Un gros client nous demande une attestation de conformité en cybersécurité — quelle est la différence avec l'ISO 27001, lequel préparer ?

L'année dernière à Dubaï, pour un projet financier similaire, on a dépensé 85 000 AED et obtenu un rapport de conformité indépendant. L'audit a duré 3,5 mois et ils ont examiné exactement 64 contrôles techniques un par un avec leurs preuves. On avait notre certificat ISO mais le groupe financier ne l'a pas accepté seul à cause de la réglementation.

je dirais de ne pas foncer direct sur les 120k aed annoncéés par les consultants. bref le client veut peut-être juste que vous remplissiez une checklist standard et apportiez une lettre d'approbation d'un auditeur accrédité... ne signez pas de devis sans demander le périmètre.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Première chose à faire : demandez au client son cahier des charges sécurité fournisseurs (third-party security policy). Si dans la partie références figurent des règles de la banque centrale locale ou des normes du conseil national de cybersécurité, l'ISO 27001 ne suffit pas, vous devez passer directement par un audit technique sectoriel.

Les cabinets de conseil adorent cette confusion terminologique. Quand les entreprises sont perdues, ils essaient de vendre le forfait le plus cher. Souvent même l'acheteur du client ne connaît pas la différence ; il transmet le texte que le service risques a mis devant lui.

Les institutions financières d'Abu Dhabi exigent une conformité totale aux lois locales de protection des données et aux réglementations financières chez les sous-traitants traitant des données. Qu'elles demandent, au lieu d'un ISO 27001 qui n'offre qu'un cadre managérial, une déclaration de conformité contenant des preuves d'audit au niveau système relève de leurs standards institutionnels.

Le certificat ISO suspendu fait malheureusement mauvaise figure sur la table. Si le client vérifie, ça peut créer de la méfiance. À mon avis demandez tout de suite clairement la situation au client et obtenez une réponse nette, puis orientez le budget en conséquence.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Le groupe de données que le client va traiter contiendra-t-il des identités individuelles ou des mouvements de comptes financiers ? Si vous ne stockez que des données de campagne anonymisées, avez-vous essayé de réduire le périmètre de l'audit en invoquant ce motif ?

Dans les rapports de conformité en cybersécurité, il est généralement obligatoire que les données restent à l'intérieur des frontières des EAU (data residency), un chiffrement fort en transit et au stockage, et la conservation des logs d'accès détaillés pendant au moins un an. Votre infrastructure cloud respecte-t-elle ces standards ?

je me pose aussi la question et la plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Je suis du même avis. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Trois points à vérifier lors de cette opération. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Si vous partez dans cette direction, réglez cela dès le départ. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

À votre place, j'irais par cette voie.

J'ai vécu exactement la même chose il y a deux ans. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale. Voilà, désolé si je me suis étendu.

J'écris cela pour éviter que vous ne fassiez la même erreur. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je le note au cas où.

Il y a un piège ici je ne pouvais pas ne pas le mentionner. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

J'espère que cela vous sera utile.

Désolé mais ce n'est pas vrai dans tous les cas. bon une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Bien sûr cela change si votre situation est différente.

il y a une erreur fréuqente à commettre en faisant cela. tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

la plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué. c'est mon avis je ne l'écris pas comme une vérité absolue.

je vais essayer et le temps que vous mettez à détecter un problème détermine directemnt son coût.