Conseil en conformité

Qui vient nous voir pour cela

Des organisations qui ont passé une évaluation et ne veulent plus jamais en revivre les six dernières semaines. Des équipes dont les preuves vivent dans une boîte mail et dont les contrôles se dégradent entre les audits. Des sociétés qui rédigent un cadre de politiques pour un régulateur, un réseau ou un grand client. Et des organisations qui ne déposeront jamais de Report on Compliance mais ont besoin du type de jugement que PCI nous a appris : l’architecture cryptographique d’un système de paiement, une conception de gestion des PIN et des clés, la lecture par un régulateur de l’authentification forte du client.

Ce que nous faisons

1. Le programme.

   À partir de votre périmètre et de la façon dont votre organisation fonctionne réellement, pas d’un modèle : un calendrier de chaque activité périodique avec un responsable et une trace par ligne ; un processus de preuves où chaque élément est demandé une fois et lié à chaque exigence qu’il sert ; un responsable nommé par contrôle ; les analyses de risque ciblées qui fixent vos fréquences ; un processus de changement qui définit « significatif » à l’avance.

2. Des politiques que vous pourrez prouver.

   Courtes, précises et ennuyeuses : des délais de correctifs par criticité avec un processus d’exception, un calendrier d’analyses avec une nouvelle analyse après changement, des dates de revue tenues. Écrites pour passer un évaluateur, un client et un régulateur, parce que les trois posent la même question à la fin.

3. La gouvernance.

   Où se prennent les décisions de risque, qui signe une exception, comment les sites ou les filiales reçoivent un rôle et le mérite qui va avec. La plupart des constats ouverts relèvent de la responsabilité, pas de la technique, et c’est là que la responsabilité se décide.

4. Au-delà des réseaux de cartes.

   La même expertise appliquée plus loin, pour des organisations qui ne sont pas du tout dans le périmètre PCI : l’architecture cryptographique d’un système de paiement ou de billettique, une conception de gestion des PIN et des clés, un avis écrit sur l’authentification forte du client au sens de la DSP2, une évaluation indépendante selon le cadre de sécurité client de SWIFT. Décrit de façon anonymisée, et nous ne revendiquons aucune seconde accréditation pour cela.

Ce que nous ne ferons pas