Quelles sont vos failles de sécurité ? Audits de protection physique et cyber

De nombreuses organisations gèrent des mesures de sécurité individuelles : systèmes de caméras, cartes d'accès ou règles internes. Toutefois, les mesures individuelles ne constituent pas encore un système de sécurité fonctionnel. Audit de sécurité vérifiera que la sécurité technique, la préparation du personnel et les procédures de crise fonctionnent ensemble. Il ne cherche pas seulement les ennuis. Il donne à la direction un aperçu des risques, des priorités et des étapes concrètes. Chez GBH Academy, nous effectuons des audits de sécurité physique et de cybersécurité. Les deux montreront à quel point votre organisation est préparée aux situations de crise.

Audit de sécurité physique

L’audit se concentre sur des cibles souples, c’est-à-dire des objets où se déplacent de nombreuses personnes et où la protection est faible. Il s'agit notamment d'écoles, de bureaux, d'hôpitaux, de grandes entreprises, de services sociaux, d'équipements culturels et sportifs. Ces dernières années, des attentats en République tchèque ont montré à quel point ces objets sont vulnérables : fusillades à la Faculté des Arts de l'Université Charles et dans un bureau de Chřibská.

Il n’existe pas encore d’obligation légale globale d’introduire des mesures de sécurité spécifiques. Mais il existe de plus en plus de normes recommandées qui déterminent le niveau de sécurité attendu des organisations. La direction des entreprises et des institutions ne s'occupe donc pas seulement de la protection des personnes, mais aussi de leur propre responsabilité et de leur préparation aux menaces.

Qu’apportera l’audit ?

Un audit de sécurité physique est une évaluation indépendante du degré de préparation d’un établissement à une attaque violente grave. Nous ne trouverons pas seulement les points faibles, mais nous proposerons des mesures spécifiques pour chacun. Au lieu de recommandations générales, vous recevrez un plan avec des priorités, un calendrier et une estimation des coûts.

L'audit répond à des questions que la direction ne pose souvent qu'en situation de crise. Dans quelle mesure l’établissement est-il préparé à une attaque grave ? Où peut-on accéder au bâtiment et comment est gérée l’entrée des personnes ? Comment le personnel gérerait-il les premières minutes précédant l’arrivée de la police ? Combien coûteront les mesures et comment seront-elles réparties dans le temps ? Le directeur, le maire, la direction de l'entreprise et le responsable des opérations peuvent travailler sur le rapport final.

Quelles sont les étapes d’un audit ?

L'évaluation comporte plusieurs étapes ultérieures. Tout d'abord, nous analysons l'objet et son environnement, les sources possibles de menaces et les méthodes d'attaque. Ensuite, nous inspecterons physiquement l'installation : le mode d'entrée des personnes, les espaces internes, la préparation à l'évacuation interne et les technologies telles que les caméras et les systèmes de sécurité électroniques.

Le facteur humain a le même poids. Nous évaluons comment les collaborateurs sont formés, s'il existe des plans de crise, comment fonctionne l'alerte et comment est mise en place la coopération avec les composants du système de secours intégré. Le résultat est un plan de sécurité avec les étapes, le calendrier et les procédures recommandés pour les situations d'urgence.

L'audit peut être suivi de la pratique de situations modèles. Dans la formation Active Attacker, le personnel s’entraîne dans un environnement contrôlé à réagir en cas de crise et vérifie que les procédures fonctionnent. Une équipe qui a répété la procédure réagit alors plus rapidement et de manière plus coordonnée, même en situation réelle.

L'audit est réalisé par des experts du cabinet

L'analyse est traitée par Lumír Němec, Directeur de la Sécurité du Groupe GBH. Il a servi pendant plus de dix ans au sein de l'URNA, puis a commandé l'Unité des opérations spéciales (SOG) de la police militaire et a accompli des missions en Irak, au Kosovo et en Afghanistan. Les autres membres de l'équipe sont d'anciens membres de l'armée et de la police de la République tchèque ayant de l'expérience dans la protection des personnes et des biens, dans la résolution de situations de crise et dans la réponse aux incidents de sécurité.

