Diagnostic cybersécurité

Diagnostic cybersecurite Mentor Cyber

Informations Generales

Raison sociale

SIRET

Secteur d’activité

Adresse du siège

Responsable IT / sécurité (DSI/RSSI/CISO)

Fonction

Email de contact

Téléphone

Nombre de collaborateurs

Nombre de postes

Nombre de serveurs

Systèmes d’exploitation principaux (postes/serveurs)

Nombre de sites physiques

Type d’interconnexion entre sites (MPLS, VPN IPSec, SD-WAN…) ?

Prestataires IT/SSI externes (liste)

Commentaire – Informations générales

Télétravail ou accès distant au SI ?

Oui

Non

Manipulez-vous des données sensibles ou soumises au RGPD ?

Oui

Non

Protection du Reseau

Protection réseau en place ?

Oui

Non

Marque/modèle de pare-feu

Gestion pare-feu

Prestataire pare-feu

Pare-feu en place sur chaque site ?

Oui

Non

Pare-feu maintenu à jour ?

Oui

Non

VPN utilisé pour accès distant ?

Oui

Non

Solution VPN

Filtrage des flux réseau (URL/ports/protocoles) ?

Oui

Non

Segmentation réseau par VLAN ?

Oui

Non

Filtrage DNS sur le pare-feu ?

Oui

Non

Règles sortantes ‘deny all by default’ ?

Oui

Non

Wi-Fi sécurisé (WPA2/3) ?

Oui

Non

Wi-Fi pro séparé du Wi-Fi invité ?

Oui

Non

Centralisation des journaux (pare-feux/AV) ?

Oui

Non

Supervision active (réseau/CPU/disques…) ?

Oui

Non

Outil de supervision

Audit des équipements réseau au moins 1×/an ?

Oui

Non

Délai moyen d’application des correctifs critiques

Commentaire – Réseau

Outil SIEM de surveillance des événements de sécurité ?

Oui

Non

Protection de la Messagerie

Protection messagerie en place ?

Oui

Non

Solution de messagerie

Gestion messagerie

Prestataire messagerie

Solution antispam en place ?

Oui

Non

Solution antispam (nom)

Gestion antispam

Prestataire antispam

Antimalware sur la messagerie ?

Oui

Non

Filtrage des pièces jointes malveillantes ?

Oui

Non

MFA pour messagerie ?

Oui

Non

SPF/DKIM/DMARC activés ?

Oui

Non

Chiffrement TLS sortant ?

Oui

Non

Politique de conservation/suppression ?

Oui

Non

Simulations de phishing ?

Oui

Non

Commentaire – Messagerie

Protection des Endpoints

Protection endpoints en place ?

Oui

Non

Protection des postes : EDR (détection comportementale + réponse), pas seulement un antivirus ?

Oui

Non

Solution AV/EDR

Gestion AV/EDR

Prestataire AV/EDR

AV/EDR sur tous les postes ?

Oui

Non

Console centrale de sécurité ?

Oui

Non

Verrouillage des sessions inactives ?

Oui

Non

Chiffrement des disques (postes/portables) ?

Oui

Non

Effacement sécurisé lors du recyclage ?

Oui

Non

Restriction des droits d’admin locaux ?

Oui

Non

Interdiction des clés USB non autorisées ?

Oui

Non

Commentaire – Endpoints

Utilisation d’appareils personnels pour accéder au SI (BYOD) ?

Oui

Non

Politique BYOD formalisée (MDM, accès restreint) ?

Oui

Non

Sauvegardes PRA PCA

Protection sauvegarde/PRA en place ?

Oui

Non

Solution de sauvegarde

Gestion sauvegarde

Prestataire sauvegarde

Sauvegardes automatisées régulières ?

Oui

Non

Sauvegardes locales / cloud

Accès aux sauvegardes restreint ?

Oui

Non

Sauvegardes externalisées (site distant) ?

Oui

Non

Tests de restauration réguliers ?

Oui

Non

PRA/PCA formalisé et testé ?

Oui

Non

Fréquence de sauvegarde adaptée ?

Oui

Non

Chiffrement des sauvegardes (sensibles ou confidentielles)?

