Enseignements clés
Un sponsorship fort de la Direction Générale : le moteur pour imposer des standards cyber internationaux. Impliquer les métiers en amont : la sécurité ne doit pas rester un sujet de spécialistes. Un socle commun co-construit Groupe/filiales évite les blocages et respecte le local.
Le projet en chiffres
2 siders mobilisés 2023 début de l'accompagnement 30+ pays couverts par le programme de sécurisation
Transformer la pression réglementaire en un dispositif d’audit cyber industriel
Face à l’explosion des menaces et à une pression réglementaire sans précédent (NIS2, PASSI-LPM, PCI-DSS, ISO 27001), l’audit cyber est souvent vécu par les institutions financières comme une contrainte. Pourtant, la Direction Générale et la Direction Cyber d’un grand acteur bancaire français ont fait un choix stratégique fort : casser les silos et industrialiser les évaluations de bout en bout.
L’enjeu de ce programme international initié en 2023 ? Capitaliser sur les audits cyber pour sécuriser durablement des milliers d’applications à travers plus de 30 pays, grâce à une démarche homogène et sans perturber le quotidien opérationnel des équipes.
Pour mener à bien cette transition transversale, cinq défis simultanés :
- Cartographie du SI : identifier et hiérarchiser les actifs critiques d’un patrimoine applicatif immense.
- Conformité et remédiation : piloter les plans d’actions post-audit pour garantir la correction effective des failles.
- Harmonisation : unifier les pratiques d’audit entre DSI locales et filiales étrangères.
- Gestion des tiers (TPRM) : étendre le niveau d’exigence et le dispositif d’évaluation aux prestataires externes.
- Conduite du changement : embarquer les métiers pour intégrer la cybersécurité comme un réflexe quotidien.
La méthode Sideby : une tour de contrôle pour sécuriser, challenger et coordonner
Dans ce programme d’envergure, Sideby est intervenu en tant qu’AMOA Cybersécurité. Véritable tour de contrôle entre l’audit interne, le SOC, les métiers et la Direction Générale, nos Siders ont assuré un relais opérationnel fluide tout en challengeant l’avancement des chantiers pour garantir l’alignement avec les exigences de conformité.
Notre intervention s’est articulée autour de quatre phases :
- Cadrage : stratégie globale, priorisation des applications critiques et référentiels d’audit.
- Audit : coordination des campagnes d’évaluation à l’international et harmonisation des méthodes de collecte.
- Remédiation : structuration et suivi des plans de correction, en lien étroit avec les DSI locales.
- Run : stabilisation des processus industrialisés, transfert de compétences et sécurisation du modèle pour les vagues d’audits futures.
Des bénéfices concrets, au-delà du simple exercice de conformité
L’adoption d’un socle d’audit unifié et la collaboration étroite entre les lignes de défense ont produit des bénéfices tangibles :
- Mitigation des risques : -45 % de vulnérabilités critiques non traitées en 12 mois.
- Force collaborative : un alignement de l’ensemble des systèmes sur les objectifs de la régulation DORA.
- Standardisation internationale : un écosystème de pratiques cyber rationalisé entre le siège et ses filiales.
- Autonomie renforcée : montée en compétences et responsabilisation des DSI locales.
- Culture de la preuve : une transparence accrue face aux régulateurs et à l’Inspection Générale.
