Analyser l’écosystème et les enjeux de l’organisation, afin de définir le périmètre fonctionnel et technique du diagnostic en identifiant les actifs et les profils utilisateurs diversifiés, les sites et environnements concernés afin de circonscrire l’intervention, puis qualifier les contraintes et le contexte d'intervention afin de valider avec la Direction des objectifs de diagnostic explicites (audit vs conseil).

Réaliser une cartographie macro, orientée impact métier, des flux d’information critiques et des dépendances techniques ou externes, en sélectionnant le cadre méthodologique d’évaluation adapté aux objectifs et à la maturité de l’organisation (référentiels, normes telles qu’ISO, NIS2 ou ANSSI), afin de garantir une analyse d’impact centrée sur les processus essentiels.

Conduire un audit organisationnel de la sécurité : évaluer, sur la base de preuves objectivées (échantillonnage, traçabilité), la maturité de la gouvernance ainsi que des processus et pratiques de sécurité en s’appuyant sur des référentiels et méthodes d’audit reconnus (ex. ISO 27001/27002, etc.) et sur des techniques d’entretien et de revue documentaire, afin d’identifier et de qualifier les écarts procéduraux.

Superviser et piloter des audits techniques de cybersécurité (revues d’architecture, de configuration, de code, audits offensifs) en cadrant le périmètre et les objectifs, en coordonnant les experts internes ou tiers et en garantissant la qualité des preuves collectées, afin de consolider et interpréter les résultats, d’en évaluer la criticité au regard du risque métier et d’éclairer les décisions et arbitrages de sécurité.

Exploiter les résultats des audits organisationnels et techniques, analyser les rapports afin d’identifier les vulnérabilités exploitables, puis traduire les résultats en risques métiers et produire une synthèse exécutive des constats de sécurité fondée sur des preuves factuelles, afin d’objectiver le niveau de risque auprès des décideurs.

Cadrer la démarche d’analyse des risques cybersécurité : sélectionner la méthode d’analyse appropriée (ex. EBIOS RM/ISO 27005), définir le périmètre de l’étude en identifiant les biens essentiels, leurs dépendances et les exigences de continuité d’activité, puis établir une lecture du socle de sécurité existant afin de préparer l’analyse des risques.

Élaborer des scénarios de risques de cybersécurité (ex. EBIOS RM) en traduisant les vulnérabilités et les contextes en événements redoutés et impacts métiers, puis évaluer pour chaque processus critique la gravité, la vraisemblance et le niveau de risque brut, en documentant les hypothèses et le niveau de confiance.

Évaluer l’efficacité des mesures existantes pour établir le niveau de risque résiduel, définir et justifier les options de traitement (réduction/acceptation/transfert/refus), désigner les propriétaires de risque, préciser les mesures compensatoires et les modalités de revue, puis formaliser un plan d’action et des fiches d’arbitrage à destination de la Direction.

Définir les orientations stratégiques SSI et le niveau de sécurité cible en intégrant les contraintes budgétaires, les objectifs de sobriété numérique, et les priorités de la Direction. Puis formaliser la politique de sécurité (PSSI/directives) et les directives et procédures associées pour constituer le référentiel normatif opposable de l'organisation.

Construire la feuille de route SSI pluriannuelle et le budget associé (ex. CAPEX/OPEX) : prioriser une trajectoire soutenable, puis structurer les modalités de pilotage de la feuille de route à l’aide d’indicateurs de suivi (KPI/KRI) et de dispositif de gouvernance afin d’assurer le suivi et l’arbitrage dans la durée.

Argumenter la stratégie SSI auprès des instances de gouvernance afin d’obtenir des décisions formalisées relatives aux arbitrages, au budget et aux ressources, d’en acter les acceptations, et d’en assurer la traçabilité dans les dispositifs de gouvernance.

Décliner les objectifs de la PSSI en exigences de sécurité mesurables (techniques et organisationnelles) en intégrant les principes de Security by Design et de durcissement : Produire des exigences priorisées (must/should), assorties de critères de preuve et de jalons de validation afin de guider et de sécuriser l’ingénierie des projets.

