Schéma global de la démarche préconisée par SSI-Conseil :

L'organisation d'un SMSI passe par la mise en place de plusieurs phases :

Organisation :

Permet de définir les parties prenantes et les responsabilités ainsi que le domaine d'application du SMSI : Entreprise, Établissement, Services... concernés par la démarche de sécurité entreprise.
Soutenue impérativement par la Direction Générale, cette phase doit permettre la mise en place d'une gouvernance de la sécurité des informations : Comité sécurité, RSSI et RPCA, équipes opérationnelles dédiées à la sécurité, Contrôle interne...

Evaluation des besoins de sécurité :

Cette phase va permettre de traiter pour chaque domaine et sous-domaine d'actifs :

• Analyse des enjeux
• Classification des ressources
• Audit initial des services de sécurité
• Analyse des situations de risques
• Traitement et gestion des risques
  
• Définition des besoins de sécurité
• Gestion des risques résiduels
  

Plan opérationnel :

C'est la définition d'un schéma directeur de la sécurité

• Planification de la mise en œuvre des mesures de sécurité
• Rédaction d'une politique de sécurité
• Définition des rôles : Conception, Réalisation, Contrôle
• Choix des métriques
  
• Mise en place des outils de suivi et de reporting
• Mise en place de la stratégie de communication et de formation
  

Concevoir et mettre en oeuvre  les dispositifs de protection :

• Conception, mise en place et test des mesures de sécurité
• Conception, mise en place d'un plan de formation et de sensibilisation des utilisateurs
  
• Conception, mise en place et test d'un plan de gestion de crise
• Conception, mise en place et test d'un plan de reprise d'activité
• Concevoir  mettre en place et test d'un plan de communication
  

Contrôler la Maîtrise des risques :

• Construire des tableaux de bord et des reportings
• Mener audits et tests intrusifs de contrôle des mesures de sécurité
• tester les solutions de sécurité et les plans de continuité
• Renouveler l'analyse des risques
• traiter les nouveaux risques
• Gérer les nouveaux risques résiduels
  

Améliorer :

• Tirer profit des mises en œuvre et des audits pour ré-adapter besoins et solutions de sécurité
• Corriger plan stratégique politique de sécurité et plan opérationnel
• Tester les améliorations