Gouvernance, Risque & Conformité (GRC)
Gouvernance, Risque & Conformité (GRC)
La cybersécurité ne se résume pas à la technique — elle se pilote. Nous vous aidons à structurer votre gouvernance de sécurité, à évaluer vos risques et à répondre aux exigences réglementaires et normatives, marocaines comme internationales.
Ce que couvre ce service
Notre méthodologie
Nous évaluons d’abord votre niveau de maturité actuel par rapport au référentiel visé, identifions les écarts, puis construisons une feuille de route réaliste avec des jalons clairs. Notre approche privilégie des politiques réellement appliquées sur le terrain plutôt que des documents qui restent dans un tiroir — la conformité doit se vivre au quotidien dans l’organisation.
Structurer votre cybersécurité face au cadre réglementaire marocain
La cybersécurité est désormais un sujet de direction générale. Au Maroc, la loi n° 05-20 relative à la cybersécurité et son décret d’application n° 2-21-406 imposent aux administrations, établissements publics, infrastructures d’importance vitale et opérateurs concernés de désigner un responsable de la sécurité des systèmes d’information, de classifier leurs systèmes, d’appliquer les règles de sécurité de la DGSSI et de se soumettre à des audits.
La loi 09-08 encadre de son côté la protection des données à caractère personnel sous le contrôle de la CNDP, et vos clients ou partenaires internationaux vous demandent de plus en plus souvent une certification ISO 27001 ou la conformité à des référentiels sectoriels. Notre service GRC vous aide à transformer ces exigences en un dispositif de sécurité cohérent, piloté et démontrable.
Nos prestations de gouvernance, risque et conformité
- Accompagnement ISO 27001 : périmètre, analyse de risques, déclaration d’applicabilité, politiques et procédures, audit interne, préparation à l’audit de certification.
- Mise en conformité loi 05-20 et DNSSI : diagnostic d’écart, classification des systèmes d’information, plan d’action, préparation aux audits des systèmes sensibles.
- Analyse de risques selon EBIOS Risk Manager ou ISO 27005, avec des scénarios adaptés à votre secteur.
- Politique de sécurité (PSSI) et corpus documentaire : charte informatique, gestion des accès, sauvegarde, gestion des incidents, continuité d’activité.
- Conformité loi 09-08 : cartographie des traitements de données personnelles, formalités auprès de la CNDP, mesures de sécurité associées.
- RSSI externalisé : un expert SecureValley assure tout ou partie de la fonction de RSSI, pilote la feuille de route et rend compte à la direction.
- Audits de conformité : contrôle de l’application effective de vos politiques et des exigences sectorielles (Bank Al-Maghrib, PCI DSS, SWIFT CSP).
Notre démarche
- État des lieux : entretiens, revue documentaire et technique pour mesurer votre maturité par rapport au référentiel visé.
- Analyse des écarts et des risques : ce qui manque, ce qui est prioritaire et pourquoi.
- Feuille de route : plan d’action chiffré et séquencé sur 6 à 24 mois, validé par la direction.
- Mise en œuvre accompagnée : rédaction des documents, déploiement des mesures, sensibilisation des équipes.
- Contrôle et amélioration continue : audits internes, indicateurs et revues de direction.
Ce que vous obtenez
- Une vision claire de vos risques cyber, compréhensible par la direction et le conseil d’administration.
- Un dispositif documenté et démontrable lors des audits, des contrôles réglementaires et des appels d’offres.
- Une feuille de route réaliste qui relie les investissements de sécurité aux enjeux métier.
- Des équipes internes autonomes, accompagnées plutôt que remplacées.
Questions fréquentes sur la GRC et la conformité
Combien de temps faut-il pour obtenir la certification ISO 27001 ?
Selon la taille du périmètre et le niveau de départ, comptez en général de 6 à 12 mois entre le lancement du projet et l’audit de certification par un organisme accrédité.
Mon organisation est-elle concernée par la loi 05-20 ?
Elle s’applique notamment aux administrations, collectivités, établissements et entreprises publics, aux infrastructures d’importance vitale et à certains opérateurs privés. Un premier diagnostic permet de déterminer précisément vos obligations.
Qu’est-ce que la DNSSI ?
La Directive Nationale de la Sécurité des Systèmes d’Information, publiée par la DGSSI, définit les règles de sécurité minimales attendues des administrations et organismes concernés. Elle sert de référentiel pour les diagnostics et plans d’action.
Avons-nous besoin d’un RSSI à temps plein ?
Pas forcément. Beaucoup d’organisations font le choix d’un RSSI externalisé à temps partagé, qui apporte l’expertise et le pilotage nécessaires pour un coût adapté à leur taille.
Quelle méthode d’analyse de risques utilisez-vous ?
Nous utilisons principalement EBIOS Risk Manager et la norme ISO 27005, adaptées à votre contexte et à votre niveau de maturité.
Pouvez-vous réaliser l’audit de certification ISO 27001 ?
Non : l’audit de certification est réalisé par un organisme certificateur accrédité et indépendant. Nous vous accompagnons pour vous y préparer et pouvons réaliser l’audit interne exigé par la norme.
Vous devez vous mettre en conformité avec la loi 05-20, obtenir l’ISO 27001 ou structurer votre gouvernance cyber ? Contactez-nous pour un premier diagnostic. Demander un devis
Pourquoi ce service est critique pour les entreprises marocaines
De plus en plus d’appels d’offres et de partenariats commerciaux, notamment avec des donneurs d’ordre internationaux, exigent une certification ISO 27001 ou une preuve de gouvernance de sécurité structurée. Pour les entreprises marocaines qui visent l’export ou des marchés réglementés (banque, assurance, santé), une démarche GRC solide est souvent un prérequis commercial autant qu’une protection.
Structurez votre gouvernance de sécurité. Planifiez un premier échange.
