Contexte
En janvier 2024, j’ai formalisé un rapport de synthèse sur les risques cyber et les mesures déjà déployées à l’échelle de l’entreprise.
L’objectif était de donner à la direction une lecture plus claire des risques, des protections en place et des priorités de progression.
Rôle
- J’ai structuré l’analyse des risques et formalisé les mesures associées.
- J’ai porté le sujet de manière transverse avec l’équipe et les partenaires.
- J’ai directement décidé des choix d’architecture et des dispositifs de protection.
- J’ai présenté et aligné les orientations avec la direction.
Périmètre / fonctionnalités
- Cartographie des risques activité et des principales sources de risque SI.
- Organisation d’une défense en profondeur sur plusieurs couches : opérateur, firewall d’entrée, protection poste et serveur.
- Cloisonnement des zones critiques et des accès via VLAN, DMZ et VPN.
- Sécurisation des services exposés, de la messagerie, des sauvegardes, des mises à jour et de la supervision.
- Encadrement de la sécurité des applicatifs métiers et maintien d’un volet de sensibilisation utilisateur.
Décisions / arbitrages
- J’ai traité la cybersécurité comme un programme continu, pas comme un chantier ponctuel.
- J’ai retenu une logique de défense en profondeur pour éviter un point de défaillance unique.
- J’ai externalisé les services les plus exposés tout en gardant la maîtrise des socles internes critiques.
- J’ai aligné les décisions avec la direction et avec les recommandations CNIL / ANSSI.
Résultats / apports
- Rapport structuré et exploitable pour piloter le sujet au niveau direction.
- Rapport également fourni à l’assurance.
- Mesures de protection décrites comme en place au moment du rapport, en janvier 2024.
- Lecture plus claire entre risques techniques, continuité d’activité et priorités d’investissement.
- Formalisation d’un cadre cohérent entre réseau, systèmes, données, applicatifs et usages.