Encyclopédie IT et GRC
Ce que signifie chaque concept, méthode, document et norme, comment il fonctionne et comment l'appliquer, avec les sources officielles de chaque réponse.
Guides complets
- Guide complet ISO 27001Lisez ces articles dans l'ordre et vous suivrez la séquence d'un vrai projet de certification, de la compréhension de la norme à la vérification de votre propre système.
- Guide complet NIS2Ce parcours commence par la question que la plupart des entreprises se posent d'abord, NIS2 les concerne-t-elle, puis passe en revue ses obligations dans l'ordre où vous les traiteriez.
- Guide complet de la gestion des risquesCes articles s'appuient les uns sur les autres. À la fin, vous saurez mettre en place un processus de gestion des risques qu'une petite équipe peut réellement faire vivre.
- Guide complet de la continuité d'activitéLa planification de la continuité tourne mal quand elle commence par le plan. Ce parcours commence par ce dont l'entreprise a réellement besoin, et finit par les moyens de le rétablir.
Gestion des risques
- Qu'est-ce qu'un registre des risques ?Un registre des risques est la liste tenue à jour de ce qui pourrait nuire à une entreprise : qui répond de chaque risque, quelle est sa gravité, ce qui est fait pour le traiter et où en est ce travail.
- La matrice des risques expliquéeUne matrice des risques est une grille qui croise la vraisemblance et l'impact. Elle permet à une entreprise de comparer des risques très différents sur une même échelle et de décider lesquels traiter en premier.
- Méthode d'appréciation des risquesUne méthode d'appréciation des risques est la manière fixe dont une entreprise identifie, analyse et évalue ses risques, pour que deux personnes appréciant la même chose aboutissent à des résultats comparables.
- Plan de traitement des risquesUn plan de traitement des risques dit ce qu'il advient de chaque risque que l'entreprise ne veut pas laisser en l'état : quelle option, quelles actions, qui les mène, pour quand, et quel résultat en attendre.
- Le propriétaire du risqueLe propriétaire d'un risque est la personne qui en répond, avec l'autorité de décider de son traitement, de le financer et d'accepter ce qui en reste.
- Appréciation des risques ISO 27001L'ISO/IEC 27001 exige un processus défini d'appréciation des risques de sécurité de l'information (article 6.1.2), mené à intervalles planifiés (article 8.2), qui identifie les risques et leurs propriétaires, les analyse et les évalue au regard de critères établis.
- Inventaire des actifsL'inventaire des actifs est la liste à jour des informations, systèmes, appareils et services dont dépend une entreprise, chacun avec un responsable. On ne peut pas protéger ce qu'on ne sait pas posséder.
Conformité
- Analyse des risques RGPDUne analyse des risques RGPD examine les risques qu'un traitement crée pour les droits et libertés des personnes. Quand ce risque est susceptible d'être élevé, l'article 35 impose une analyse d'impact relative à la protection des données, ou AIPD.
- Qu'est-ce que la gestion de la conformité ?La gestion de la conformité est le travail continu qui consiste à savoir quelles obligations s'appliquent à une entreprise, à les respecter, à le prouver et à corriger ce qui fait défaut.
- Guide du questionnaire de conformitéUn questionnaire de conformité est un ensemble structuré de questions qui montre où en est une entreprise face à une loi, une norme ou un contrat, et où elle est en défaut.
- Le contrôle interne expliquéUne mesure de contrôle interne donne une assurance raisonnable qu'une entreprise atteindra ses objectifs malgré ses risques : une approbation obligatoire, une séparation des tâches, une revue, une restriction technique.
- Qu'est-ce que l'ISO 27001 ?L'ISO/IEC 27001 est la norme internationale du système de management de la sécurité de l'information : la manière dont une entreprise gouverne, évalue et améliore la sécurité de ses informations.
- Déclaration d'applicabilitéLa déclaration d'applicabilité est le document obligatoire de l'ISO/IEC 27001 qui indique quelles mesures une entreprise nécessite, pourquoi, si elles sont mises en œuvre, et pourquoi une mesure de l'annexe A est écartée.
- Qu'est-ce que NIS2 ?NIS2 est la directive européenne (2022/2555) qui fixe des obligations de cybersécurité aux moyennes et grandes entités des secteurs critiques : mesures de gestion des risques, notification des incidents et responsabilité de la direction.
- Liste de contrôle NIS2Une liste de contrôle NIS2 suit la structure de la directive : le champ, les devoirs de l'organe de direction (article 20), les dix mesures de l'article 21(2) et les délais de notification (article 23).
- Qu'est-ce que le RGPD ?Le règlement général sur la protection des données (UE) 2016/679 fixe les règles d'utilisation des données personnelles dans l'Union européenne. Il s'applique depuis le 25 mai 2018.
- Surveillance de la conformitéLa surveillance de la conformité est la vérification régulière, par les responsables, que les obligations sont toujours respectées et que les mesures fonctionnent toujours, pour que les problèmes apparaissent avant l'audit.
Continuité d'activité
- Qu'est-ce que la continuité d'activité ?La continuité d'activité est la capacité d'une entreprise à continuer de fournir ses produits et services les plus importants à un niveau acceptable pendant une perturbation, quelle qu'en soit la cause.
