Solutions · RSSI et responsables de la sécurité
En tant que RSSI, vous faites fonctionner le SMSI, répondez aux questionnaires des clients, préparez les audits et rendez compte à la direction. Sightadel réunit exigences, risques, preuves et mesures en un seul endroit, même lorsque plusieurs frameworks s’appliquent en même temps.
Situation de départ
Dans beaucoup d’entreprises, le SMSI se résume à une collection de fichiers. Un tableur pour la déclaration d’applicabilité, un pour les risques, un pour les fournisseurs, plus des dossiers de politiques et une boîte mail pleine de preuves. Cela fonctionne tant qu’une seule personne a tout en tête. Cela devient pénible dès qu’un deuxième framework s’ajoute, qu’un collègue est absent ou que l’auditeur demande quand un justificatif a été vérifié pour la dernière fois.
Avec NIS2, la situation est devenue encore plus exigeante. Beaucoup d’entreprises doivent désormais maintenir ISO 27001, remplir les obligations de la loi allemande sur le BSI (BSIG) et justifier les mesures techniques au titre du RGPD, tout cela en même temps. Les sujets se recoupent largement. La documentation devrait donc en faire autant : une preuve de sauvegarde des données valable pour les trois, au lieu de trois copies dans trois états différents.
S’y ajoute un rôle pris entre plusieurs feux. Vous avez besoin de contributions de l’informatique, des ressources humaines, des achats et des métiers, mais aucun de ces services ne vous est rattaché. Sightadel rend visibles les responsabilités et les échéances, sans que vous ayez à relancer chaque tâche par e-mail. Et il fournit à la direction un état des lieux qu’elle peut lire sans explication.
Pourquoi maintenant
Vous exploitez un SMSI selon ISO 27001 et relevez désormais aussi de la BSIG. La chaîne de notification, l’enregistrement et les obligations de la direction sont nouveaux. Le reste ne doit pas être documenté deux fois.
L’auditeur veut voir que le système vit : audits internes, revue de direction, risques mis à jour, actions correctives clôturées. Des preuves valables il y a un an ne le sont peut-être plus aujourd’hui.
Votre prédécesseur est parti, les fichiers sont dispersés. Avant de pouvoir améliorer quoi que ce soit, vous devez comprendre ce qui existe, ce qui s’applique et ce qui est obsolète. Un import ordonné va plus vite qu’un nouveau départ.
Chaque grand client envoie son propre questionnaire sur la chaîne d’approvisionnement. Les questions se ressemblent, les formats non. Un état à jour et un Trust Center répondent une fois pour toutes aux questions habituelles.
NIS2 et ISO 27001 exigent que vous évaluiez vos prestataires et que vous inscriviez les exigences de sécurité dans les contrats. Sans liste centrale avec dates de validité, un certificat expiré ne se remarque que lorsque quelqu’un le demande.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Le référentiel sur lequel repose la plupart des SMSI. Les chapitres 4 à 10 encadrent le système de management, l’annexe A contient 93 contrôles répartis en quatre thèmes. Le certificat est valable trois ans, avec deux audits de surveillance annuels puis un audit de renouvellement. Les audits internes et la revue de direction sont les points où les systèmes montrent le plus souvent des faiblesses lors de l’audit.
Voir le framework →Obligatoire pour les entités importantes et essentielles au sens de la BSIG. Les dix domaines de mesures du § 30 de la BSIG recoupent en grande partie l’annexe A. Les nouveautés sont surtout l’enregistrement auprès de l’Office fédéral de la sécurité des technologies de l’information (BSI), la chaîne de notification à 24 heures, 72 heures et un mois, et les obligations de la direction prévues au § 38.
Voir le framework →Les mesures techniques et organisationnelles de l’art. 32 peuvent être justifiées par les mêmes preuves que de nombreux contrôles de l’annexe A. Un incident de sécurité peut aussi être une violation de données. Une étroite coordination avec la protection des données est donc utile.
Voir le framework →Pour les fournisseurs de cloud dont les clients viennent du secteur public, de la santé ou de secteurs réglementés. Le catalogue de critères du BSI s’appuie sur ISO 27001 et le complète par des thèmes propres au cloud. Le résultat est une attestation délivrée par un auditeur indépendant (expert-comptable).
Voir le framework →Pour les entités financières, prioritaire sur NIS2. La gestion des risques liés aux TIC, le traitement des incidents et la gestion des accès reposent sur les mêmes bases que le SMSI. S’y ajoutent le registre d’informations sur les prestataires tiers de services TIC et les tests de résilience.
Voir le framework →Ordre recommandé
La déclaration d’applicabilité, les listes de risques et les tableaux de fournisseurs existants arrivent dans Sightadel par import Excel ou Word. Vous chargez politiques et justificatifs dans la bibliothèque de preuves et les rattachez aux exigences. Vous voyez ainsi rapidement ce qui existe déjà.
Créez ISO 27001, NIS2 et, si besoin, le RGPD en même temps. Une preuve est déposée une seule fois et liée à toutes les exigences qu’elle justifie. Ce qui est déjà fait pour un framework apparaît comme justifié dans l’autre.
Les risques sont évalués selon une méthode fixe, dotés d’un traitement et de responsables, et liés à des mesures. Des données identiques donnent des résultats comparables. Vous faites confirmer par la direction les risques résiduels acceptés.
Les écarts deviennent des plans d’action avec responsables et échéances. Les collègues de l’informatique, des ressources humaines et des achats reçoivent le rôle Contributor et traitent directement leur partie. Vous invitez prestataires externes et consultants avec un rôle dédié.
