Nom de l'entreprise *

L'entreprise a-t-elle plusieurs implantations en Occitanie? *

Quel est l'effectif en occitanie? *

L'entreprise a-t-elle des implantations hors Occitanie?

Quel est l'effectif hors d'occitanie?

Personnes ayant accès au système d'information, hors salariés

Au delà des employés de l'entreprise, d'autres personnes peuvent avoir un accès au système informatique de l'entreprise, que ce soit de manière permanente ou ponctuelle; ces personnes peuvent éventuellement présenter des risques spécifiques.

L'entreprise dispose-t-elle d'une charte informatique ?

La charte informatique est un document qui définit les conditions générales d’utilisation des systèmes d’information et de communication de l'entreprise.

Cette charte informatique est-elle annexée au règlement intérieur ?

L'entreprise a-t-elle nommé un DSI ?

L'entreprise a-t-elle nommé un RSSI ?

L'entreprise a-t-elle établi un protocole d'arrivée/départ des collaborateurs ?

Un encadrement particulier existe-t-il pour les collaborateurs externes à la société ?

Les locaux de l'entreprise disposent-ils d'une alarme anti-intrusion ?

Un traitement approprié est-il prévu en cas de déclenchement de l'alarme ?

L'accès physique au(x) serveur(x) et stockage(s) des données est-il protégé du public ?

L'accès au réseau physique de l'entreprise est-il sécurisé ?

L'entreprise a-t-elle mis en place une sauvegarde des données ?

Ces sauvegardes ont-elles lieu à intervalles réguliers ?

Des tests de restauration des données sont-ils effectués régulièrement ?

La perte de données est-elle couverte par une assurance ?

L'entreprise stocke-t-elle des données dans le "cloud" ?

L'entreprise a-t-elle pris en compte les risques liés au stockage des données dans le cloud ?

L'entreprise a-t-elle mis en place une démarche de mise en conformité au RGPD ?

L'entreprise a-t-elle nommé un DPD ou DPO ?

L'entreprise a-t-elle documenté sa mise en conformité ?

L'entreprise a-t-elle mis en place une politique de protection des données personnelles ?

L'entreprise fait-elle mention de sa politique de protection des données personnelles sur son site internet ?

L'entreprise a-t-elle nommé un ou des administrateur(s) des serveurs et postes de travail ?

L'administration inclue l'installation des systèmes, leur paramétrage suivant des consignes de l'entreprise et les bonnes pratiques, et leur gestion dans le temps jusqu'à leur fin de vie.

Si oui, chaque administrateur dispose-t-il de son propre compte nominatif ?

Un 'compte' est un identifiant qui permet d'accéder au système informatique, que ce soit sur les PC ou les applications. L'utilisation de comptes nominatifs permet une meilleure traçabilité des actions, ainsi qu'une maîtrise des droits d'accès pour les tâches d'administration.

Les mots de passe des comptes des administrateurs sont-ils robustes ?

Un attaquant aura plus de mal à deviner un mot de passe 'robuste' et aura donc plus de difficulté à usurpater l'identité des collaborateurs de l'entreprise. Les mots de passe robustes sont composés de lettres (majuscules et minuscules), de chiffres et de caractères spéciaux, et sont de longueur suffisante.

Le système d'information de l'entreprise est-il administré par un prestataire externe ?

La prestation inclue-t-elle la gestion de la sécurité ?

Paramétrage des systèmes, gestion des comptes des utilisateurs, application des mises à jour de sécurité, etc.

Le prestataire fournit-il des comptes rendus d'activité ?

L'entreprise identifie-t-elle des risques spécifiques liés à la gestion du système informatique ?

Les utilisateurs disposent-ils de comptes nominatifs avec mot de passe ?

Les mots de passe des comptes sont-ils robustes ?

Les comptes des utilisateurs sont-ils distincts des comptes 'administrateurs' ?

Être 'administrateur' permet de paramétrer le système informatique (par ex. paramétrer les PC, installer ou supprimer des logiciels, accéder à des documents, etc.)

Les utilisateurs sont-ils administrateur de leur PC ?

Répondre 'Oui' si les utilisateurs ont la possibilité de gérer eux-mêmes leur propre PC de façon par exemple à y installer les logiciels dont ils ont besoin. Cette pratique présente de nombreux risques de piratage.

La mise à jour des postes de travail est-elle effectuée à intervalles réguliers ?

Les postes de travail sont-ils protégés par un antivirus maintenu à jour ?

Le pare-feu interne des postes de travail est-il configuré pour apporter une protection ?

L'utilisation des médias amovibles est-elle verrouillée ou sécurisée ?

Il peut s'agir d'exigences dans la charte informatique, de mesure techniques spécifiques ou de procédures.

Le(s) disque(s) interne(s) des postes de travail sont-ils chiffrés ?

Les médias amovibles sont-ils chiffrés ?

Les équipements personnels sont-ils utilisés dans le cadre des activités de l'entreprise ?

Cette question concerne autant la capacité technique d'un collaborateur à utiliser ses propres équipements que l'autorisation de l'entreprise de le faire (tracé par ex. dans la charte informatique).

L'entreprise identifie-t-elle des risques spécifiques liés aux postes de travail des utilisateurs ?

Une chaîne d'alerte a-t-elle été établie dans l'entreprise ?

Un plan de continuité de l'activité a-t-il été établi ?

Des protocoles sécurisés ont-ils été mis en place avec les partenaires de l'entreprise ?

L'entreprise assure-t-elle une sensibilisation des utilisateurs aux risques du numérique ?

Cette sensibilisation est-elle régulière (au mons une fois par an) ?

L'entreprise estime-t-elle être une cible potentielle d'acteurs malveillants ?

Au delà des attaques non ciblées, le positionnement d'une entreprise sur le marché ou son savoir-faire peuvent l'exposer à des attaques ciblées (pour des activités d'espionnage économique, de déstabilisation, etc.).

L'entreprise a-t-elle déjà subi des attaques informatique ?

Si possible, fournir une description sommaire des incidents informatiques subis

Sans entrer dans les détails ni divulguer d'informations critiques, indiquer en complément le traitement qui a été fait, si un dépôt de plainte a eu lieu, ainsi que le préjudice estimé.