Mise en œuvre opérationnelle (clauses 7 et 8)
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 12 minutes
La feuille de route du projet SMSI
Section titled “La feuille de route du projet SMSI”Un SMSI se construit comme un projet, avec un sponsor (le directeur général), un chef de projet (l’ingénieur SSI), un budget et des jalons.
| Phase | Mois | Activités | Livrables |
|---|---|---|---|
| 0. Cadrage | 1 | Lettre de mission du DG, état des lieux (gap analysis) face à ISO 27001 | Rapport d’écarts, budget, planning |
| 1. Fondations | 2 – 4 | Contexte, périmètre, politique, rôles, méthode de risques | Chapitres 2 et 3 |
| 2. Risques | 4 – 6 | Ateliers avec les métiers, registre, plan de traitement, SoA v1 | Chapitres 4 et 5 |
| 3. Déploiement | 6 – 13 | Mise en œuvre des contrôles prioritaires, procédures, formation, fournisseurs, continuité | Contrôles en place, preuves |
| 4. Vérification | 12 – 15 | Indicateurs, audit interne complet, revue de direction | Rapport d’audit interne, PV de revue |
| 5. Certification | 16 – 18 | Audit de certification (étapes 1 et 2), traitement des écarts | Certificat |
L’état des lieux (gap analysis)
Section titled “L’état des lieux (gap analysis)”Première action concrète : évaluer chaque exigence des clauses 4 à 10 et chaque contrôle de l’annexe A sur une échelle de maturité.
| Niveau | Signification |
|---|---|
| 0 | Inexistant |
| 1 | Pratiques informelles, dépendant des personnes |
| 2 | Pratique répétée mais non documentée |
| 3 | Documenté et appliqué |
| 4 | Mesuré et piloté par des indicateurs |
| 5 | Amélioré en continu |
Résultat chez KamaPay au démarrage : clauses 4 à 10 : 1,4 / 5 en moyenne (pas de système de management), annexe A : 2,3 / 5 (beaucoup de contrôles techniques existent mais ne sont pas documentés). L’objectif pour la certification est d’atteindre au moins 3 partout.
Les informations documentées obligatoires
Section titled “Les informations documentées obligatoires”ISO 27001 exige explicitement certains documents. Voici la liste à vérifier avant tout audit :
| Clause | Document exigé |
|---|---|
| 4.3 | Périmètre du SMSI |
| 5.2 | Politique de sécurité de l’information |
| 6.1.2 | Processus d’appréciation des risques |
| 6.1.3 | Processus de traitement des risques |
| 6.1.3 d | Déclaration d’applicabilité |
| 6.2 | Objectifs de sécurité de l’information |
| 7.2 | Preuves de compétence |
| 7.5.1 | Informations documentées jugées nécessaires par l’organisation |
| 8.1 | Informations sur la planification et la maîtrise opérationnelles |
| 8.2 | Résultats des appréciations des risques |
| 8.3 | Résultats du traitement des risques |
| 9.1 | Preuves de surveillance et de mesure |
| 9.2 | Programme d’audit et résultats d’audit |
| 9.3 | Résultats des revues de direction |
| 10.2 | Non-conformités, actions entreprises et résultats des actions correctives |
💡 Gérez ces documents dans un outil avec versions, approbations et dates de revue (GED, wiki avec workflow, ou outil GRC). Un auditeur vérifie toujours qu’un document est à jour et approuvé.
Sensibilisation et formation (7.2, 7.3 et A.6.3)
Section titled “Sensibilisation et formation (7.2, 7.3 et A.6.3)”Dans un établissement de paiement, le facteur humain dépasse largement les salariés : les agents et les clients sont les premières cibles des fraudeurs.
