ALTISOCLE

24 questions · 8 dimensions · 6 à 8 minutes · score immédiat, aucune adresse e-mail demandée avant le résultat

Votre infrastructure est-elle réellement sous votre contrôle ?

Répondez avec ce que vous pouvez prouver, pas avec ce que vous pensez. Échelle : 0 inconnu ou non traité, 1 informel, 2 partiellement documenté, 3 documenté et opéré, 4 documenté, testé, preuves disponibles.

chargement du diagnostic… Sans JavaScript, la liste des 24 questions reste consultable plus bas.

Comment le score est calculé

Chaque dimension est notée sur 100 à partir de ses trois questions. Le score global est la moyenne des huit dimensions. Des signaux critiques s’affichent indépendamment du score lorsqu’une réponse révèle un risque majeur.

Vos données

Le score se calcule dans votre navigateur. Rien n’est transmis tant que vous ne demandez pas le rapport ou ne versez pas vos réponses au baromètre. Les réponses anonymes alimentent, agrégées, la médiane publiée chaque année.

Version imprimable

La grille des 24 questions avec les cases 0 à 4 et la règle de calcul existe en PDF, pour un atelier interne ou une revue avec votre DSI.

Demander la grille imprimable

Les 24 questions du diagnostic, version 1.0.0

1. Juridiction

Qui peut légalement accéder à vos systèmes, et depuis quel droit.

  1. Connaissez-vous les entités juridiques, juridictions et principaux sous-traitants pouvant intervenir sur chaque service critique ?
  2. Les workloads et données sensibles ont-ils été catégorisés selon leur exposition aux juridictions extra-européennes ?
  3. Vos contrats encadrent-ils explicitement localisation, support, sous-traitants, changements de juridiction et sortie ?

2. Données

Où sont les données, leurs copies, et pouvez-vous le prouver.

  1. Disposez-vous d’une cartographie à jour de la localisation des données, copies, sauvegardes, logs et réplications ?
  2. La classification des données conditionne-t-elle réellement l’hébergement, le chiffrement, la rétention et les accès ?
  3. Êtes-vous capable de prouver la suppression ou l’export complet d’une donnée et de ses copies ?

3. Identités et clés

Qui détient les accès privilégiés et les secrets.

  1. Les accès privilégiés utilisent-ils MFA, moindre privilège, comptes nominatifs et contrôle des élévations ?
  2. Votre organisation maîtrise-t-elle le cycle de vie des clés et secrets critiques, ou sait-elle précisément qui le maîtrise ?
  3. Les interventions d’urgence ou accès fournisseur sont-ils approuvés, journalisés et revus ?

4. Administration

Les plans de contrôle dont dépend votre infrastructure.

  1. Savez-vous où se trouvent et qui administre les plans de contrôle indispensables à l’infrastructure ?
  2. La plateforme peut-elle continuer à fonctionner si le portail, le support ou le plan de contrôle d’un fournisseur devient indisponible ?
  3. Les rôles d’administration, la séparation des responsabilités et les habilitations sont-ils revus périodiquement ?

5. Technologie

Ce qui est propriétaire, et ce que vous pourriez reconstruire.

  1. Disposez-vous d’un inventaire des composants propriétaires ou difficilement remplaçables ?
  2. L’infrastructure peut-elle être reconstruite depuis des dépôts d’infrastructure as code réellement détenus par votre organisation ?
  3. Avez-vous documenté une technologie ou solution alternative pour chaque dépendance critique ?

6. Opérations

Qui fait quoi, et si vos équipes tiendraient sans expert externe.

  1. Modèle opérationnel, RACI, runbooks, responsabilités de patching et procédures d’incident sont-ils complets et à jour ?
  2. Supervision, capacité, journaux, alertes, incidents et changements font-ils l’objet d’un processus testé ?
  3. Vos équipes pourraient-elles exploiter l’environnement pendant trente jours sans dépendre d’un expert externe précis ?

7. Résilience

Ce qui a été réellement testé, pas seulement prévu.

  1. Les restaurations de sauvegarde sont-elles testées régulièrement et les résultats conservés ?
  2. RTO et RPO, PCA et PRA et scénarios de panne font-ils l’objet d’exercices réels ?
  3. Les points de défaillance fournisseur, réseau, IAM, DNS, KMS et stockage ont-ils été identifiés et testés ?

8. Réversibilité

Pouvez-vous partir, techniquement et contractuellement.

  1. Existe-t-il un plan de sortie documenté avec délais, coûts, données, workloads et responsabilités ?
  2. Avez-vous réalisé récemment un test d’export ou de reconstruction hors de l’environnement principal ?
  3. Les clauses contractuelles de sortie sont-elles cohérentes avec vos capacités techniques et les compétences internes réellement disponibles ?