1. Contexte de la missionDans un contexte de renforcement des exigences réglementaires, normatives et opérationnelles en matière de cybersécurité, l?organisation souhaite évaluer la maturité de son système d?information, identifier les risques prioritaires, mesurer les écarts de conformité et définir une trajectoire de remédiation pragmatique et priorisée.
2. Objectifs de la mission· Évaluer la maturité cybersécurité du système d?information au regard des bonnes pratiques et référentiels de référence, notamment ANSSI, NIS2 et ISO 27001.
- Identifier les risques cyber majeurs, les vulnérabilités critiques et les écarts de conformité.
- Analyser les dispositifs de gouvernance, de protection, de détection, de réaction et de résilience.
- Proposer un plan de remédiation priorisé, réaliste et adapté aux enjeux métiers, techniques et réglementaires.
- Fournir une synthèse claire à destination des parties prenantes techniques, métiers et décisionnelles.
3. Périmètre d?intervention· Gouvernance SSI, politique de sécurité, organisation et rôles associés.
- Gestion des identités et des accès, authentification, habilitations et revues de droits.
- Sauvegardes, restauration, continuité d?activité et reprise d?activité : PRA/PCA.
- Gestion des incidents de sécurité, procédures d?escalade, journalisation et supervision.
- Gestion des vulnérabilités, processus de mise à jour, durcissement et remédiation.
- Conformité aux référentiels et exigences applicables : ANSSI, NIS2, ISO 27001 et bonnes pratiques de cybersécurité.
4. Activités principales· Préparer et cadrer la mission : collecte documentaire, entretiens, définition du périmètre et du planning d?audit.
- Réaliser les entretiens avec les parties prenantes métiers, IT, sécurité, exploitation et direction.
- Analyser les processus, procédures, politiques, preuves documentaires et dispositifs techniques existants.
- Évaluer le niveau de maturité cybersécurité et identifier les écarts par rapport aux exigences de référence.
- Cartographier les risques, vulnérabilités et points de faiblesse prioritaires.
- Formuler des recommandations opérationnelles, organisationnelles et techniques.
- Construire un plan d?actions priorisé selon le niveau de criticité, l?effort de mise en ?uvre et l?impact attendu.
- Présenter les résultats de l?audit et accompagner la compréhension des mesures de remédiation.
7. Livrables attendus· Support de cadrage de la mission et planning d?intervention.
- Diagnostic de maturité cybersécurité.
- Cartographie des risques, vulnérabilités et points de faiblesse identifiés.
- Analyse des écarts de conformité par rapport aux référentiels retenus.
- Plan de remédiation priorisé à court, moyen et long terme.
- Synthèse exécutive destinée à la direction.
- Rapport détaillé d?audit comprenant les constats, niveaux de criticité, impacts, recommandations et priorités d?action.
8. Modalités d?intervention· Intervention sous forme d?entretiens, d?ateliers, d?analyses documentaires et d?analyses de preuves.
- Collaboration étroite avec les équipes IT, sécurité, métiers, conformité et direction.
- Restitutions intermédiaires possibles afin de valider les constats et priorités.
- Restitution finale incluant une présentation synthétique des risques majeurs et du plan de remédiation.
- Respect strict de la confidentialité des informations collectées pendant la mission.
9. Critères de réussite· Vision claire et partagée du niveau de maturité cybersécurité de l?organisation.
- Identification des risques prioritaires et des vulnérabilités majeures.
- Recommandations concrètes, hiérarchisées et adaptées aux contraintes opérationnelles.
- Plan d?actions exploitable par les équipes concernées.
- Restitution compréhensible par les parties prenantes techniques et non techniques.
Profil candidat:
5. Compétences attendues· Maîtrise des référentiels et cadres de sécurité : ISO 27001, ISO 27002, NIS2, recommandations ANSSI, bonnes pratiques SSI.
- Bonne connaissance des méthodes d?analyse de risques, notamment EBIOS RM ou équivalent.
- Capacité à auditer les dispositifs IAM, MFA, gestion des privilèges, revues d?habilitations et contrôles d?accès.
- Connaissance des mécanismes de sauvegarde, restauration, PRA/PCA, gestion de crise et résilience opérationnelle.
- Compréhension des architectures SI, infrastructures, réseaux, systèmes, postes de travail, environnements cloud ou hybrides.
- Maîtrise des processus de gestion des vulnérabilités, patch management, durcissement, supervision et détection.
- Capacité à analyser des preuves d?audit, formaliser des constats et rédiger des recommandations claires et actionnables.
- Excellentes qualités rédactionnelles, esprit de synthèse, rigueur méthodologique et capacité à vulgariser les sujets cyber.
6. Profil requis· Consultant cybersécurité confirmé, auditeur SSI, consultant GRC, RSSI adjoint ou profil équivalent.
- Expérience significative dans la conduite d?audits de maturité cybersécurité, d?analyses de risques ou de missions de conformité.
- Bonne compréhension des enjeux métiers, réglementaires et techniques liés à la sécurité des systèmes d?information.
- Capacité à travailler avec des interlocuteurs variés : direction, DSI, RSSI, équipes infrastructure, production, métiers et conformité.
- Autonomie, sens de l?organisation, posture conseil, confidentialité et capacité à prioriser les risques.
- Certifications appréciées : ISO 27001 Lead Auditor ou Lead Implementer, EBIOS RM, CISSP, CISM, CISA, CRISC ou équivalent.
- Expérience souhaitée dans des environnements réglementés, critiques ou soumis à de fortes exigences de continuité et de conformité.