- Qu'est-ce que la reprise après sinistre ?La reprise après sinistre est l'ensemble des plans et des moyens techniques qui rétablissent les systèmes informatiques et les données après une perturbation grave, dans les délais convenus avec les métiers.
- Continuité d'activité ou reprise après sinistreLa continuité d'activité maintient l'entreprise en fonctionnement pendant une perturbation, et la reprise après sinistre restaure l'informatique dont elle dépend. La reprise est une partie de la continuité.
- Bilan d'impact sur l'activitéLe bilan d'impact sur l'activité, ou BIA, détermine ce qui se passe dans le temps si chaque activité s'arrête, et s'en sert pour fixer sa priorité et ses objectifs de reprise.
- Le RTO expliquéL'objectif de délai de reprise, ou RTO, est le délai dans lequel une activité ou un système doit être rétabli après une perturbation, avant que les conséquences ne deviennent inacceptables.
- Le RPO expliquéL'objectif de point de reprise, ou RPO, désigne les données les plus récentes qu'une entreprise peut se permettre de perdre, exprimées en durée avant l'incident.
Audit
- Guide de l'audit interneUn audit interne est une vérification indépendante, planifiée et documentée que les pratiques d'une entreprise satisfont ses exigences et fonctionnent comme prévu.
- Liste de contrôle d'auditLa liste de contrôle d'audit est le document de travail de l'auditeur. Pour chaque critère, elle dit quoi regarder, qui interroger et quoi échantillonner, et elle consigne ce qui a été trouvé.
- Constats d'auditUn constat d'audit compare une preuve à un critère. Il dit ce qui devrait se passer, ce qui a été vu, pourquoi cela compte et pourquoi c'est arrivé.
- Liste de contrôle d'audit réseauUne liste de contrôle d'audit réseau vérifie qu'un réseau est connu, segmenté, à jour, surveillé et accessible seulement à ceux qui doivent y accéder, avec une preuve pour chaque ligne.
Risque lié aux tiers
- Évaluation des risques fournisseursUne évaluation des risques fournisseurs détermine ce qui pourrait mal tourner à travers un fournisseur donné, à quel point il est préparé, et si le risque restant est acceptable.
- Gestion des risques tiersLa gestion des risques tiers est le programme qui maîtrise les risques liés au recours à des fournisseurs et partenaires, de leur sélection à la fin de la relation.
- Questionnaires de sécuritéUn questionnaire de sécurité est la liste de questions qu'un acheteur envoie à un fournisseur pour vérifier ses pratiques de sécurité. Bien y répondre fait désormais partie de la vente.
Guides pratiques
- Qu'est-ce que la GRC ? Gouvernance, risques et conformité expliquésGRC signifie gouvernance, risques et conformité : la façon dont une entreprise fixe ses règles, gère ce qui pourrait mal tourner et prouve qu'elle respecte ses obligations.
- Comment définir le périmètre d'un SMSILe périmètre indique quelle partie de l'entreprise le SMSI couvre. La clause 4.3 de l'ISO/IEC 27001 demande d'en déterminer les limites et l'applicabilité, et de le conserver comme information documentée.
- Comment mener une analyse d'écarts de conformitéUne analyse d'écarts compare votre pratique actuelle aux exigences d'un référentiel, pour montrer ce qui manque et ce qu'il faut faire d'abord. C'est souvent la première étape d'un projet de conformité.
- Exigences DORA : les cinq piliers expliquésLe règlement sur la résilience opérationnelle numérique, règlement (UE) 2022/2554, s'applique depuis le 17 janvier 2025 aux entités financières de l'UE et fixe un ensemble unique de règles sur la résilience des TIC.
- HIPAA Security Rule : mesures de protection et documentationLa HIPAA Security Rule (45 CFR Part 164, Subpart C) fixe des normes américaines pour protéger les informations de santé électroniques détenues par les entités couvertes et leurs partenaires commerciaux.
- Les 12 exigences PCI DSS expliquéesPCI DSS est la norme de sécurité du secteur des cartes pour toute entreprise qui stocke, traite ou transmet des données de titulaires de carte. Ce guide suit la version 4.0.1, publiée en juin 2024 : consultez la bibliothèque documentaire du PCI SSC pour la dernière version.
- Violation de données RGPD : que faire dans les 72 heuresSelon l'article 33 du RGPD, une violation de données personnelles doit être notifiée à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes.
- SOC 2 ou ISO 27001 : différences et lequel choisirL'ISO/IEC 27001 certifie un système de management ; un rapport SOC 2 donne l'opinion d'un auditeur sur vos mesures. Ils se recoupent largement, et le bon choix dépend surtout de ce que vos clients demandent.
- Politique, procédure, standard, ligne directrice : quelle différence ?Ces quatre types de documents répondent à des questions différentes. Les garder séparés rend chacun plus court, plus facile à approuver et plus facile à tenir à jour.
- Revues des accès : comment les menerUne revue des accès vérifie que les personnes ont toujours besoin des accès qu'elles détiennent. C'est l'une des mesures les plus souvent testées, et ses défaillances apparaissent souvent dans les constats d'audit.
- Comment rédiger un plan de réponse aux incidentsUn plan de réponse aux incidents dit qui fait quoi quand quelque chose tourne mal. Écrit à l'avance, il fait gagner les heures où les décisions comptent le plus.