées et un responsable des risques nommé.
Le cabinet a déposé sa réponse à l'appel d'offres avec une section sécurité complète et a passé la revue de suivi du client sans un seul constat ouvert. Le référentiel et le responsable formé en interne sont restés en place après la clôture de la mission.
Pourquoi un conseiller indépendant plutôt qu'un cabinet
La même personne senior cadre la mission, fait le travail et assume le résultat, du début à la fin.
Cadré sur l'écart, pas sur un abonnement
Vous n'achetez pas une relation sans fin. Vous achetez un résultat défini, dans un délai, avec un point clair où la mission s'arrête.
Un seul conseiller senior, du début à la fin
Pas de passage de relais entre l'associé qui vend la mission et l'équipe junior qui la réalise. La personne avec qui vous cadrez est celle qui fait le travail.
Conçu pour survivre à la passation
L'objectif est un référentiel que votre équipe fait tourner sans moi, pas une dépendance. La documentation et la formation interne font partie de chaque périmètre.
Le référentiel d'abord, pas la checklist
Chaque livrable se rattache à un référentiel reconnu comme le NIST CSF ou l'ISO 27001, pour que le travail tienne face à un vrai audit ou à un examen réglementaire.
Cadrons votre mission
Dites-moi l'écart que vous devez combler et l'échéance qui vous contraint. Je vous dirai honnêtement si une mission cadrée peut vous y amener.
Réserver une consultation