Nous mettons vos politiques et procédures sous gestion de versions, relions chaque exigence à son contrôle et générons les preuves à chaque changement. Une politique qui dérive de la réalité se voit tout de suite.
Un document de sécurité n’a de valeur que s’il décrit ce qui se passe réellement. Rédigé une fois puis rangé, il diverge des systèmes à chaque changement, et l’écart se découvre à l’audit.
Nous traitons donc la documentation comme du code : versionnée, relue, reliée aux contrôles qu’elle prescrit, et vérifiée automatiquement. Chaque changement laisse une trace ; chaque exigence a sa preuve.
Nous partons de vos documents existants ; rien n’est réécrit sans raison.
Vous obtenezUn corpus documentaire hiérarchisé
Vous obtenezUn historique des versions et des approbations
Vous obtenezUne matrice exigences–contrôles
Vous obtenezDes preuves générées et vérifiées
Les textes demandent des politiques documentées, revues et dont l’efficacité est évaluée : exactement ce que la gestion de versions et les contrôles automatisés rendent démontrable.
Le cadre de gestion du risque informatique d’une entité financière comprend des stratégies, politiques, procédures et outils ; il est documenté, revu au moins une fois par an et amélioré en continu.12
La directive demande aux États membres d’exiger des entités des politiques d’analyse des risques et de sécurité des systèmes d’information, et des politiques et procédures pour évaluer l’efficacité des mesures ; le ReCyF (version de travail) prévoit une politique de sécurité des systèmes d’information dans le cadre de gouvernance.345
Le responsable de traitement met en œuvre des mesures pour démontrer sa conformité, les réexamine, y inclut des politiques de protection des données lorsque c’est proportionné, et prévoit, selon les besoins, une procédure pour tester régulièrement l’efficacité des mesures de sécurité.678
La CNIL recommande, en mesure complémentaire, de consigner les objectifs de protection des données dans une politique générale portée par la direction, précisée ensuite en politiques thématiques et procédures détaillées.9
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous vérifions à intervalles convenus que les documents sont à jour et que les contrôles qu’ils prescrivent passent.
LivrablesNous structurons le corpus, relisons les documents et proposons les contrôles qui les rendent vérifiables.
LivrablesNous animons la mise sous gestion de versions et la tenue du corpus avec vos équipes, sans effectuer les changements dans votre SI.
LivrablesPolitiques, standards et procédures dans un format texte versionnable, exportable en Word ou PDF pour vos lecteurs.
Des vérifications automatisées pour les exigences courantes, à brancher dans votre chaîne CI/CD.
Chaque exigence d’un document peut renvoyer aux dispositions de DORA, NIS 2 ou du RGPD qu’elle sert.
Oui. Les documents restent du texte lisible, publiés en Word, PDF ou page web ; seule leur source est versionnée. Les relecteurs n’ont pas besoin de connaître Git.
Non. Nous reprenons vos documents, supprimons les doublons et les contradictions, et ne réécrivons que ce qui ne décrit plus la réalité.
Pour une entité financière soumise à DORA, le cadre de gestion du risque informatique est revu au moins une fois par an (périodiquement pour les microentreprises), et après un incident majeur. Pour les autres, nous recommandons un rythme comparable, et une revue à chaque changement significatif.2
Non. Une configuration se vérifie automatiquement ; une revue de direction ou un exercice de crise, non. Nous automatisons ce qui peut l’être et datons les preuves des contrôles manuels.
Décrivez votre corpus documentaire et vos outils. Nous revenons vers vous avec une proposition de première migration.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a6-p2The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that are necessary to duly and adequately protect all information assets and ICT assets, including computer software, hardware, servers, as well as to protect all relevant physical components and infrastructures, such as premises, data centres and sensitive designated areas, to ensure that all information assets and ICT assets are adequately protected from risks including damage and unauthorised access or usage.32022R2554-a6-p5The ICT risk management framework shall be documented and reviewed at least once a year, or periodically in the case of microenterprises, as well as upon the occurrence of major ICT-related incidents, and following supervisory instructions or conclusions derived from relevant digital operational resilience testing or audit processes. It shall be continuously improved on the basis of lessons derived from implementation and monitoring. A report on the review of the ICT risk management framework shall be submitted to the competent authority upon its request.32022L2555-a21-p2-1policies on risk analysis and information system security;32022L2555-a21-p2-6policies and procedures to assess the effectiveness of cybersecurity risk-management measures;recyf:obj-2Les entités [importantes et essentielles] définissent un cadre de gouvernance de la sécurité numérique placé sous la responsabilité du dirigeant exécutif.
Le cadre de gouvernance de la sécurité numérique consiste en la mise en place, au sein des entités [importantes et essentielles] :
1. D’une organisation ;
2. De rôles et responsabilités en matière de sécurité numérique ;
3. De processus de gestion de la conformité ;
4. D’une politique de sécurité des systèmes d’information et des politiques comprenant au minimum des dispositions en matière d’usage du chiffrement, de contrôle d’accès physique et logique et de revue de l’application des mesures de sécurité mises en œuvre.
Les entités [importantes et essentielles] :
- réalisent une analyse de leur conformité vis-à-vis des dispositions [pointer vers les dispositions du décret correspondant aux objectifs de sécurité],
- identifient les éventuels écarts existants par rapport aux objectifs de sécurité et,
- établissent et suivent dans la durée un plan d’action pour corriger chacun de ces écarts dans les meilleurs délais. Ce plan d’action est adapté à la structure de l’entité et à son environnement.
La responsabilité de ce plan d’action est déterminée au regard du cadre de gouvernance de la sécurité numérique mis en place.
Les entités essentielles établissent ce plan d’action en tenant compte de l’analyse de risques qu’elles sont tenues de réaliser en application de [l’objectif 16].
Ce plan d’action ne préjuge pas de l’appréciation du respect de ses obligations légales et règlementaires lors d’un contrôle par l’ANSSI.32016R0679-a24-p1Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.32016R0679-a24-p2Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.32016R0679-a32-p1-4a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.F01-MC-02Les objectifs généraux en matière de protection des données personnelles peuvent être consignés dans une politique générale de protection des données, portée par la direction et diffusée à l’ensemble des acteurs (personnels, sous-traitants, partenaires). Cette politique peut ensuite être précisée à un niveau opérationnel en politiques thématiques et procédures détaillées pour décliner au contexte d’activité de l’organisme les mesures de protection des données personnelles.