Mettre en œuvre une politique de sécurité suppose de bien couvrir tous les domaines. On peut débuter avec une check-list de bonnes questions à se poser.
- Qui est responsable de la cybersécurité dans l’organisation ?
- Y-a-t-il un RSSI dans l’entreprise ?
- Y-a-t-il un comité transversal pour traiter les problématiques de cybersécurité ?
- Des exercices de sécurité sont-ils régulièrement organisés ?
- Comment sont priorisés les actifs stratégiques de l’entreprise ?
- Comment sont protégées les informations sur les clients ?
- Comment sont identifiés les incidents de sécurité ?
- Quel a été le scénario de la dernière attaque ?
- Quel a été le dernier incident provoqué par un tiers (sous-traitants, partenaire…) ?
- Quels ont été les résultats du dernier test d’intrusion ?
- Quelles sont les compétences des équipes sécurité ?
- Une partie de la sécurité est-elle externalisée ?
- Quelles les principes de la politique de sécurité ?
- A quelle fréquence les utilisateurs sont-ils formés à la sécurité ?
- Comment sont contrôlés les accès aux applications ?
- Les configurations logicielles et matérielles sont-elles sécurisées ?
- Les risques sont-ils régulièrement mesurés ?
- Les logiciels achetés sont-ils analysés sur le plan de la sécurité ?
- Quels sont les processus pour analyser la sécurité des réseaux sans fil ?
- Y-a-t-il un dispositif de récupération des données ?
- Comment sont sécurisées les connexions réseaux ?
- Y-a-t-il des outils spécifiques pour identifier les logiciels malveillants ?
- Quelle est la procédure pour contrôler les accès administrateurs ?
- Quelle est la procédure pour réduire le risque lié aux accès administrateurs ?
- Existe-t-il une liste noire des sites Web ?
- Les logs de connexion sont-ils analysés ?
- Existe-t-il une procédure de limitation de transfert d’informations stratégiques vers l’extérieur ?
- Quelle est la formation dédiée à la gestion des incidents ?
- Des tests d’intrusion sont-ils régulièrement effectués pour mesurer le degré de risque ?
- Existe-t-il un plan de secours ?
- Comment les RSSI s’informent-ils sur la sécurité et les risques ?
- Quels sont les mécanismes de sécurité physique pour prévenir les attaques contre les données et les infrastructures ?
- Les accès distants sont-ils contrôlés ?
- Les réseaux sont-ils cloisonnés ?
- Existe-t-il une procédure spécifique pour contrôler les médias amovibles (clés USB) ?
- Les tiers qui ont accès au SI sont-ils recensés ?
- Comment sont diffusées les alertes sécurité ?
- Les tiers accédant au SI sont-ils recensés ?
- Comment sont recensés les accès non autorisés aux applications et terminaux ?
- Quelle est la procédure utilisée pour communiquer sur les incidents de sécurité ?
Source : Bitsight.