Cadrer l’architecture de sécurité cible, définir les principes de segmentation, de Zero Trust et de gestion des identités, en formalisant les principes, les contraintes et les critères d’acceptation, afin de réduire les surfaces d’exposition et de garantir la résilience structurelle du système d’information. Puis veiller à ce que l’architecture minimise l’empreinte environnementale du SI.

Piloter le volet sécurité des acquisitions de solutions, définir et formaliser les exigences de sécurité et de durabilité dans les cahiers des charges (CCTP), évaluer les offres au regard des risques et des exigences de sécurité et de leur empreinte environnementale, puis éclairer le choix final en lien avec les fonctions Achats.

Valider la conformité des architectures et solutions : analyser les dossiers d’architecture, définir les critères d'acceptation puis vérifier les preuves fournies par la MOE (tests, scans, etc.) avant mise en production : Décliner les principes de conception universelle dans les spécifications de sécurité des systèmes, en assurant une accessibilité de niveau requis (ex.RGAA/WCAG niveau AA).

Arbitrer les risques résiduels et les dérogations lors des phases de projet : analyser les écarts entre exigences et mise en œuvre, statuer sur les dérogations, puis formaliser les décisions, l’autorité d’acceptation, les mesures compensatoires, la durée de validité et les modalités de revue afin d’assurer la traçabilité de la posture de sécurité.

Définir les conditions de mise en service sécurisée et organiser la transition vers l’exploitation (RUN) en validant les exigences d’exploitabilité (supervision, journalisation) et en transférant les responsabilités documentées pour garantir le maintien de la posture de sécurité post-déploiement

Assurer la veille réglementaire et normative en cybersécurité en analysant les impacts des évolutions légales (NIS2, DORA, etc.) sur le dispositif de sécurité de l'organisation, et structurer la diffusion et la communication internes des informations pertinentes afin d’éclairer les décisions et les mises en conformité.

Cadrer la conformité SSI : hiérarchiser les exigences réglementaires et normatives applicables (NIS2, ISO 27001, RGPD, etc.) en les corrélant aux risques majeurs de l'organisation, et traduire ces obligations externes en règles internes de sécurité (PSSI, Directives) pour établir et maintenir un dispositif SSI opérationnel, priorisé et contrôlable : Établir une matrice d’applicabilité pour chaque exigence, le périmètre, le propriétaire, les contrôles attendus. Cartographier les exigences, les registres de risques et les mécanismes de scoring (criticité, exposition, effort). Intégrer les exigences d'accessibilité numérique (RGAA/WCAG).

Structurer le dispositif de contrôle interne SSI en définissant les référentiels, la périodicité des campagnes et les modalités de gestion des preuves et les mécanismes de contrôle continu. Puis, Piloter la performance SSI via des indicateurs (KPI/KRI) en analysant les tendances et les dérives, en intégrant si pertinent, les enjeux de sobriété numérique, pour fournir une vision consolidée de la posture de sécurité.

Orchestrer l'amélioration continue du dispositif en qualifiant les écarts de sécurité selon leur criticité ((bloquant, majeur, mineur) et en définissant les plans de remédiation ou les options de traitement des risques avec les mesures compensatoires, les échéances associées. Puis, consolider l’état de conformité et préparer les dossiers d’arbitrage à destination des instances, enfin suivre la mise en œuvre et la clôture des décisions pour garantir la traçabilité des décisions de sécurité.

Évaluer et encadrer le risque lié aux tiers (fournisseurs, SaaS) en analysant les dépendances, critères EBIOS, les accès accordés et les chaînes de sous-traitance, y compris en cascade, afin de qualifier l’exposition cyber de l’organisation (TPRM) et en évaluant l'efficacité des actions correctives post-audit. Puis, définir et valider les exigences de sécurité contractuelles, incluant les clauses de protection, de réversibilité et de droit d’audit, afin d’encadrer la relation.

Piloter le cycle de vie de la sécurité des prestataires, superviser les processus d'embarquement, organiser les contrôles récurrents (basés sur des preuves et indicateurs) et la gestion des accès, et encadrer la réversibilité et la sortie sécurisée afin d’assurer ou de maintenir une posture de sécurité maîtrisée dans le temps.

