Évaluations d'écart PCI

Qui vient nous voir pour cela

Des organisations face à leur premier Report on Compliance. Des équipes qui ont hérité d’un environnement, d’un questionnaire ou de la promesse d’un prestataire et veulent savoir ce qui est vrai. Des sociétés qui s’auto-évaluent depuis des années et soupçonnent que le questionnaire ne les décrit plus. Et quiconque préfère entendre « quinze choses, les voici » de notre part au printemps plutôt que d’un évaluateur à l’automne.

Ce que nous faisons

1. Le périmètre, avant tout.

   Le même exercice que dans une évaluation formelle : chaque système à l’un de trois endroits, les flux, les contrôles de segmentation, les tiers. La plupart des constats d’une première évaluation sont des constats de périmètre, et ce sont les moins coûteux à corriger tôt.

2. Exigence par exigence, sur preuves.

   Pas un questionnaire que vous remplissez. Nous regardons la configuration, les traces et les personnes, comme le ferait un évaluateur, et nous rédigeons chaque écart comme l’évaluateur le rédigerait : ce qui manque, à quoi ressemble « bien », ce qui le ferme.

3. Un plan ordonné par ce qui compte.

   Des constats regroupés par ce qui les change, une règle de pare-feu, un processus, un document, un responsable, et ordonnés par risque et par effort, pour que le premier mois de remédiation en ferme le plus.

4. Le calendrier.

   Les activités périodiques que le standard attend, avec des responsables et des dates, pour qu’au moment de l’évaluation formelle il y ait des mois de traces plutôt que des semaines.

Ce que nous ne ferons pas