Encadrer · PSSI & gouvernance
Votre client demande votre PSSI. Vous l’envoyez.
Une PSSI livrée avec plus de 10 documents, annexes comprises, rédigés avec votre équipe IT, prêts à montrer à vos clients et à vos fournisseurs.
Une PSSI-cadre et 5 annexes, avec leurs pièces jointes, rédigées à partir de toutes les obligations de votre secteur.
- sur 10 à 12 semaines
- 7 étapes
- de travail au total
- 20 à 30 h
- de votre équipe IT
- 2 à 3 personnes
- selon la taille
- Dès 7 500 € HT
À qui vous la montrerez
Clients, assureur, autorités : chacun vous demandera des preuves écrites. Voici la pièce que vous leur remettrez.
Clients et donneurs d'ordre
- PSSI-cadre
- Charte informatique
Vous répondez au volet organisation de leurs questionnaires de sécurité et de leurs appels d'offres, document à l'appui.
Assureur
- PSSI-cadre
- Charte informatique
- Analyse de risque
- Plan de reprise après une cyberattaque
- Procédure de gestion des incidents
- Autres
Vous répondez à son questionnaire document à l'appui : des règles validées par la direction, une analyse de risque, une reprise après une cyberattaque avec durée d'interruption et perte de données acceptables, des sauvegardes testées, une réponse aux incidents, et les règles d'hygiène cyber et de formation de vos équipes.
NIS2
- Matrice d'obligations
- PSSI-cadre
Vous savez ce qui s'applique à vous, et la matrice porte votre trajectoire NIS2.
CNIL
- Feuille de route RGPD
- Registre des violations
Les mesures de sécurité que le RGPD attend (art. 32), et ce qui reste à faire par priorité. Vous restez responsable du traitement. DMC DEFENSE ne délivre pas de consultation juridique : pour un contrat, un litige ou un échange avec la CNIL, consultez votre avocat.
Homologation (secteur public)
- Analyse de risque
- Plan d'action
- Volet informatique du PCA
Le guide de l'ANSSI et de la DINUM demande une analyse de risque, un plan d'action et un plan de résilience, et précise que cette documentation « ne doit pas être spécifiquement rédigée pour la démarche d'homologation » : votre PSSI les fournit.
Pour les PME et ETI, collectivités, bailleurs sociaux, SEM et SPL, chambres consulaires, établissements d'enseignement et associations du médico-social, quand l'équipe IT, interne ou prestataire, porte la sécurité.
Ce que le test d'intrusion et la surveillance y ajoutent :pour les PMEpour les collectivités
Une matrice relie chaque domaine de la PSSIE de l'État (ANSSI) à votre PSSI : voir dans nos documents
Pourquoi nous choisir ?
Nous partons de votre SI, pas d'un modèle.
Une règle de sécurité ne vaut que si elle tient sur vos serveurs, vos comptes et vos sauvegardes. L'écrire demande une expertise technique, pas seulement une bonne connaissance des textes.
Formulaire automatique ou modèle généré par IA
Un document générique produit en quelques heures par un formulaire automatique, que personne n'a confronté à votre SI. Une analyse de risque de surface, qui manque de profondeur.
Juriste ou cabinet généraliste
Une lecture juste des textes, mais personne pour comprendre vos enjeux d'implémentation ni vérifier qu'une règle tiendra une fois déployée.
DMC DEFENSE
Des règles écrites à partir des textes, mises en œuvre dans votre SI, en trois temps :
- Nos experts RGPD écrivent les règles de votre PSSI à partir des textes qui s’appliquent à vous (RGPD, NIS2).
- Nos consultants en cybersécurité conçoivent leur mise en œuvre sur mesure dans votre système d'information.
- Avec le SOC, nos analystes SOC certifiés Microsoft les appliquent dans votre Microsoft 365, puis le surveillent 24/7.
Forts d'une expérience internationale, nous couvrons les scénarios d'attaque les plus courants et appliquons les bonnes pratiques reconnues (ANSSI, ENISA). Chaque règle est vérifiée avec votre équipe IT avant d'être écrite.
Les critères d'un conseil en gestion des risques, et ce que nous en faisons.
- Des mesures à la mesure de l'organisme
- Des règles que votre équipe IT peut appliquer, tenues à jour par la revue annuelle si vous la commandez.
- Des consultants experts en sécurité
- Une équipe menée par Julien Dubois, fondateur : infrastructures critiques et militarisées, expérience satellitaire, master en cybersécurité, certification Microsoft SC-300 (gestion sécurisée des identités). Au sein de l'équipe : certification Microsoft Architecte cybersécurité (SC-100).
