Conseil en gouvernance cyber et protection des données de santé (Pen Testing)
Des arbitrages sur la sécurité et la protection des données documentés, compréhensibles par les équipes qualité, informatique et production.
En bref
- Résultat
- Des arbitrages sur la sécurité et la protection des données documentés, compréhensibles par les équipes qualité, informatique et production.
- Idéal pour
- DPO (Data Protection Officer, délégué à la protection des données), RSSI (responsable de la sécurité des systèmes d'information) ou dirigeant de PME (petites et moyennes entreprises) ou d'ETI (entreprise de taille intermédiaire) du secteur qui doit structurer sa gouvernance de la sécurité et des données personnelles.
- Ce que vous obtenez
- Note de recommandations avec options de gouvernance comparées, répartition des responsabilités et feuille de route par étapes.
- Prérequis de votre côté
- Organigramme des fonctions concernées, cartographie existante des traitements et des systèmes, interlocuteurs disponibles pour deux ou trois entretiens.
- Durée et charge
- 4 à 10 jours
- Format
- Forfait
Exemple de situation
Articuler RSSI, DPO et assurance qualité. Une PME de biotechnologie constate que les décisions de sécurité se prennent sans l'assurance qualité. Le conseil, sur le thème Pen Testing, décrit trois organisations possibles, leur effet sur les procédures et propose un comité mensuel. La direction retient l'organisation et le calendrier de mise en place.
Le conseil porte sur des décisions précises : qui pilote la sécurité entre l'informatique, l'assurance qualité et l'automatisme, comment articuler la gestion des risques cyber et la gestion des risques qualité (ICH Q9), comment tenir le registre des traitements et conduire les analyses d'impact, comment évaluer les fournisseurs critiques, quelle posture adopter face aux textes applicables (RGPD, NIS2) sur le thème Pen Testing. Nous instruisons ces questions avec vous, à partir de vos documents et de vos contraintes de production.
La note de recommandations compare les options, indique les arbitrages à rendre et propose une feuille de route par étapes. Sur NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information), dont la transposition française n'était pas achevée à la date de rédaction, nous exposons des hypothèses plutôt que de conclure à votre place, et nous recommandons de faire valider l'analyse juridique par votre conseil. L'ensemble est rédigé pour être présenté à votre direction, avec pour objectif de développer une expertise en test d'intrusion pour la protection des données personnelles.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Pen Testing pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre assurance qualité, vos clients et, le cas échéant, l'autorité.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Note de recommandations avec options de gouvernance comparées
- Répartition écrite des rôles entre informatique, qualité, production et protection des données
- Feuille de route par étapes avec les arbitrages à rendre
Format et charge : forfait, 4 à 10 jours. Idéal pour : DPO, RSSI ou dirigeant de PME ou d'ETI du secteur qui doit structurer sa gouvernance de la sécurité et des données personnelles. Prérequis de votre côté : organigramme des fonctions concernées, cartographie existante des traitements et des systèmes, interlocuteurs disponibles pour deux ou trois entretiens.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Articuler RSSI, DPO et assurance qualité
Une PME de biotechnologie constate que les décisions de sécurité se prennent sans l'assurance qualité. Le conseil, sur le thème Pen Testing, décrit trois organisations possibles, leur effet sur les procédures et propose un comité mensuel. La direction retient l'organisation et le calendrier de mise en place.
Se positionner face à NIS2
Un fabricant de dispositifs médicaux se demande s'il entre dans le champ de NIS2. La note expose les critères à examiner, les hypothèses sur le thème Pen Testing et la liste des points à faire valider par son conseil juridique avant toute décision. L'avis de votre conseil juridique reste déterminant pour la qualification de l'entité.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 4 à 10 jours, format forfait. Le livrable sur le thème Pen Testing est rédigé pour être lu par votre direction et par vos clients sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Pen Testing, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place : la décision et sa responsabilité réglementaire restent chez vous. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Réalisez-vous des tests d'intrusion ou un audit de sécurité qualifié ?
Non. Un test d'intrusion sur un système réel exige une autorisation contractuelle préalable et un prestataire dédié, et les audits de sécurité demandés à certains organismes relèvent de prestataires qualifiés par l'ANSSI (qualification PASSI). Optédif n'a pas cette qualification. Sur le thème Pen Testing, nous menons des audits documentaires et organisationnels, des revues d'architecture et des analyses d'écarts, avec vos équipes. Si votre contexte impose un audit qualifié ou un test d'intrusion, nous vous aidons à rédiger le cahier des charges, puis à lire le rapport du prestataire que vous choisissez et à en tirer un plan d'actions.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées ; le devis est établi après l'échange de cadrage.
Les autres déclinaisons de conseil sur le thème Pen Testing
- Cadrage de méthode et de périmètre (Pen Testing)
- Assistance à la rédaction d'un cahier des charges (Pen Testing)
Les autres types de prestation sur le thème Pen Testing