| Public | Objectif | Format | Fréquence | Indicateur |
|---|---|---|---|---|
| Tous les salariés | Réflexes de base, signalement | Module en ligne de 30 min + quiz | Annuelle + à l’arrivée | Taux de complétion ≥ 95 % |
| Salariés — simulations d’hameçonnage | Détecter les courriels piégés | Campagnes simulées | Trimestrielle | Taux de clic < 5 %, taux de signalement > 60 % |
| Back-office et service client | Fraude interne, ingénierie sociale par téléphone, protection des données KYC | Atelier avec cas réels | Semestrielle | Erreurs détectées en contrôle qualité |
| Développeurs | Développement et API sécurisés | Formation technique | Annuelle | Vulnérabilités détectées en revue de code |
| Agents | Ne jamais communiquer de code, reconnaître les faux contrôleurs, signaler | Fiches illustrées, messages dans l’app agent, sessions par les superviseurs | Continue | Fraudes signalées par les agents |
| Clients | « Personne de chez nous ne vous demandera votre code » | SMS, radio, réseaux sociaux, messages dans l’app | Campagnes trimestrielles | Plaintes pour fraude par ingénierie sociale |
| Direction | Enjeux, responsabilités, gestion de crise | Briefing + exercice sur table | Annuelle | Participation |
La gestion des fournisseurs critiques (A.5.19 à A.5.23)
Section titled “La gestion des fournisseurs critiques (A.5.19 à A.5.23)”Classer les fournisseurs
Section titled “Classer les fournisseurs”| Criticité | Critères | Exemples | Exigences |
|---|---|---|---|
| Critique | Accès aux données sensibles ou à la production, ou indisponibilité = arrêt du service | Éditeur de la plateforme, hébergeur cloud, opérateur télécom, banques partenaires | Clauses sécurité complètes, rapport ISAE 3402 / SOC 2 ou audit, revue annuelle |
| Important | Accès limité ou service contournable | Prestataire SOC, éditeur anti-fraude | Questionnaire sécurité, clauses standard |
| Standard | Pas d’accès au SI | Fournitures, nettoyage | Clauses de confidentialité |
Les clauses sécurité minimales d’un contrat critique
Section titled “Les clauses sécurité minimales d’un contrat critique”- Respect de la politique de sécurité de KamaPay ou d’un référentiel équivalent (ISO 27001 certifié de préférence)
- Notification des incidents dans un délai court (ex. 24 h)
- Droit d’audit, ou fourniture annuelle d’un rapport d’assurance indépendant
- Localisation et réversibilité des données
- Accès distant uniquement via le bastion, comptes nominatifs, MFA
- Gestion de la sous-traitance en cascade
- Continuité : engagements de reprise compatibles avec les RTO/RPO de KamaPay
💡 Un rapport ISAE 3402 type II (ou SOC 1/SOC 2 type II) atteste que les contrôles d’un prestataire ont fonctionné sur une période (souvent 6 à 12 mois), pas seulement qu’ils existent. Pensez à lire la section des contrôles complémentaires attendus chez le client (CUEC) : ce sont des contrôles que vous devez appliquer. Voir aussi le chapitre sur les rapports SOC.
La gestion des incidents comme processus du SMSI
Section titled “La gestion des incidents comme processus du SMSI”Le module 16 détaille la réponse opérationnelle. Dans le SMSI, l’ingénieur SSI en tient le dispositif :
| Élément | Contenu chez KamaPay |
|---|---|
| Politique et procédure | Définitions, grille de gravité adaptée (incluant la fraude), circuit de déclaration |
| Registre des incidents | Un enregistrement par incident : date, gravité, actifs, cause, impact financier, clients touchés, déclarations effectuées, actions, statut |
| Reporting | Mensuel au comité opérationnel ; trimestriel au comité de sécurité et au comité des risques ; immédiat pour tout P1 |
| Déclarations externes | Calendrier par autorité (régulateur, autorité de protection des données, agence nationale, maison mère, banques partenaires) |
| Exercices | Un exercice sur table par semestre, dont un avec la direction |
| Amélioration | Chaque RETEX alimente le registre des risques et le plan d’action |
Exemple de reporting trimestriel au comité des risques
Section titled “Exemple de reporting trimestriel au comité des risques”| Indicateur | T1 | T2 | T3 | Tendance |
|---|---|---|---|---|
| Incidents déclarés (tous niveaux) | 42 | 37 | 51 | ↗ |
| dont P1 / P2 | 1 / 4 | 0 / 3 | 1 / 5 | → |
| Pertes nettes liées à la fraude (M FCFA) | 38 | 31 | 27 | ↘ |
| Délai moyen de détection des P1/P2 | 3 h 10 | 2 h 20 | 1 h 05 | ↘ |
| Incidents déclarés hors délai à une autorité | 1 | 0 | 0 | ✅ |
| Actions de RETEX en retard | 6 | 4 | 2 | ↘ |
Prochaine étape : Un contrôle, plusieurs référentiels →