- Une cartographie des risques
- Vos risques avant et après traitement, cotés sur des échelles convenues avec vous, et les risques résiduels que vous acceptez en connaissance de cause.
- Une méthode éprouvée
- EBIOS RM, la méthode d'analyse de risques de l'ANSSI.
Source : référentiel PACS de l'ANSSI, version 1.1, juin 2025.
Chaque étape alimente votre PSSI-cadre et ses annexes
Chaque étape alimente la PSSI-cadre et les annexes que vos équipes appliqueront. L'ordre compte : on ne durcit pas un système dont on n'a pas défini les risques, et on ne journalise pas un réseau qu'on n'a pas cloisonné. Le déroulé suit les objectifs du ReCyF, le référentiel de l'ANSSI pour NIS2 (version de travail de mars 2026).
Le détail des 7 étapes, de leurs durées et de leurs livrables tient sur une fiche d'une page : télécharger la fiche PSSI (PDF)
Étape 1 · 2 à 3 h
La législation et la gouvernance
Livrable : Matrice d'obligations + rôles et responsabilités + exigences de sécurité pour vos fournisseurs + plan de sensibilisation + feuille de route RGPD
Établir les obligations qui s'imposent réellement à votre organisation, avec leur échéance et leur responsable, écarter celles qui ne vous concernent pas, et décider qui porte la sécurité chez vous.
- RGPD : sécurité des traitements (art. 32), violations de données (art. 33)
- NIS2 et référentiel ReCyF de l’ANSSI ; RGS et référentiels sectoriels selon votre activité
- Rôles et responsabilités : qui porte la sécurité, qui décide, responsabilité du dirigeant et de l'élu
- Sensibilisation des utilisateurs et exigences de sécurité imposées aux fournisseurs
- Échelles de vraisemblance et de gravité, convenues avant l'analyse de risque
Étape 2 · 3 à 6 h, en une ou deux séances
Les principaux risques et menaces
Livrable : Cartographie des valeurs métier et des biens supports + événements redoutés + cinq scénarios de risque cotés vraisemblance × gravité + plan de traitement du risque
Passer d'une inquiétude diffuse à cinq scénarios nommés, cotés et hiérarchisés, que votre direction peut comprendre et arbitrer.
- Rançongiciel : chaîne d'attaque réelle, du courriel au chiffrement
- Compromission de messagerie, fraude au virement, fuite de données, rebond par un prestataire
- Méthode EBIOS RM : valeurs métier et biens supports, événements redoutés, sources de risque, scénarios stratégiques et opérationnels
- Cotation de chaque scénario sur les échelles convenues à l'étape 1
- Plan de traitement : la mesure retenue pour chaque risque, reprise aux étapes 3 à 7
Étape 3 · environ 3 h
Le maintien en condition de sécurité
Livrable : Procédure MCS + trois indicateurs suivis (taux de correctifs appliqués, âge moyen des correctifs manquants, date du dernier test de restauration) + volet informatique du PCA (plan de reprise) et procès-verbal du test de restauration
Définir qui met à jour quoi, à quelle fréquence, et comment vous le prouvez à un auditeur douze mois plus tard.
- Inventaire des actifs : ce qu'on ne connaît pas, on ne le protège pas
- Systèmes en fin de support : recensement et plan de sortie
- Fenêtres de maintenance et correctifs d'urgence
- Sauvegardes : règle 3-2-1, copie hors ligne, test de restauration
- Volet informatique de votre PCA : avec vos responsables métier, durée d'interruption et perte de données acceptables pour chaque application, puis ordre de redémarrage
- Preuve : ce qu'il faut conserver pour démontrer le MCS
Étape 4 · 3 à 4 h
L'authentification et le contrôle d'accès
Livrable : Politique d'accès + procédure arrivée/départ/mutation + calendrier de revue des droits + charte informatique
Fermer les accès qui ne devraient plus exister, et durcir ceux qui restent, à commencer par les comptes à privilèges.
- Authentification multifacteur : périmètre, exceptions, méthodes à éviter
- Comptes à privilèges, de service et partagés : recensement, séparation, coffre-fort
- Arrivée, départ, mutation : la procédure qui manque presque toujours
- Revue périodique des droits : qui la fait, à quelle fréquence, sur quelle preuve
- Charte informatique : les règles d'usage que chaque utilisateur accepte
Étape 5 · 3 à 5 h
Le paramétrage fin et le durcissement des systèmes
Livrable : Configurations de référence par type de système + écarts constatés, priorisés
Un test d'intrusion vérifie que la configuration de référence tient face à un attaquant réel. Découvrir Offensive Security
Figer une configuration de référence par type de système, et mesurer l'écart avec votre parc, à partir de l'état des lieux relevé avant l'étape 1.
