Audit sur pièces de la protection des données et de la sécurité (CyberArk)
Une organisation de la protection des données et de la sécurité documentée, dont les écarts sont connus et hiérarchisés.
En bref
- Résultat
- Une organisation de la protection des données et de la sécurité documentée, dont les écarts sont connus et hiérarchisés.
- Idéal pour
- Dirigeant de cabinet de courtage, responsable de la conformité ou responsable des systèmes d'information qui veut savoir ce qu'une demande de la CNIL (Commission nationale de l'informatique et des libertés) ou d'un partenaire trouverait sur pièces.
- Ce que vous obtenez
- Rapport d'audit sur pièces avec constats argumentés, pièces examinées et plan d'actions priorisé.
- Prérequis de votre côté
- Accès au registre des traitements, aux contrats de sous-traitance, aux procédures, à la politique d'accès et aux traces des incidents, avec deux à trois entretiens.
- Durée et charge
- 4 à 10 jours
- Format
- Forfait
Exemple de situation
Répondre à un questionnaire d'un partenaire. Un assureur partenaire adresse à un cabinet un questionnaire sur le thème CyberArk. L'audit, en cinq jours, relit les documents disponibles, relève ce qui manque et prépare des réponses étayées, que le dirigeant relit et signe.
Nous auditons sur pièces votre organisation sur le thème CyberArk : registre des traitements, durées de conservation, information des personnes, contrats avec les sous-traitants, gestion des accès, sauvegardes, procédure de gestion des violations, inventaire des prestataires du système d'information, plan de continuité. Nous confrontons les documents à vos pratiques par des entretiens avec le dirigeant, le référent données et le responsable informatique.
Le rapport distingue ce qui est prouvé, ce qui est affirmé sans pièce et ce qui manque, puis propose un plan d'actions. C'est une revue documentaire et organisationnelle : nous ne réalisons ni test d'intrusion ni audit qualifié de sécurité, le rapport ne vaut ni contrôle de la CNIL ni attestation de conformité, et nous ne consultons aucune donnée réelle de vos clients.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, les textes applicables et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès aux documents.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème CyberArk, avant toute rencontre, pour arriver aux entretiens avec des questions précises.
Entretiens et échantillon
Nous rencontrons le dirigeant, les responsables et les collaborateurs, et nous examinons un échantillon de dossiers que vous choisissez ou que nous tirons avec vous.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos associés, à une compagnie partenaire ou à l'autorité.
- Rapport d'audit sur pièces avec constats argumentés et pièces examinées
- Revue du registre des traitements, des contrats de sous-traitance, des procédures et de la politique d'accès
- Plan d'actions priorisé, présenté au dirigeant et au référent des données
Format et charge : forfait, 4 à 10 jours. Idéal pour : dirigeant de cabinet de courtage, responsable de la conformité ou responsable des systèmes d'information qui veut savoir ce qu'une demande de la CNIL ou d'un partenaire trouverait sur pièces. Prérequis de votre côté : accès au registre des traitements, aux contrats de sous-traitance, aux procédures, à la politique d'accès et aux traces des incidents, avec deux à trois entretiens.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Répondre à un questionnaire d'un partenaire
Un assureur partenaire adresse à un cabinet un questionnaire sur le thème CyberArk. L'audit, en cinq jours, relit les documents disponibles, relève ce qui manque et prépare des réponses étayées, que le dirigeant relit et signe.
Faire l'état des lieux après un changement d'outil
Un cabinet a changé de logiciel de gestion et veut vérifier le thème CyberArk. L'audit compare le registre, les droits d'accès et les sauvegardes à la nouvelle situation, puis propose un plan en trois étapes.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 4 à 10 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'examen d'un échantillon de dossiers et la rédaction. L'auditeur est un intervenant sélectionné pour son expertise du thème CyberArk, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit d'une compagnie, demande de l'autorité ou revue interne, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème CyberArk, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à une compagnie partenaire. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il porte sur pièces : il ne remplace ni un contrôle de l'autorité, ni l'avis d'un avocat, ni une attestation de conformité, que nous ne délivrons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Pouvez-vous être le délégué à la protection des données ou le RSSI de notre cabinet ?
Non. Nous n'occupons aucune fonction réglementée ou de direction chez vous : le délégué à la protection des données ne doit pas se trouver en conflit d'intérêts, et la sécurité de vos systèmes engage votre dirigeant. Sur le thème CyberArk, nous auditons sur pièces, nous conseillons sur l'organisation, nous concevons des registres, des procédures et des plans de réponse, nous paramétrons des outils que vous avez choisis et nous formons. Nous ne réalisons ni test d'intrusion ni audit qualifié, et nous n'hébergeons aucune donnée de vos clients.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons un devis après un échange de cadrage.
Les autres déclinaisons d'audit sur pièces sur le thème CyberArk
- Audit sur pièces du dispositif de conformité (CyberArk)
- Diagnostic flash avant un audit ou une échéance (CyberArk)
Les autres types de prestation sur le thème CyberArk
