Processus et documentation de cybersécurité

Afin de résister à la professionnalisation des tentatives d’intrusions malveillantes, Coralium vous accompagne dans l’élaboration de vos documents de sécurité :

🛡️ Analyse de risques EBIOS RM

🛡️ Plan de Reprise d’Activité (PRA)

🛡️ Politique de Sécurité des Systèmes d’Information (PSSI)

🛡️ Plan de Continuité d’Activité (PCA)

🛡️ RSSI à temps partagé

Analyse de risques EBIOS RM

Une analyse de risques permet d’apprécier les risques numériques et d’identifier les mesures de sécurité à mettre en œuvre pour les maitriser.

Ce faisant, on valide aussi le niveau de risque acceptable par l’entreprise et on s’inscrit à plus long terme dans une démarche d’amélioration continue, en gardant un œil sur les risques qui peuvent évoluer et les mesures de remédiations qui doivent suivre (et bien sûr, être appliquées !).

Il existe de nombreuses méthodes d’analyse de risques ; nous avons choisi la méthode EBIOS RM, établie par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). En effet, c’est une méthode éprouvée, régulièrement revue et améliorée par l’ANSSI, et très pragmatique.

EBIOS RM vise à représenter des scénarios d’attaque complexes tirant partie de vulnérabilités multiples, à la manière d’attaques réelles. Pour ce faire, cette méthode table sur une analyse approfondie des attaquants potentiels, de l’écosystème et des parties prenantes du périmètre étudié.

Cette approche permet à EBIOS RM de répondre aux problématiques posées par des attaquants toujours plus professionnalisés, de vrais hackers qui étudieront méthodiquement les vulnérabilités d’une cible ainsi que l’ensemble de son écosystème pour parvenir à leurs fins.

Cerise sur le gâteau, l’implication des équipes et des dirigeants dans la démarche permet de faire émerger les ressources et arguments utiles à la communication et à la prise de décision au sein de l’organisation et vis-à-vis des partenaires, et est une première étape vers la sensibilisation et la prise de conscience.

A la fin de l’analyse, vous disposerez d’une liste de scénarios de risques détaillants les parcours des attaquants, associés à une probabilité et une criticité, et en regard, des mesures de remédiations permettant de diminuer ou supprimer ces risques.

Quand faire appel à une analyse de risques ? 

– dans le cadre d’une démarche officielle (certification, homologation, obligations légales…) ;

– en cas de lancement d’un nouveau projet ou service afin de déterminer les risques cyber en amont de la conception et d’anticiper sur les mesures de remédiations ;

– et comme base de la stratégie de sécurité, afin de rédiger la Politique de la Sécurité des Systèmes d’Information (PSSI, le document stratégique définissant les principes de la sécurité de l’entreprise) et de diriger les efforts financiers vers ce qui compte vraiment.

Plan de Reprise d’Activité (PRA)

Le plan de reprise d’activité (PRA) est une approche documentée et structurée qui décrit comment une organisation peut rapidement reprendre le travail après avoir subi un incident majeur.

Le PRA précise donc l’ensemble des procédures et des moyens matériels, technologiques et humains qui permettront à une organisation de relancer ses activités.

Par exemple, en cas d’attaque par rançongiciel, le PRA peut s’assurer que les applications sensibles et l’infrastructure informatique qui les héberge sont de nouveau opérationnelles le plus rapidement possible.

Véritable nécessité pour une entreprise souhaitant se pérenniser en maitrisant ses risques, le PRA permet à l’organisation de se préparer à tout incident et d’en minimiser à l’avance les conséquences via des actions bien précises à prioriser le jour J.

Politique de Sécurité des Systèmes d’Information (PSSI)

La Politique de Sécurité des Systèmes d’Information (PSSI) vise à refléter la vision stratégique de la Direction de l’entreprise en matière de SSI : pour cette raison, la PSSI ne peut-être générique et doit être élaborée en fonction des spécificités de chaque entreprise.

Véritable reflet de la stratégie SSI de votre entreprise, la PSSI est un document qui est construit « sur-mesure » : elle décrit l’ensemble des enjeux, besoins, contraintes, ainsi que les règles qui seront appliquées spécifiquement à votre structure en matière de sécurité informatique.

La PSSI est donc un document central pour la stratégie de sécurité informatique de votre entreprise et doit être ainsi validée par la Direction et prise en compte par tous les collaborateurs.

Nos experts poursuivent la méthode plébiscitée par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) en l’adaptant à vos besoins, ressources et spécificités, au travers de 4 étapes majeures :

1 – Organisation du projet PSSI et constitution du référentiel de votre entreprise

2 – Recueil des éléments stratégiques et analyse de l’existant

3 – Choix des principes et déclinaison en règles adaptées au contexte (graduation des moyens)

4 – Finalisation et validation de la PSSI et de son plan d’action

Plan de Continuité d’Activité (PCA)

Le Plan de Continuité d’Activité (PCA) vise à assurer la survie de l’entreprise en cas d’évènement(s) majeur(s) impactant(s) le système informatique de votre entreprise avec un objectif principal : continuer l’activité de votre entreprise le plus rapidement possible avec le minimum de perte de données.

Ce document comprend l’analyse des risques auxquels votre entreprise peut être confrontée (violation de données, ransomware, phishing, etc …) et les actions établies pour y faire face, toujours dans un seul et unique but : assurer la continuité des services essentiels pour l’organisation.

A l’image du Plan de Reprise d’Activité (PRA), le plan de continuité d’activité (PCA) s’inscrit dans une véritable stratégie de maitrise des risques pour une entreprise et se construit en :

  • Réalisant un inventaire de tous les facteurs de risques auxquels une structure pourrait être confrontée ;

  • Identifiant les moyens à mettre en place pour limiter ces risques et permettre à la structure de continuer à travailler ;

  • Déterminant le rôle des personnels impliqués ;

  • Effectuant des tests réguliers du plan de gestion de crise ;

  • Faisant évoluer ces procédures au rythme des évolutions de l’entreprise.

RSSI à temps partagé

La cybersécurité est loin de n’être qu’une affaire d’outils et de technique ; c’est aussi une question d’humains et de gouvernance, de process, de sensibilisation, d’itération et d’animation au quotidien.

Nommer une personne responsable de la sécurité, que ce soit un RSSI ou, pour les structures de taille plus modeste, un référent cybersécurité, est absolument essentiel à la mise en place d’une cyberstratégie cohérente et continue dans le temps.

Si vous rencontrez des difficultés à trouver un profil, que vous ne souhaitez pas recruter immédiatement ou que vous avez besoin d’aide pour mettre en place les prémisses de votre cyberstratégie, nous pouvons vous aider !

Nos profils de RSSI viennent au sein de votre entreprise et vous apportent leur expérience et compétences afin de :

  • Établir une feuille de route grâce au management par les risques ;

  • Mettre en place une gouvernance cyber adéquate ;

  • Définir, rédiger et implémenter les politiques de sécurité ;

  • Déployer les équipements de sécurité nécessaires ;

  • Définir et mettre en place une stratégie de sensibilisation des populations dans la durée ;

  • Implémenter des mécanismes et processus d’évaluation en continue du système d’information ;

  • S’assurer de l’évolution des pratiques et des systèmes face à la menace ;

  • Tout autre besoin spécifique à votre entreprise !

Nos RSSI vous permettent ainsi de devenir autonome sur le management de la cybersécurité à court, moyen ou long terme, selon vos besoins.

Demandez-nous plus de renseignements !

Travaillons
ensemble

Prenons contact dès aujourd’hui.