Les dossiers à traiter

Les décisions à préparer

Des fonctions à protéger

Identifier systèmes, données et prestataires dont l’indisponibilité arrêterait le service.

Une crise à préparer

Qui décide, préserve les preuves, informe les intéressés et rétablit l’activité doit être convenu avant l’incident.

Une conformité à vérifier

Les obligations de sécurité et de notification varient selon le statut de l’organisme et les données touchées.

Situations et missions

Ce que XXI peut réaliser

Auditer la préparation d’un organisme

La situation. Une intercommunalité veut tester ses procédures avant un incident.

L’intervention. Examiner contrats, registre des traitements, délégations, sauvegardes, continuité et obligations applicables avec les équipes de sécurité.

Ce qui est remis. Une cartographie juridique des risques et un plan priorisé de correction.

Gérer une attaque par rançongiciel

La situation. Un établissement perd l’accès à ses applications et doit maintenir l’accueil des usagers.

L’intervention. Coordonner direction, experts techniques, assureurs et enquêteurs ; vérifier notifications, conservation des preuves et décisions de continuité.

Ce qui est remis. Un journal de crise, les projets de notifications requises et un plan de reprise juridique.

Sécuriser la chaîne de sous-traitance

La situation. Un service essentiel dépend d’un prestataire qui héberge plusieurs applications.

L’intervention. Auditer responsabilités, audits possibles, incidents, garanties et obligations de restitution.

Ce qui est remis. Un avenant de sécurité, un protocole d’alerte et une matrice des obligations.

Ces exemples sont indicatifs et ne renvoient à aucun dossier du cabinet.

Faire progresser la politique publique

Améliorer l’action et ses règles

Mieux agir avec le droit

Répartir responsabilités, notification des incidents, sauvegarde et reprise d’activité dans les contrats et procédures.

Faire évoluer le droit

Exploiter incidents et exercices pour corriger les exigences de sécurité qui ne couvrent pas les dépendances effectives.

Volet contentieux

Litiges et voies de recours

Le cabinet identifie les actes, contrats et responsabilités en cause, ainsi que les délais et preuves, avant de préparer une réclamation, un recours ou une défense.

Responsabilité après incident

Le litige. Des usagers demandent réparation après la divulgation de leurs données.

L’intervention. Reconstituer incident, mesures de sécurité, causalité, préjudices et rôles du responsable et des sous-traitants.

Ce qui est préparé. Une analyse de responsabilité et des réponses ou écritures contentieuses.

Contrôle après violation

Le litige. Une autorité contrôle la gestion d’un incident signalé.

L’intervention. Rassembler traces, analyses, décisions et mesures correctrices et organiser la réponse contradictoire.

Ce qui est préparé. Un dossier de contrôle et, le cas échéant, une défense contre les suites envisagées.

Interlocuteurs

Pour qui ?

Collectivités, hôpitaux, universités, entreprises, opérateurs de services et prestataires informatiques.

Prestations et contextes liés

Gestion de crise →Protection des données →Infrastructures numériques →

← Les politiques de ce domainePoser une question au cabinet →