Audit blanc ISO (International Organization for Standardization, Organisation internationale de normalisation) 27001 et évaluation de maturité cyber (Active Directory)
Une préparation traçable à un audit externe ou à une demande d'un financeur, avec des écarts connus avant l'échéance.
En bref
- Résultat
- Une préparation traçable à un audit externe ou à une demande d'un financeur, avec des écarts connus avant l'échéance.
- Idéal pour
- Responsable de la sécurité des systèmes d'information, responsable qualité ou directeur qui prépare un audit de certification ou un audit demandé par un tiers.
- Ce que vous obtenez
- Rapport d'audit blanc avec constats rattachés aux exigences de la norme, grille de maturité et plan de remédiation priorisé.
- Prérequis de votre côté
- Périmètre du système de management, déclaration d'applicabilité si elle existe, analyse de risques, politiques, preuves d'exploitation, disponibilité des responsables d'activité pour les entretiens.
- Durée et charge
- 4 à 8 jours
- Format
- Forfait
Exemple de situation
Préparer un audit de certification. Une association gestionnaire prépare un audit externe sur le thème Active Directory. L'audit blanc relit le périmètre, la déclaration d'applicabilité et un échantillon de preuves. Les points à documenter sont traités avant la venue de l'organisme certificateur, qui reste seul juge.
Nous conduisons un audit blanc à l'identique de l'échéance : lecture du périmètre et de la déclaration d'applicabilité, entretiens, échantillonnage de preuves, vérification des mesures de sécurité mises en place sur le thème Active Directory. La maturité est cotée par grille interne, sans valeur officielle. Les constats sont rattachés aux exigences de la norme ISO/IEC 27001 et, lorsque votre structure y est soumise, aux obligations de sécurité qui s'y ajoutent.
Le rapport distingue ce qui serait présentable à un auditeur, ce qui reste à documenter et ce qui demande une action technique ou organisationnelle. Un audit blanc ne vaut pas audit de certification : nous ne délivrons aucune certification, et la décision appartient à l'organisme certificateur accrédité. La synthèse présentée à la direction met en avant l'objectif de traiter les cas complexes et transmettre les pratiques aux collègues et le calendrier de remédiation.
Déroulé de la prestation
Référentiel
Nous construisons la grille à partir du référentiel applicable : exigences réglementaires ou d'un financeur, norme, programme de formation ou fiche de poste.
Modalités
Questionnaire, mise en situation sur poste, entretien technique ou audit blanc, selon l'enjeu et le nombre de personnes.
Session
L'évaluation se déroule sur votre site ou sur un poste représentatif, dans les conditions réelles du thème Active Directory.
Rapport
Rapport individuel avec les points maîtrisés, les points à consolider et une recommandation de niveau ; synthèse collective.
Suite
Nous proposons les compléments utiles et, le cas échéant, vous orientons vers l'organisme compétent pour une certification officielle, que nous ne délivrons pas.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre gouvernance, à votre financeur ou à l'autorité de contrôle.
- Rapport d'audit blanc avec constats rattachés aux exigences de la norme
- Grille de maturité par domaine de sécurité, sans valeur officielle
- Plan de remédiation priorisé avec calendrier avant l'échéance
Format et charge : forfait, 4 à 8 jours. Idéal pour : responsable de la sécurité des systèmes d'information, responsable qualité ou directeur qui prépare un audit de certification ou un audit demandé par un tiers. Prérequis de votre côté : périmètre du système de management, déclaration d'applicabilité si elle existe, analyse de risques, politiques, preuves d'exploitation, disponibilité des responsables d'activité pour les entretiens.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Préparer un audit de certification
Une association gestionnaire prépare un audit externe sur le thème Active Directory. L'audit blanc relit le périmètre, la déclaration d'applicabilité et un échantillon de preuves. Les points à documenter sont traités avant la venue de l'organisme certificateur, qui reste seul juge.
Répondre à une exigence d'un financeur
Un département demande un niveau de maturité de sécurité à ses associations partenaires sur le thème Active Directory. L'évaluation positionne la structure sur une grille interne et en tire un plan de remédiation daté, présentable à la direction et au financeur lors du prochain dialogue de gestion.
Questions fréquentes sur cette prestation
Que vaut votre évaluation vis-à-vis des certifications officielles ?
Nous ne délivrons aucune certification officielle ni aucun agrément : ils relèvent d'organismes, d'autorités ou d'employeurs dédiés. Sur le thème Active Directory, notre évaluation apporte une preuve documentée pour vos dossiers internes, vos plans de compétences ou la préparation d'un audit, et vous prépare au passage devant l'organisme lorsqu'il existe. La charge indicative est de 4 à 8 jours, format forfait. Le rapport n'est ni une autorisation, ni une qualification. Les évaluateurs sont indépendants des formateurs lorsque l'enjeu le justifie.
Quelle différence avec une formation sur ce thème ?
La formation transmet ; l'évaluation vérifie et rend compte. Sur le thème Active Directory, l'évaluation intervient avant une formation pour positionner les participants, après pour attester des acquis, ou seule pour vérifier un niveau avant une prise de poste ou un audit. Nous séparons les deux rôles lorsque l'enjeu le demande, avec un évaluateur distinct du formateur. Les intervenants sont des professionnels choisis pour le thème et présentés avant la signature, tenus par les engagements de confidentialité et de secret professionnel demandés.
Intervenez-vous sur les données réelles des personnes accompagnées ?
Seulement lorsque la prestation l'exige, et jamais sans cadre. Toute intervention touchant des données réelles de personnes accompagnées est précédée d'un contrat de sous-traitance au titre de l'article 28 du RGPD (règlement général sur la protection des données), d'un cadrage des accès (comptes nominatifs, périmètre minimal, journalisation) et d'une vérification que l'hébergeur de ces données est certifié lorsque son activité entre dans le champ de l'article L. 1111-8 du code de la santé publique. Sur le thème Active Directory, une grande partie du travail se fait sur documents, schémas et environnements de test avec des données fictives. Le devis précise ce qui se déroule sur vos données réelles, le cas échéant.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'évaluation et audit blanc sur le thème Active Directory
Les autres types de prestation sur le thème Active Directory
- Audit RGPD et de sécurité du système d'information (Active Directory)
- Conseil en gouvernance des données, PSSI et choix d'hébergement (Active Directory)
- Rédaction de registres, analyses d'impact, PSSI et plans de continuité (Active Directory)
- Déploiement de solutions d'identité, de sauvegarde et de sensibilisation (Active Directory)
- Découvrir l'organisation générale d'Active Directory