Revues des accès, formations, évaluations des fournisseurs, tests de crise, audit interne et revue de direction se déroulent en cycles récurrents à dates fixes. Les preuves portent une date d’expiration, Sightadel vous le rappelle avant qu’elle soit atteinte.
Un audit interne honnête quelques semaines avant révèle les derniers écarts. L’auditeur externe reçoit son propre rôle, sans droit de suppression, et voit exigences, réponses et justificatifs dans leur contexte.
Votre quotidien
La mise en place est un projet. L’exploitation est une routine, et c’est justement là que l’on perd le plus de temps sans système.
Un test de restauration d’il y a 14 mois, une liste de formation de l’année précédente. Chaque preuve dans Sightadel a une date de validité. Ce qui expire bientôt apparaît comme une tâche, pas comme un constat d’audit.
La même politique en trois versions pour trois frameworks. Dans Sightadel, elle existe une seule fois, avec version et approbation, liée à toutes les exigences qu’elle couvre.
Répartir les tâches par e-mail et les suivre dans le calendrier. Les plans d’action avec responsables et échéances remplacent cela. Vous et la direction voyez les points en retard sans avoir à demander.
Une nouvelle présentation pour chaque réunion. Le tableau de bord montre l’avancement par framework, les problèmes ouverts et les mesures en retard. La direction suit avec le rôle Viewer, vous apportez la mise en perspective.
Qui a modifié cela, quand, et où se trouve le justificatif ? Le journal d’activité répond à la première question, la bibliothèque de preuves à la seconde. L’auditeur voit lui-même les deux grâce à son propre accès.
Comment Sightadel vous aide
Chaque exigence est formulée sous forme de question accompagnée d’une explication, contrôle par contrôle. Réponse, justification et justificatif se trouvent au même endroit. Cela aide pour la déclaration d’applicabilité comme pour les contributions de collègues qui ne connaissent pas la norme.
En savoir plus →Des justificatifs avec version, statut et date de validité. Une preuve peut être liée à des exigences de plusieurs frameworks, par exemple un concept de sauvegarde à la fois à ISO 27001, à NIS2 et aux mesures techniques du RGPD.
En savoir plus →Les écarts issus des évaluations, des audits internes et des constats externes deviennent des mesures avec responsable et échéance. Création, modification et clôture sont consignées dans le journal d’activité, avec horodatage et auteur.
En savoir plus →Les prestataires avec criticité, questionnaires, contrats et preuves dans une seule liste. Les certificats expirés et les réponses manquantes sautent aux yeux. Cela couvre l’obligation relative à la chaîne d’approvisionnement de NIS2 et les contrôles correspondants de l’annexe A.
En savoir plus →Le Security Score montre la surface d’attaque de vos domaines vue de l’extérieur, sous forme de note et de chiffre, avec une liste de problèmes concrets et des instructions de correction. Les constats sont traités avec un statut et alimentent votre gestion des vulnérabilités.
En savoir plus →Vous créez les règles internes, les politiques de groupe ou les annexes de sécurité de grands clients sous forme de framework personnalisé. Elles se placent à côté d’ISO 27001 et de NIS2 et utilisent les mêmes preuves.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont la situation de départ, la taille du périmètre et le temps qu’il vous reste à côté des affaires courantes.
Ce que vous souscrivez · généralement Professional
Une entreprise dotée d’un SMSI selon ISO 27001 et soumise à NIS2 prend les deux frameworks dans l’édition Professional. Elle comprend dix utilisateurs, dix actifs et 25 fournisseurs. Comme ISO 27001 en fait partie, NIS2 bénéficie d’une remise permanente. Le RGPD peut être ajouté plus tard et utilise les mêmes preuves.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Oui. La déclaration d’applicabilité, les listes de risques et les tableaux de fournisseurs peuvent être importés depuis Excel, les politiques depuis Word. Vous rattachez ensuite les documents aux exigences. Vous ne repartez pas de zéro, vous mettez de l’ordre dans ce qui existe.
Chaque framework a ses propres exigences et son propre avancement. Les preuves et les mesures ne sont toutefois créées qu’une fois et liées à toutes les exigences correspondantes. Nous ne donnons volontairement pas de chiffre pour le recoupement, car il dépend de votre périmètre.
Par le rôle Consultant externe. Votre consultant travaille directement dans votre compte, et le journal d’activité indique que l’accès venait de l’extérieur. Si vous n’avez pas de consultant, vous pouvez réserver du conseil sous forme de forfait dans l’application.
L’auditeur dispose de son propre rôle : il voit les exigences, les réponses, les preuves et le journal d’activité, commente et, après votre validation, crée ou modifie des entrées. Il ne peut jamais rien supprimer. Cela économise du temps de préparation et l’envoi de fichiers.
Un organisme de certification indépendant et accrédité. Vous le choisissez dans notre réseau de partenaires depuis l’application ou vous venez avec le vôtre. Sightadel ne certifie pas, et aucune commission n’est versée pour les audits, ni à nous ni aux partenaires.
Oui. Le programme d’audit est planifié comme un cycle récurrent, les constats deviennent des mesures avec échéance, et les résultats alimentent la revue de direction. L’audit interne devrait être mené par une personne qui n’a pas elle-même mis en place le sujet audité.
Elle fournit des projets à partir de modèles sectoriels et aide à la rédaction. Tout n’est volontairement pas prérempli. L’évaluation des risques, les risques résiduels et le choix des contrôles applicables relèvent de vous. C’est précisément ce que vérifie l’auditeur.
Sightadel est développé en Allemagne et exploité en Allemagne. Nous concluons avec chaque client un accord de sous-traitance (art. 28 RGPD).
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
