Diane Rajaona

– Définition d'un planning de contrôle annuel sur le pilier OR en coordination étroite avec les 2 autres piliers : sécurité de l'information (IS) et sécurité physique (PSS), incluant les phases d'analyse, d'échange, de rédaction des fiches de contrôles, de présentation des résultats de contrôle et de suivi de remédiation – Réalisation des revues d'assurance sécurité sur le pilier OR notamment – Evaluation de l'environnement de contrôle existant sur le périmètre d'AXA France et formulation des recommandations concrètes et actionnables pour la première ligne de défense – Participation aux groupes de travail pour améliorer la méthode de revue d'assurance sécurité au sein d'AXA France et de ses filiales

– Conception d'un BIA sur mesure et adapté au niveau de maturité pour identifier les processus les plus critiques au sein de 4 services essentiels : – Voirie – DRH – Etat Civil – Ecoles – Recueil des solutions de contournement construit autour de 4 scénarios d'indisponibilité – Indisponibilité des collaborateurs – Indisponibilité des applications critiques – Indisponibilité du site primaire – Indisponibilité du prestataire – Rupture d'approvisionnement énergétique

– Construction d'une nomenclature des incidents de sécurité/sûreté – Conception des formulaires de remontées d'incidents à destination des responsables de boutiques, d'entrepôts logistiques, d'ateliers de fabrication et des bureaux administratifs – Conception des messages de notification pour le mass alerting dans un contexte de JO2024 : – Restriction de circulation – Saturation des transports en commun – Attaque terroriste – Grève/Mécontentement social – Canicule – Crue soudaine – Saturation du réseau télécom – Infestation parasitaire – Epidémie/pandémie – Braquage des objets de luxe

– Suivi de l'état d'avancement des travaux en cours, remontée des points d'attention et lancement des nouveaux travaux – Gestion des ressources par domaine d'expertise et d'appétence – Cadrage méthodologique et résolution des problèmes liés à la continuité d'activité au niveau métier et SI – Refonte de la procédure de gestion de crise autour du cycle de vie de la crise – Pilotage de la campagne BIA de la DGNum, revue et consolidation des résultats BIA

– Cadrage des actions d'amélioration avec l'équipe de consultants suite à une crise SI réelle – Création et suivi des KPIs de livraison des livrables clés – Animation d'un comité hebdomadaire de suivi – Analyse des clauses contractuelles des infogérants et identification des add-ons – Revue et contrôle de la cohérence d'ensemble des livrables avant PV de recette

– Consolidation des risques locaux par pays et recensement des risques globaux selon un référentiel unique de risk assessment afin de basculer vers une solution de gestion des risques – Préparation des supports de restitution des campagnes de contrôle sur les quatre piliers : – Gouvernance de la résilience opérationnelle (ROP) – Gestion de crise (CM) – Gestion de la continuité d'activité (BCM) – Gestion de la continuité des services informatiques (ITSCM) – Coordination avec l'équipe de gestion des risques opérationnels sur les High Risk Scenarios (HRS) – Standardisation et mutualisation des High Risk Scenarios à partir des HRS locaux en provenance et à destination des entités locales : – Cyberattaque (DDoS, ransomware, data leakage) – Attaque terroriste – Perte d'un datacenter – Grève/Mécontentement social – Catastrophes naturelles (inondation, séismes) – Délestage/blackout électrique – Défaillance d'un tiers majeur

– Analyse documentaire du corpus de gestion de crise (fiches réflexes, organisation de crise, etc.) – Formalisation d'une grille d'observation – Définition d'un macro-scénario top-down avec l'équipe cybersécurité en partant des impacts métiers au niveau des magasins de luxe – Coordination et reporting de suivi

– Formalisation d'un BIA orienté "quantification des impacts" – Communication pédagogique autour du BIA basé sur un scénario de perte totale d'un datacenter à la suite d'un incendie dévastateur (inspiré du cas réel : OVH) – Conduite des entretiens BIA avec le Métier (product managers) – Consolidation et restitution de synthèse des résultats BIA quantifiés au comité de pilotage – Classement des offres applicatives (en mode SaaS) par ordre de criticité

– Conduite trimestrielle d'une veille réglementaire sécuritaire (secteur télécom) – Documentation des contrôles ISO 27001 liés à la sécurité physique et environnementale, à la sécurité des ressources humaines, à la gestion des incidents cyber et à la gestion des accès en lien avec les experts IAM de BT.

