Diagnostic fonctionnel sécurité : évaluez votre niveau de maturité en matière de cybersécurité

Quelle que soit la taille de votre organisation ou son secteur d’activité, elle n’est pas épargnée par les cybermenaces. Le panorama de la cybermenace 2023 de l’ANSSI constatait une recrudescence des risques, avec une hausse des attaques par rançongiciels. Parmi les organisations victimes d’attaques, on dénombrait 34 % de TPE/PME/ETI et 24 % de collectivités territoriales. Pour faire le point sur les forces et les faiblesses de votre politique de sécurité numérique, mais aussi savoir comment l’améliorer, vous pouvez réaliser un état des lieux complet.

Pourquoi réaliser le diagnostic fonctionnel sécurité de votre organisation ?

Le diagnostic fonctionnel sécurité permet de dresser un état des lieux exhaustif de la sécurité de l’organisation, en prenant en compte tout le spectre des problématiques de sécurité numérique. Cela permet à l’organisation de savoir où elle en est, par où commencer et dans quel ordre procéder. Le diagnostic s’adresse à toutes les organisations, qu’elles aient déjà mis une démarche de cybersécurité en place ou non.
Ce diagnostic à 360 ° permet aux organisations de formaliser :
- Leur niveau actuel de sécurité ;
- La manière dont elles peuvent renforcer leur démarche en place ;
- Les mesures à mettre en place lorsqu’aucune démarche formelle de sécurité n’est appliquée.
Cela contribue à la préparation de la mise en conformité avec NIS2, pour les entités qui seront désignées.

Mon organisation est-elle concernée par cette prestation ?

Ce diagnostic convient à la plupart des organisations, petites, moyennes et intermédiaires. . Même si elle est de taille réduite, cette équipe doit compter certaines compétences minimales : une expertise applicative, une expertise système et une expertise poste de travail (end user). Toute entité qui n’a qu’une ou deux personnes en charge de l’informatique pourra difficilement mettre en application les recommandations émises à l’issue du diagnostic.
La prise de conscience de la menace cyber grandit parmi les organisations publiques comme privées. Le manque de ressources expertes leur fait souvent défaut, les retardant ou les empêchant de traiter convenablement et rapidement les vulnérabilités que présente le système d'information.
Les organisations du secteur public sont de plus en plus ciblées par des cyberattaques, toujours de grande ampleur. Ces organisations s’ouvrent peu à peu au télétravail, ce qui les expose encore davantage à la menace cyber. Cela exige des mesures de sécurité spécifiques complémentaires telles que la sensibilisation, la formation, chiffrement des équipements, authentification renforcée. La complexité des technologies de l'information disponibles ne cesse de s'accroître et de s'accélérer (Virtualisation, SaaS, Cloud, IA...). Cette situation fait peser des contraintes sur toutes les entités publiques qui doivent composer avec un budget restreint et des difficultés à recruter à des postes qualifiés. Cette guerre des talents touche aussi les entreprises qui peinent à recruter et à conserver certaines compétences clés, notamment dans les équipes informatiques.
Le recours à des expertises extérieures prend dès lors tout son sens afin d'être au rendez-vous des exigences de sécurité et des obligations réglementaires et légales.
Dans les PME, il est courant que la responsabilité de la sécurité du système d’information repose sur un petit groupe de personnes. Cette équipe informatique va alors mettre en place des actions en fonction de ses capacités. Au sein des entreprises qui ont pu constituer des équipes plus conséquentes, on observe souvent que des actions sont menées, mais sans véritable cohérence de la part des équipes système et réseau. L’équipe système prend des mesures pour sécuriser les serveurs et l’équipe réseau crée une architecture résiliente face aux attaques. Mais certains aspects essentiels pour bien sécuriser le SI, dans l’angle mort de ces deux spécialisations, peuvent être négligés. En d'autres termes, cela reviendrait à mettre des barreaux aux fenêtres sans avoir construit une clôture autour de son terrain ou encore de mettre une porte d'entrée blindée sans protéger les portes fenêtres du salon, de la cuisine...

Comment est construit le diagnostic fonctionnel sécurité d’Hibyrd ?