L'évaluation est basée sur la méthodologie du ministère de l'Intérieur de la République tchèque, la norme ČSN 73 4400 et des procédures vérifiées dans la pratique. La recommandation est donc basée sur l'expérience d'un environnement où la rapidité et l'efficacité des mesures déterminent le résultat.

Audit de cybersécurité

La cybersécurité n'appartient pas seulement au service informatique. Cela fait partie de la gestion de l’ensemble de l’organisation, car les systèmes de données, d’accès, de messagerie et de cloud reposent sur les opérations quotidiennes. Que se passe-t-il si les données d'accès sont divulguées, si quelqu'un pirate votre courrier électronique ou chiffre des données sans lesquelles vous ne pouvez pas travailler ? Et avez-vous des procédures selon lesquelles l'équipe agit sans improvisation dans une telle situation ?

La plupart des cyberincidents ne sont pas causés par des défaillances technologiques. La cause en est généralement des processus mal définis, des points faibles dans les approches ou une erreur humaine. L’antivirus et la sécurité informatique de base ne suffisent donc pas. Une organisation doit savoir dans quelle mesure ses systèmes, ses données et ses personnes sont protégés.

En quoi un audit est-il utile ?

Cyberaudit GBH Academy examiner comment l'organisation gère les données, les approches, les systèmes et les fournisseurs et comment elle se prépare aux cybermenaces actuelles. Le résultat est un aperçu des risques et des recommandations spécifiques.

L'audit déterminera également comment la nouvelle loi sur la cybersécurité s'applique à l'organisation. La loi définit les obligations des prestataires de services réglementés et introduit deux niveaux d'exigences en matière de sécurité. Pour de nombreuses organisations, l’audit est donc aussi une question de respect de la loi. Cela est également souvent exigé par les compagnies d’assurance lorsqu’elles souscrivent une cyber-assurance ou par des fournisseurs de marchés publics.

En quoi consiste un audit ?

L’analyse comporte trois étapes. Tout d’abord, nous déterminons le niveau de réglementation auquel l’organisation relève et à quoi elle doit se conformer. Nous comparons ensuite en détail l'état souhaité avec le fonctionnement réel : gestion des identités et des accès, gestion des mots de passe, authentification multifacteur, sécurité des communications par e-mail, sauvegarde, accès à distance et traitement des données sensibles. Nous vérifierons également les prestataires de services externes, qui constituent généralement le maillon faible en matière de sécurité.

La troisième étape est un plan qui traduit les risques identifiés en tâches spécifiques : que faire maintenant, que faire dans les mois suivants et que faire à long terme. Nous préparerons également les documents requis par la législation, par exemple les règles de sécurité et les directives internes. Vous pouvez les utiliser directement ou les confier aux équipes responsables.

L'audit porte également sur qui, au sein de l'organisation, est responsable de la cybersécurité. Ces rôles doivent être clairement définis et remplis. Si vous n'avez personne pour les combler, des experts GBH Academy peuvent prendre le relais. La sécurité n’est pas seulement sur le papier, mais elle se concrétise également en fonctionnement.

Qui évaluera votre cybersécurité ?

L'audit est mené par des experts de grandes entreprises technologiques et d'anciens membres des services de renseignement. Ils ont de l'expérience dans la défense contre l'espionnage commercial et industriel, les écoutes clandestines et la surveillance des communications électroniques. Ils satisfont aux exigences légales en matière de qualification, d’expérience et d’indépendance. Leur expertise est attestée par la certification de l'Office National de la Cyber ​​​​et de la Sécurité de l'Information (NÚKIB) et de l'organisme de certification accrédité TAYLLORCOX. Lors de l'audit, ils combinent les exigences de la loi avec l'expérience d'incidents de sécurité réels.

La sécurité ne peut pas être résolue une fois pour toutes. Il doit être régulièrement vérifié et ajusté en fonction des risques actuels. Un audit de sécurité physique et de cybersécurité vous montrera où en est votre organisation aujourd’hui, quels risques elle sous-estime et par où commencer. L'équipe GBH Academy a réalisé des contrats pour plus d'un millier d'organisations dans divers domaines et applique son expérience dans chaque audit ultérieur. Vous pouvez retrouver toute l’offre de préparation aux crises sur le site GBH Academy. Sledovat nás můžete také na Facebooku, Instagramu a TikToku.