Oui

Non

Durée moyenne de reprise

Commentaire – Sauvegarde/PRA

Gestion des Vulnerabilites

Process vulnérabilités en place ?

Oui

Non

Solution de scan vulnérabilités

Gestion scan

Prestataire scan

Inventaire matériel/logiciel à jour ?

Oui

Non

Mises à jour de sécurité régulières ?

Oui

Non

Scans de vulnérabilités réguliers ?

Oui

Non

Correctifs appliqués dès publication ?

Oui

Non

Priorisation des vulnérabilités critiques ?

Oui

Non

Supervision de l’application des correctifs ?

Oui

Non

Commentaire – Vulnérabilités

Développement applicatif en interne ?

Oui

Non

Pratiques de développement sécurisé appliquées (OWASP) ?

Oui

Non

Tests de sécurité réalisés avant mise en production ?

Oui

Non

Gestion des Acces et des Identites

Avez-vous un outil de gestion des accès utilisateurs (ex : Active Directory, SSO) ?

Oui

Non

Solution de gestion des accès

Gestion solution accès

Prestataire accès

Comptes admin séparés des comptes utilisateurs ?

Oui

Non

MFA déployée globalement ?

Oui

Non

MFA pour VPN ?

Oui

Non

MFA pour accès admin ?

Oui

Non

MFA pour SaaS ?

Oui

Non

Gestion centralisée des droits (AD/annuaire) ?

Oui

Non

Révocation des accès au départ d’un collaborateur ?

Oui

Non

Audit régulier des droits/comptes inactifs ?

Oui

Non

Politique MDP complexe appliquée ?

Oui

Non

Longueur minimale MDP

Changement périodique imposé ?

Oui

Non

Délai rotation MDP

Journalisation des connexions critiques ?

Oui

Non

Commentaire – Accès & Identités

Sensibilisation et Gestion Humaine

Programme de sensibilisation en place ?

Oui

Non

Campagnes de sensibilisation organisées ?

Oui

Non

Date dernière sensibilisation

Formation nouveaux arrivants ?

Oui

Non

Date formation nouveaux arrivants

Procédure de signalement connue ?

Oui

Non

Simulations de phishing réalisées ?

Oui

Non

Résultats/observations simulations

Commentaire – Sensibilisation

Services Critiques

Services critiques identifiés (facturation, prod…) ?

Le service est-il redondé en cas de panne ?

Oui

Non

Commentaire – Services critiques

Plan testé dans les 12 derniers mois ?

Oui

Non

Tolérance maximale à une interruption (RTO) ?

Organisation et Gouvernance

Disposez-vous d’une politique de sécurité informatique ?

Oui

Non

Politique actualisée dans l’année ?

Oui

Non

Audit de sécurité réalisé ?

Oui

Non

Fréquence des audits

Plan de gestion de crise (PCA/PRA) formalisé ?

Oui

Non

Plan de gestion de crise testé récemment ?

Oui

Non

Assurance cyber en place ?

Oui

Non

Compagnie / garanties

Couverture (€)

Commentaire – Gouvernance

Gestion formalisée des risques prestataires/fournisseurs ?

Oui

Non

Conformite et Politique de Securite

Obligations réglementaires applicables (RGPD, HDS, NIS2…) ?

PSSI formalisée ?

DPO désigné ?

Registre des traitements à jour ?

Cartographie des données perso ?

Charte informatique signée ?

Procédure gestion incidents ?

Procédure de notification incidents/fuites (CNIL, clients) ?

Droits RGPD (accès/suppression) assurés ?

Formation RGPD – fréquence

Oui

Non

Commentaire – Conformité

Oui

Non

Gestion des Tiers et Prestataires

Gestion des tiers en place ?

Évaluation/audit sécurité des prestataires ?

Clauses contractuelles sécurité/notification ?

Procédure en cas de défaillance ?

Commentaire – Tiers & Prestataires

Oui

Non

Historique des Incidents et Cyberattaques

Suivi des incidents en place ?

Incidents (3 dernières années) ?

Détails / impacts

Oui

Non

Mesures prises

Oui

Non

Dépôt de plainte ?

Déclaration CNIL ?

Recours à l’assurance ?

Commentaire – Incidents

Oui

Non

Commentaire final

Commentaire ou précisions de l’audité