Notre prestation de diagnostic s’est construite à partir d’un document de référence en matière de sécurité numérique en France. Il s’agit du guide d’hygiène informatique en 42 règles rédigé par l’ANSSI, l’Agence nationale de la sécurité des systèmes d'information (ANSSI), l'autorité nationale en matière de cybersécurité.
Le diagnostic fonctionnel sécurité est aussi une alternative allégée (en termes de durée et de budget) à la certification ISO 27001. Basée sur la norme internationale de référence ISO 27001, cette certification atteste de la mise en place d’un système de management de la sécurité de l’information performant.
Le diagnostic fonctionnel sécurité s’inspire de ces documents tout en allant plus loin, en proposant une prestation véritablement personnalisée. Notre but est de proposer une prestation et un livrable qui s’adapte selon chaque cas et qui pourra facilement déboucher sur une mise en œuvre de projet du côté du client.

De quelle manière se déroule le diagnostic et comment se présente le livrable ?

Lors d’un premier échange, nous effectuons un cadrage de la mission. Nous cherchons à comprendre les objectifs que poursuit l’organisation en réalisant ce diagnostic. Nous nous accordons aussi sur la forme précise du livrable.
Le diagnostic en lui-même prend la forme d’une interview, qui se déroule sur plusieurs 2 à 3 heures lors de plusieurs séances. La durée totale varie selon la taille de l’organisation. Cet échange peut être fait en présentiel, en full distanciel ou de manière mixte. Selon la taille de l’équipe informatique et la disponibilité des personnes, cette interview est réalisée auprès d’une ou de plusieurs personnes.
Contrairement à un audit, processus plus complexe incluant une étude documentaire, le diagnostic se base uniquement sur du déclaratif. Notre consultant pose 255 questions classées par thématiques et rédige chaque réponse afin d’inclure un verbatim dans son livrable.
Le livrable se présente sous la forme d’un document détaillé présentant un plan d’action en 200 à 300 actions. Chaque action est associée à un porteur de l’action (la personne en charge), ainsi que le statut de cette action (son avancée). Ces actions sont triées selon la classification du guide de l’ANSSI, qui est divisé en 10 chapitres (sensibiliser et former, connaître le système d’information, authentifier et contrôler les accès, sécuriser les postes, sécuriser le réseau…).
Pour chacune de ces catégories, nous indiquons les recommandations retenues (qui correspondent au cas de l’organisation) et les recommandations satisfaites (au sujet desquelles elle est déjà conforme). L’organisation diagnostiquée peut reprendre ce tableau excel pour l’intégrer à ses propres outils de traitement de projet. Nous incluons aussi une représentation graphique, sous forme de radar, qui permet de visualiser facilement le taux de recommandations satisfaites.
Une fois le plan d'action formalisé, un travail de priorisation des tâches est effectué avec le client afin d'identifier les quick win. Il s’agit des activités prioritaires qui peuvent être réalisées avec le moins de moyens tout en produisant le maximum de résultats. Cela peut aider à commencer le projet rapidement.
L’étape finale, la restitution de l’état des lieux, est une conversation ouverte entre le consultant et l’équipe informatique. Cela permet aux interlocuteurs du côté de l’organisation de demander des précisions si besoin.

Pourquoi faire appel à Hibyrd pour faire un diagnostic sécurité personnalisé et efficace ?

En tant qu’acteur externe, le consultant Hibyrd pose un regard neuf et indépendant sur la maturité de l’organisation en termes de sécurité numérique. Il peut identifier des failles et incohérences, et émettre des recommandations plus librement qu’une personne interne.
Cette prestation de diagnostic fonctionnel sécurité va plus loin qu’un simple état des lieux en permettant à l’entreprise ou à la collectivité concernée de bénéficier du savoir-faire d’un consultant expérimenté, qui a travaillé avec différentes organisations publiques et privées. Il s’appuie sur ses retours d’expériences pour approfondir certains points et apporter des recommandations sur mesure.
En faisant appel à Hibyrd, l’organisation bénéficie non seulement des services personnalisés d’un expert, mais peut aussi passer rapidement à l’action afin d’agir en faveur de sa cybersécurité. Elle dispose aussi d’outils, comprenant la restitution de verbatim issus des entretiens, qui lui permettent de mesurer ses avancées si elle décide de passer en revue son avancement selon la périodicité qu'elle choisit.

Pour échanger sur vos problématiques de sécurité numérique et obtenir davantage d’informations sur cette prestation, contactez-nous dès maintenant.