Des politiques de sécurité qu'on peut lire un mardi après-midi
Nous rédigeons et revoyons les politiques et procédures qui portent votre sécurité, pour qu'elles décrivent ce que vous faites réellement et que ceux qui les appliquent les comprennent.
Présentation
Pourquoi le corpus documentaire compte
Les politiques disent ce que l'organisation attend. Les procédures disent comment on s'y prend. Auditeurs, clients et autorités lisent les deux, tout comme les personnes qui doivent les appliquer. L'ISO/IEC 27001 exige une politique de sécurité de l'information et attend des politiques thématiques autour, et des cadres comme NIS 2, DORA ou SOC 2 cherchent tous des règles documentées.
L'échec classique est une pile de modèles empruntés que personne n'a lus, décrivant des processus que personne n'applique. Nous faisons l'inverse. Nous interrogeons les responsables, regardons comment le travail se fait et rédigeons des documents qui y correspondent, ou nous vous disons clairement où la pratique doit changer avant le papier.
Une politique est une promesse écrite. Nous vous aidons à faire des promesses que vous pouvez tenir.
À qui s'adresse ce service
Les organisations qui préparent l'ISO/IEC 27001, SOC 2, NIS 2 ou DORA, les entreprises qui répondent à des questionnaires clients demandant leurs politiques, et les équipes dont les documents ne décrivent plus leur façon de travailler.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Revue de l'existant
Nous lisons ce que vous avez, le confrontons aux cadres qui vous concernent et à la pratique, et signalons ce qui manque, est obsolète ou se contredit.
Politiques de base
Une politique de sécurité de l'information et des politiques thématiques, par exemple usage acceptable, contrôle d'accès, cryptographie, journalisation et gestion des changements.
Réponse aux incidents
Une politique et une procédure de réponse aux incidents avec rôles, escalade et signalement, y compris les obligations de notification qui vous concernent.
Fournisseurs et sauvegarde
Sécurité des fournisseurs, sauvegarde et restauration, continuité d'activité et autres politiques opérationnelles, reliées aux mesures sur lesquelles elles reposent.
Procédures et enregistrements
Des procédures pas à pas là où elles aident, et les enregistrements qui prouvent qu'elles ont été suivies.
Maîtrise documentaire
Propriétaires, dates de revue, versions et approbation, pour que le corpus reste à jour après notre départ.
Déroulement de la mission
Lancement
Nous convenons des documents concernés, des cadres auxquels ils doivent répondre et de leurs propriétaires, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale avec la liste des documents, la méthode et le type de contrat qui vous convient.
Revue et entretiens
Nous lisons le corpus actuel et parlons avec les personnes qui font le travail qu'il décrit.
Rédaction
Des projets en langage clair, relus avec les propriétaires et ajustés jusqu'à correspondre à la pratique.
Remise et approbation
Les documents finaux, une correspondance avec les cadres du périmètre et une courte présentation pour ceux qui les approuvent et les appliquent.
Clôture
Clôture du projet avec vos retours et, en option, une revue périodique pour garder le corpus à jour.
Ce que vous recevez
- Analyse d'écarts de votre corpus actuel
- Politique de sécurité de l'information et politiques thématiques
- Procédures et modèles d'enregistrement si nécessaire
- Correspondance de chaque document avec les exigences couvertes
- Registre documentaire avec propriétaires et dates de revue
- Support de présentation pour le personnel et les approbateurs
Questions
Ne peut-on pas simplement utiliser des modèles ?
Les modèles sont un bon point de départ et nous utilisons des structures que les auditeurs reconnaissent. Le problème, c'est un contenu qui ne correspond pas à votre pratique. Un auditeur échantillonne les preuves au regard de ce que dit la politique, et une politique non appliquée devient un constat.
Combien de politiques nous faut-il ?
Autant que vos risques, votre périmètre et vos cadres l'exigent, pas davantage. Certaines organisations s'en sortent très bien avec un corpus court et quelques procédures. Nous l'adaptons à vous.
Les documents passeront-ils l'audit ?
Personne ne peut le promettre. L'audit vérifie que vous appliquez les documents, pas seulement les documents eux-mêmes. Nous les rédigeons pour répondre aux exigences et correspondre à ce que vous faites, ce que les auditeurs contrôlent.
Pouvez-vous aussi former le personnel aux nouvelles politiques ?
Oui. La sensibilisation à la sécurité fait partie de nos services, et une courte présentation est incluse dans la remise.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conseil et réponseSensibilisation à la sécuritéFormations Black Fox Security : sensibilisation à la sécurité et à l'ingénierie sociale, réponse à incident, DevSecOps, pour équipes, développeurs et direction.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
- Conformité et certificationNIS 2NIS 2 avec Black Fox Security : analyse d'assujettissement, écarts face aux mesures de gestion des risques, notification des incidents, fournisseurs.
Envoyez-nous le classeur
Ou dites-nous qu'il n'existe pas. Dans les deux cas, nous vous dirons ce dont votre corpus a besoin.