Définir les exigences de résilience opérationnelle (BIA/PCA/PRA, RTO/RPO) en coordination avec les métiers pour garantir la continuité des activités critiques : Définir le cadre organisationnel de réponse aux incidents en structurant les procédures d'escalade, le RACI et les contrats de support spécialisés. Prescrire les exigences de résilience opérationnelle (RTO, RPO, scénarios de continuité) en coordination avec les métiers.

Définir des scénarios de simulation alignés sur des objectifs mesurables et des critères de réussite, préparer les dispositifs de communication de crise inclusifs (accessible aux PSH), y compris hors des systèmes d’information potentiellement compromis, mobiliser et entraîner les parties prenantes, puis formaliser un plan d’actions post-exercice précisant les axes d’amélioration, les propriétaires et les échéances.

Coordonner la réponse stratégique en situation de crise cybersécurité, structurer et piloter l’animation de la cellule de crise SSI (ex en cellule décisionnelle et technique), organiser la production et la mise à jour des éléments de situation (main courante, SITREP), préparer les arbitrages décisionnels sous contrainte tout en veillant à la prévention des RPS et à la sécurité des équipes engagées (préservation des effectifs, rotation) et en assurer la traçabilité, en appui du dispositif global de gestion de crise.

Piloter la sortie de crise et la reprise sécurisée : définir et valider les critères de remise en service (go / no-go), encadrer les opérations de restauration dans un état de confiance (environnements sains, rotation des secrets et des identités), organiser les contrôles de régression de sécurité, puis formaliser la clôture de crise à travers un retour d’expérience structuré et un plan d’actions suivi.

Cadrer et structurer la contribution SSI au sein des projets, définir les jalons et gates de sécurité incluant les critères d’acceptation, les livrables de sécurité, les dépendances avec les autres lots, les responsabilités associées (RACI), ainsi que les points de décision (go / no-go), puis intégrer ces éléments au pilotage et au planning global.

Suivre l’avancement des activités et les consommations budgétaires (CAPEX/OPEX), anticiper les dérives afin de préparer les arbitrages budgétaires ou calendaires, puis assurer la clôture SSI des projets et organiser le transfert vers l’exploitation (RUN).

Spécifier les exigences SSI propres à chaque projet en déclinant la PSSI, les standards et les principes d’architecture en exigences (NFR) mesurables et vérifiables, adaptées aux enjeux métiers/techniques et au profil de risque du projet, et assorties de critères d’acceptation : Analyser le contexte, le périmètre et les enjeux du projet. Co-construire avec les métiers à partir des processus et des usages, les fonctions de sécurité nécessaires. Adapter les exigences SSI applicables.

Vérifier, sur la base de preuves, la conformité des livrables aux jalons décisionnels ; qualifier les écarts et piloter leur traitement (remédiation ou dérogation compensée) ; puis émettre un avis motivé (go / no-go) en traçant le risque résiduel et les décisions d’acceptation avant la mise en service.

Coordonner et mobiliser les acteurs internes (métiers, DSI, juridique, RUN) au sein de la gouvernance projet en construisant une coalition sponsor + relais ; aligner les enjeux SSI avec les objectifs business et IT ; gérer les dépendances et les résistances ; préparer les arbitrages afin d’assurer la traçabilité des décisions et des engagements.

Accompagner l’adoption des mesures de sécurité en analysant les impacts et les irritants utilisateurs et les besoins spécifiques de compensation (accessibilité, etc.), orchestrer les actions ciblées avec les relais internes, puis mesurer l’adoption réelle afin de piloter les ajustements nécessaires.

Déployer le plan d’accompagnement au changement SSI en définissant et en pilotant des actions de formation et de sensibilisation adaptées par profils, en mobilisant les relais internes (RH/Com/management), et en mesurant leur efficacité afin d’assurer l’adoption des nouveaux dispositifs.

Sécuriser la transition vers l’exploitation (RUN) et mesurer l’adoption des mesures de sécurité : suivre les indicateurs d’usage, ancrer les nouvelles pratiques de sécurité dans les rituels d’exploitation, et s’assurer de la montée en compétence des équipes afin de garantir l’adoption réelle et durable.