Commencer par un diagnostic
Avant de lancer un projet de certification ou un plan d’action sécurité, il faut une photographie honnête de la situation. Le diagnostic évalue votre maturité en cybersécurité et votre niveau de conformité au regard des référentiels qui vous concernent : ISO 27001, HDS, DORA ou les exigences de vos clients.
Il repose sur des entretiens et sur l’examen de ce qui existe réellement : organisation, documents, pratiques, preuves. Vous obtenez un état des lieux lisible, des écarts hiérarchisés et une feuille de route réaliste.
Accompagnement ISO 27001 et HDS
Pour une certification, je vous accompagne à chaque étape : cadrage du périmètre, analyse de risques, déclaration d’applicabilité, politiques et procédures, indicateurs, audit interne et revue de direction, jusqu’à l’audit de certification.
Je privilégie ce qui sert : un système de management proportionné à votre organisation, que vos équipes comprennent et font vivre, plutôt qu’une pile de documents rédigés pour l’auditeur. La déclaration d’applicabilité, par exemple, n’est pas la liste des mesures de l’annexe A : ce sont les mesures nécessaires pour traiter vos risques, comparées ensuite à l’annexe A (je l’explique ici).
Monter en maturité
La conformité n’est pas une fin en soi. Une fois les fondations posées, l’enjeu est de progresser : mesurer, corriger, améliorer. J’aide vos équipes à prioriser les actions qui réduisent vraiment les risques et à s’approprier la démarche, pour qu’elle tienne dans la durée sans dépendre d’un consultant.
Et DORA ?
Pour les entités financières et leurs prestataires de services informatiques, le règlement européen DORA ajoute des exigences sur la gestion du risque informatique, des incidents, des tests de résilience et des tiers. Le diagnostic peut s’appuyer sur ce cadre pour mesurer les écarts et prioriser les chantiers.
Questions fréquentes
Combien de temps pour être certifié ISO 27001 ?
Cela dépend de votre point de départ et de votre périmètre. Le système de management doit aussi avoir fonctionné un certain temps, avec au moins un audit interne et une revue de direction, avant l’audit de certification. Le diagnostic permet d’estimer le délai de façon réaliste.
Peut-on viser HDS sans ISO 27001 ?
Non. La certification HDS repose sur ISO 27001, complétée par des exigences propres à l’hébergement de données de santé. Les deux démarches se mènent donc ensemble.