– Identification des événements les plus redoutés auxquels sont exposées les chaines de valeur du service direct et différé de la vidéo protection – Identification des parties prenantes et évaluation de l'exposition à la menace – Identification et évaluation de la pertinence des sources de risques et des objectifs visés – Elaboration des scénarios stratégiques et opérationnels – Cartographie des risques – Formulation des mesures de sécurité recommandées (annexe A de l'ISO27001)

– Formalisation d'une PSSI basée sur les exigences du référentiel PDIS – Formalisation d'une procédure de pilotage des risques – Formalisation d'un plan de contrôle pour couvrir raisonnablement les incidents redoutés – Correction des écarts identifiés suite à un audit externe

– Identification des processus vitaux, des données vitales et des applications vitales à partir des BIA existants – Définition des solutions de contournement – Analyse des coûts/bénéfices en cas de cyber blackout avéré – Reporting d'aide à la prise de décision d'investissement (COO)

– Pilotage d'un projet d'amélioration continue – Contribution à l'implémentation des axes de progrès – Suivi des actions d'amélioration continue

– Pilotage de la campagne de contrôle IT : revue d'applicabilité; cotation des contrôles; revue des résultats des contrôles ; reporting ; suivi des plans de remédiation. – Etude des scénarios d'incident potentiel : – cyberattaques, – abandon d'un projet IT, – indisponibilité des applications critiques. – Recensement des situations « shadow IT » à partir de l'inventaire des contrats – Suivi des résultats d'audit de sécurité des tiers – Auto-évaluation de la maturité autour de la gestion des risques IT et du dispositif de contrôle (BCE, ITRMG)

– Collecte des publications des régulateurs nationaux et internationaux selon un plan de veille – Analyse des nouvelles exigences à implémenter au travers des projets SSI/PCA à initier – Formulation des recommandations envers les métiers (cash equities, derivatives, asset management), la fonction IT & SSI/PCA impactés – Mise à jour du plan de veille

– Formalisation d'un référentiel des écarts couvrant le périmètre des processus métiers (commande, production, livraison) et des SI applicatifs correspondants – Etude des modalités d'implémentation des plans d'action et des coûts associés

– Collecte, analyse et diffusion des actualités sur les cyberattaques (auteur, motivation, vecteur d'attaque, impact, pays cible) dans les secteurs d'importance vitale – Enrichissement du plan de veille

– Identification et documentation des caractéristiques fonctionnelles principales d'un outil de contrôle permanent SSI : – la saisie des données, – le traitement des données, – la restitution des résultats (radars et cartographies de conformité)

– Contribution à la formalisation d'une note de gouvernance des risques – Contribution à la formalisation d'un guide d'analyse des risques – Elaboration d'une procédure d'acceptation des risques mutualisée à la fonction de sécurité globale englobant plusieurs filières (sécurité des personnes et des sites, sécurité des SI, continuité d'activité et continuité informatique).

– Cartographie des processus SI basée sur des procédures existantes – Formalisation des matrices activités/risques/contrôles – Rédaction des fiches de contrôle

– Cartographie des processus SI basée sur des procédures existantes – Formalisation des matrices « activités/risques/contrôles »

– Inventaire qualifié du référentiel documentaire existant – Amélioration de la couverture des exigences Groupe autour du cycle de vie PCA : – compréhension de l'activité, – définition & implémentation de la stratégie de continuité, – contrôle permanent de la continuité, – maintien en condition opérationnelle.

– Etude de la mise en place d'un exercice de choc extrême basée sur un benchmarking international – Cadrage des conséquences visées du futur scénario : – étendue du périmètre métier impacté, – moments de paroxysme, – degré de perte d'image. – Formalisation du dispositif d'observation

– Définition des scénarios de sinistre et élaboration des scénarios de continuité d'activité en réponse à ces sinistres – Recensement des ressources informatiques critiques – Etablissement d'une liste RH critique – Renseignement et mise à jour d'un annuaire de crise

– Intégration de la Qualité dans l'étude, la conception et le développement de projets industriels – Formalisation d'un manuel qualité à destination des clients – Définition des indicateurs de suivi qualité

– Analyse et évaluation des impacts métiers (BIA), des menaces et des vulnérabilités – Formalisation d'un plan de traitement des risques en vue de protéger de façon adéquate les actifs supportant le cœur de métier de la Banque Centrale Européenne : – Billets, – Statistiques, – Juridique, – Politique monétaire, – Opérations de marché.

– Conception d'un programme de sensibilisation articulé autour d'une segmentation des modules par métier cible du DSI Groupe – Etude des choix des vecteurs de communication les plus adaptés par rapport aux contraintes opérationnelles de l'audience-cible