Évaluations
Préparation conformité & certification
D'abord une analyse d'écarts par rapport au référentiel visé, puis une aide concrète à la mise en œuvre des contrôles manquants : politiques, protections techniques et supervision. La certification elle-même est délivrée par des auditeurs accrédités ; nous vous préparons et vous accompagnons pendant leur audit.
Périmètre
- HIPAA : revue des garde-fous et analyse de risque pour les données de santé
- PCI DSS : cadrage, analyse d'écarts et remédiation jusqu'à l'attestation
- SOC 2 : conception des contrôles et préparation des preuves pour les audits Type I / Type II
- ISO 27001 : construction du SMSI, traitement des risques et audit interne avant certification
- Des habitudes de collecte de preuves durables, pour que l'audit suivant coûte moins que le premier
Méthode
D'abord une analyse d'écarts par rapport au référentiel visé, puis une aide concrète à la mise en œuvre des contrôles manquants : politiques, protections techniques et supervision. La certification elle-même est délivrée par des auditeurs accrédités ; nous vous préparons et vous accompagnons pendant leur audit.
Livrable
Un rapport d'écarts contrôle par contrôle, un plan de remédiation priorisé avec responsables et des preuves prêtes pour l'audit, plus un accompagnement aux côtés de votre auditeur ou QSA jusqu'à l'obtention du certificat ou de l'attestation.
Méthode
Notre approche
01
Cadrer
Chaque mission commence par un échange de cadrage et se conclut par un accord écrit : votre référentiel cible ou les systèmes et environnements dans le périmètre, ce qui en est explicitement exclu, quels comptes et données nous utilisons, et le calendrier.
02
Évaluer
Nous mesurons votre situation : une analyse d'écarts par rapport à votre référentiel cible, une revue des contrôles, des politiques et des risques, et des tests concrets là où c'est important. Le travail est manuel et méthodique, guidé par l'usage réel du système et par ce qu'un attaquant en voudrait vraiment. L'outillage soutient le travail ; il ne le remplace pas.
03
Expliquer
Vous recevez un rapport écrit et un appel de restitution. La synthèse est écrite pour ceux qui n'étaient pas dans la salle ; chaque constat porte preuves, étapes de reproduction, impact métier et correctif concret.
04
Retester
Quand votre équipe a corrigé, nous retestons les constats concernés et publions un rapport à jour indiquant clairement ce qui est résolu, partiellement résolu ou encore ouvert. Pour un programme de certification, nous préparons les preuves et nous tenons à vos côtés tout au long de l'audit, puis nous vous aidons à le maintenir à jour.
Questions fréquentes
- Délivrez-vous le certificat ?
- Non, la certification est délivrée par des auditeurs accrédités ou un QSA. Nous réalisons l'analyse des écarts, mettons en place les contrôles manquants et préparons vos preuves, puis vous accompagnons tout au long de leur audit.
- Quels référentiels couvrez-vous ?
- HIPAA, PCI DSS, SOC 2 (Type I et II) et ISO 27001, y compris la mise en place du SMSI et l'audit interne avant la certification.
- Combien de temps faut-il pour être prêt ?
- Cela dépend de votre point de départ ; nous commençons par une analyse des écarts par rapport au référentiel visé et vous remettons un plan de remédiation priorisé avec des responsables, afin que le calendrier soit clair dès le début.
À lire aussi
7 min de lecture
Qu'est-ce que la conformité SOC 2 ? Un guide en langage clair
Le SOC 2 expliqué sans le jargon : ce que c'est, les cinq Trust Services Criteria, Type I vs Type II, qui en a besoin, à quoi ressemble le processus et comment s'y préparer.
9 min de lecture
Le DPDP Act indien : un guide pratique de conformité (2025)
Ce que le DPDP Act (Digital Personal Data Protection) indien impose, qui est considéré comme responsable du traitement (data fiduciary), ce qu'apportent les Règles de 2025, les sanctions, et une démarche pratique vers la conformité.
Autres évaluations
Les missions sont à périmètre et prix fixes une fois convenus. Si vous hésitez sur le service adapté, qu'il s'agisse d'une préparation à la certification, d'un conseil en GRC ou d'un test d'intrusion, décrivez votre situation et nous recommanderons un périmètre, y compris en vous disant honnêtement si vous n'avez pas encore besoin de nous.