Nos expertises au service des défis cyber d’aujourd’hui et de demain.

Analyse du cadre réglementaire et cartographie des exigences DORA, évaluation des écarts et suivi des non-conformités. Contribution à la création ou à l’évolution des dispositifs de conformité, notamment :

• Cadre de gestion des risques TIC : structuration du cadre, formalisation des principes de gestion des risques, définition des responsabilités, des processus de contrôle et des modalités de suivi.
• Stratégie de résilience opérationnelle numérique : déclinaison des objectifs de résilience, définition des niveaux de tolérance au risque TIC, indicateurs KPI/KRI et modalités de pilotage.
• Programme de tests de résilience : structuration du programme, définition du périmètre et des campagnes de tests, suivi des résultats, des constats et des plans de remédiation.
• Politiques et procédures : création ou mise à jour des politiques, normes internes et procédures induites par les exigences DORA, en cohérence avec les dispositifs existants.
• Gestion des incidents TIC : formalisation des processus de détection, de classification, d’escalade et de suivi des incidents majeurs, préparation des notifications réglementaires et structuration du reporting associé.
• Risques liés aux prestataires TIC : contribution à la gestion des risques tiers, au suivi des dépendances et à la tenue du registre d’informations sur les accords contractuels avec les prestataires TIC.
• Gouvernance et remédiation : suivi des plans d’action, préparation des supports de comité et du reporting de conformité, consolidation des indicateurs et suivi des décisions.

Analyse de l’applicabilité, cartographie des exigences, évaluation des écarts par objectif de sécurité et pilotage d’une feuille de route de conformité, avec priorisation des actions, attribution des responsabilités et suivi de l’avancement.

Les ressources et référentiels de l’ANSSI peuvent contribuer à structurer la démarche en fonction du contexte et du périmètre de l’organisation.

Cadrage et conduite des analyses de risques, animation d’ateliers, identification des sources de risque, construction de scénarios stratégiques et opérationnels, évaluation et priorisation des risques, contribution à la définition du profil de risque, structuration de la taxonomie des risques et élaboration des plans de traitement. La démarche peut être adaptée au périmètre, aux enjeux, à la maturité et aux ressources de l’organisation afin de produire une analyse proportionnée, exploitable et utile à la décision.

Evaluation des écarts par rapport aux exigences et aux mesures de sécurité pertinentes, structuration des politiques, des processus et du SMSI, sélection et évaluation des mesures de sécurité, élaboration et mise à jour de la Statement of Applicability (SOA) — Déclaration d’applicabilité, justification des mesures applicables et non applicables, suivi de leur mise en œuvre, collecte des preuves, plans d’amélioration et accompagnement à la préparation de la certification ISO 27001.

L’objectif est de construire un dispositif cohérent, adapté aux risques et intégré au fonctionnement de l’organisation.

Structuration ou amélioration d’une méthodologie d’analyse de risques, identification et classification des risques, définition des critères d’évaluation et d’acceptation, élaboration de scénarios, structuration de la taxonomie et du registre des risques, consolidation du profil de risque, priorisation des risques et définition des plans de traitement.

La démarche peut être adaptée au périmètre, aux enjeux, à la maturité et aux ressources de l’organisation afin de concilier cohérence méthodologique, proportionnalité et efficacité opérationnelle.

Évaluation de maturité cyber (maturity assessment), analyse des écarts (gap assessment), élaboration de profils de cybersécurité actuels et cibles (Current and Target Profiles), définition de feuilles de route, priorisation des initiatives, structuration de la gouvernance et mise en place d’indicateurs de suivi.

À distinguer des publications NIST SP 800-171 et SP 800-53 : le CSF est un cadre d’organisation et de pilotage de la gestion des risques cyber ; il ne constitue ni une version allégée de SP 800-171, ni un catalogue détaillé de contrôles. Il peut servir de point de départ pour identifier les objectifs de sécurité et sélectionner les exigences ou contrôles appropriés au contexte de l’organisation.

• NIST SP 800-171 Rev. 3 définit des exigences de sécurité destinées à protéger la confidentialité des Controlled Unclassified Information (CUI) traitées, stockées ou transmises dans des systèmes non fédéraux. Ces exigences sont notamment destinées à être utilisées dans des contrats ou accords conclus entre des agences fédérales américaines et des organisations non fédérales, sous réserve du périmètre et des règles applicables.
• À distinguer de SP 800-53 : SP 800-171 reprend et adapte une sélection de contrôles issus de SP 800-53 afin de répondre au besoin spécifique de protection des informations CUI dans les systèmes non fédéraux concernés. SP 800-171 ne doit donc pas être assimilé au catalogue complet de SP 800-53, ni appliqué automatiquement à toute organisation sans vérifier le contexte contractuel et le périmètre concerné.

Évaluation de la couverture des contrôles, analyse des écarts, mesure du niveau de mise en œuvre, priorisation des mesures de sécurité, définition d’un socle de sécurité et élaboration d’un plan d’amélioration.

Les CIS Controls peuvent être mis en correspondance (mapping) avec des exigences issues de DORA, NIS2, ISO/IEC 27001, NIST CSF ou d’autres cadres applicables, afin de faciliter leur déclinaison opérationnelle, la justification des mesures retenues et le suivi de leur mise en œuvre.

Ces ressources constituent des références de bonnes pratiques et ne sont pas, en elles-mêmes, des obligations réglementaires générales. Leur nature et leur niveau de prescription varient selon le projet considéré. Elles peuvent compléter les normes de sécurité et contribuer à la mise en œuvre de mesures répondant aux exigences réglementaires ou contractuelles applicables.

Intégrer les risques liés à l’IA dans les analyses de risques, les politiques de sécurité et les dispositifs de contrôle existants. Cela comprend notamment les hallucinations, les prompt injections, les fuites de données et les actions non maîtrisées des agents, ainsi que la sécurisation de leurs accès et de leurs interactions avec les applications et services tiers.

L’objectif est de capitaliser sur les dispositifs éprouvés, de faire évoluer les pratiques et les contrôles de manière pragmatique et proportionnée, et de les compléter lorsque nécessaire afin de faciliter l’intégration sécurisée des solutions d’IA dans l’environnement de l’organisation.