- Postes de travail : verrouillage, chiffrement, droits locaux
- Serveurs et annuaire : services inutiles, protocoles obsolètes
- Messagerie : SPF, DKIM, DMARC, filtrage des pièces jointes
- Équipements réseau et interfaces d'administration exposées
- Principe du moindre privilège appliqué concrètement
Étape 6 · 3 à 4 h
Le cloisonnement réseau
Livrable : Cartographie du SI et de vos prestataires + schéma d'architecture cible + matrice des flux autorisés
Faire en sorte que la compromission d'un poste ne donne pas l'ensemble du système d'information.
- Segmentation : par usage, par sensibilité, par population
- Filtrage inter-zones et matrice de flux autorisés
- Accès distants et postes d'administration
- Réseaux invités, wifi et objets connectés
- Interconnexions avec les prestataires et, le cas échéant, systèmes techniques du bâtiment
Étape 7 · 2 à 3 h, puis 1 h de validation
La journalisation et la gestion des incidents
Livrable : Politique de journalisation + procédure de gestion des incidents + fiches réflexes et annuaire de crise + registre des violations de données + risques résiduels acceptés par la direction + plan d'action priorisé
Un SOC 24/7 lit les journaux que la politique vient de définir, et agit sur les alertes. Découvrir le SOC 24/7
Pouvoir répondre à « que s'est-il passé ? » et savoir qui agit quand un incident survient. Puis clore le parcours : risques recotés, plan d'action remis, PSSI validée par la direction.
- Quoi journaliser, combien de temps (position de la CNIL), avec quel horodatage
- Ce qui doit déclencher une alerte, qui la lit, et ce qui se passe la nuit
- Gestion d'incident et de crise : qui décide, qui prévenir, fiches réflexes, annuaire de crise conservé hors du SI, notification à la CNIL sous 72 h et signalement NIS2
- Risques recotés après traitement : les risques résiduels que vous acceptez
- Plan d'action priorisé et validation de la PSSI par la direction
- Livrables
- La PSSI-cadre (7 chapitres) et 5 annexes, avec leurs pièces jointes. Les annexes sont rangées par destinataire : A Charte informatique, B Directives techniques, C Incidents et crises, D Continuité et reprise (volet informatique du PCA), E Pilotage et conformité, dont la feuille de route RGPD. Chacune porte ses pièces jointes datées (inventaire, schéma réseau, procès-verbal du test de restauration, registres, cartographies)
- Format
- 7 étapes sur 10 à 12 semaines, 20 à 30 h de travail au total : séances avec vous en visioconférence, travail de nos consultants entre les séances. Durées indicatives, sans surcoût si une étape dure plus longtemps
- Votre équipe
- 2 à 3 personnes sur tout le parcours, qui valident chaque étape ; direction et RH facultatives en séance, la direction valide la PSSI
Une mission, et une revue annuelle si vous la souhaitez
Le prix dépend de la taille de l'organisation et du périmètre.
7 500 – 20 000€ HT la mission
- Selon la taille
- 7 500 € HT jusqu'à 50 utilisateurs, 15 000 € HT jusqu'à 150, 20 000 € HT au-delà (sur devis si le périmètre est complexe : plusieurs sites ou entités).
- Avec le SOC
- Avec un engagement SOC de 12 mois : −25 % en Basic, −50 % en Standard, −75 % en Premium, soit dès 1 875 € HT.
- Revue annuelle
- Facultative, commandée chaque année, sans tacite reconduction : 1 125 €, 2 250 € ou 3 000 € HT selon la taille ; 375 €, 750 € ou 1 000 € HT pour les abonnés SOC engagés 12 mois. Une séance d'environ 3 h et la mise à jour des chapitres concernés : la trace de l'évaluation régulière que demande le RGPD (art. 32.1 d).
- Acheteur public
- Sous le seuil de 60 000 € HT : la mission peut être commandée sans publicité ni mise en concurrence préalables (art. R. 2122-8 du code de la commande publique).
Tout commence par un échange de cadrage.
Un échange gratuit pour situer votre organisation, vos obligations et le périmètre du parcours. Sans engagement.
Après l'envoi
Réponse sous 24 heures ouvrées
Un expert lit votre demande et vous recontacte pour qualifier votre besoin.
Audit gratuit
Sous Microsoft 365 : audit d’une heure de la posture de votre tenant (Secure Score, identités, Defender) et vos failles prioritaires. Sinon : cadrage de votre besoin (pentest, PSSI) et prix fixé. Sans engagement.
Interlocuteur dédié
Le même expert DMC vous suit de bout en bout, sans passer par un call-center.