Risques IT
Améliorer sa cybersécurité est un objectif partagé, rarement traduit en premier geste. La difficulté ne vient pas du manque de solutions : tout paraît prioritaire en même temps.
Trois préalables, quatre chantiers, et l'ordre dans lequel les engager.
Août 20267 min de lecture
En bref
Le point de départ est un constat, pas un achat. Trois préalables : votre système d'information, les activités qu'il porte, qui décide de quoi. Quatre chantiers : accès, correctifs, sauvegardes, détection. L'ordre vient de l'impact sur votre activité.
Cette question revient dans presque tous les premiers échanges. Elle traduit une lucidité : vous refusez d'engager des moyens au hasard.
La difficulté n'est pas l'inaction, c'est la dispersion. Un outil, une sensibilisation et un chantier de conformité la même année donnent trois avancées partielles et aucune vue d'ensemble.
Sans cartographie de vos risques IT, vous arbitrez à partir d'impressions. Après le constat, chaque décision porte une raison écrite : ce risque passe avant celui-là parce qu'il touche une activité indispensable.
Trois questions doivent trouver une réponse écrite avant tout chantier technique.
Écrivez ce qui existe : applications, serveurs, services exposés sur Internet, prestataires détenant un accès. L'ANSSI publie un guide de cartographie du système d'information qu'une équipe interne suit seule.
Un inventaire ne dit pas ce qui est important. Demandez aux métiers quelles activités ne peuvent pas être suspendues, puis reliez chacune aux applications qui la portent. La liste devient un ordre de priorité.
Pour chaque sujet : qui décide, qui applique, qui contrôle ? Un écart technique se corrige une fois, un écart de rôles se reproduit. Sans RSSI, le partage entre direction des systèmes d'information et direction générale doit être écrit.
Ces quatre sujets reviennent en tête de priorité une fois le constat posé. On les retrouve dans le guide d'hygiène informatique de l'ANSSI.
Un accès reste le chemin le plus emprunté, y compris par qui n'y a plus droit. Savoir qui possède un compte et avec quels droits, retirer les comptes inutiles, poser l'authentification multifacteur sur les administrateurs.
Une vulnérabilité connue est une faiblesse publiée par l'éditeur avec son correctif. Plutôt que la mise à jour permanente : savoir quels systèmes sont concernés, qualifier ceux qui sont réellement exposés, traiter d'abord ceux qui portent une activité sensible.
Une sauvegarde n'a de valeur que si elle a été restaurée une fois. Trois points : ce qui est sauvegardé, où les copies sont conservées, la preuve qu'une restauration fonctionne. Le sujet ouvre sur la continuité d'activité et la résilience numérique.
Les trois premiers réduisent l'exposition. Le quatrième prépare l'incident : quels événements sont enregistrés, qui les regarde, ce qui se déclenche à l'alerte. Il relève de la supervision, de la détection et de la réponse aux incidents.
Bon à savoir
La vulnérabilité est une faiblesse technique, mesurable. Le risque y ajoute ce qu'elle permettrait d'atteindre et l'importance de l'activité. Même vulnérabilité, deux organisations, deux risques différents.
Trois missions peuvent servir de point de départ. Elles ne répondent pas à la même question.
| Critère | Audit technique | Analyse des risques | Diagnostic de gouvernance |
|---|---|---|---|
| Ce que vous cherchez à savoir | Ce qui est techniquement faible et exposé | Ce qui pèse le plus sur vos activités | Si les rôles et les règles sont en place |
| Ce que la mission produit | Des constats classés par criticité, chacun avec sa recommandation | Une cartographie criticité technique / impact métier | Un état des rôles et des procédures, avec les écarts au référentiel |
| Quand c'est la bonne porte | Vous voulez éprouver votre périmètre | Vous devez arbitrer et justifier un budget | Un régulateur ou un client veut des garanties |
| Sa limite | Il ne hiérarchise pas selon les activités | Elle ne remplace pas la vérification terrain | Il ne dit rien du niveau technique réel |
Ces trois portes se combinent. Si vous n'en choisissez qu'une, prenez celle qui répond à la question de votre direction.
L'ordre ne se déduit pas de la sévérité technique seule. Un risque sévère sur une application inutilisée ne passe pas avant un risque moyen sur la chaîne de votre activité principale.
Trois critères tranchent : l'impact sur une activité indispensable, l'exigence réglementaire applicable, l'effort de mise en œuvre. Le premier domine. À impact équivalent, engagez ce que vos équipes peuvent tenir.
Cet ordre se valide plus haut que la réunion technique : c'est le rôle de la gouvernance des risques et de la conformité. Sur les données personnelles, la CNIL publie une page dédiée à la sécurité des données.
Quelques indicateurs suffisent, suivis dans le temps : la part des comptes d'administration en authentification multifacteur, le délai entre la publication d'un correctif et son application sur les systèmes sensibles, le nombre de restaurations testées.
Ils parlent à une direction générale sans vocabulaire technique et disent ce qui n'a pas avancé.
La mesure ne remplace pas la compétence. Une organisation progresse lorsque ses équipes comprennent ce qu'elles appliquent, d'où des parcours de formation adaptés.
Une organisation peut engager seule les préalables et une partie des chantiers. Un cabinet extérieur apporte un regard neuf, une méthode éprouvée ailleurs et un temps dédié.
Chez OSTREVAL, la démarche suit notre méthode en six étapes : comprendre avant d'agir, prioriser avant d'investir, transmettre les compétences pour rendre nos clients autonomes.
Nous restons présents pendant la mise en œuvre, au-delà du document de constat.
Au terme des trois préalables et du premier chantier, vous saurez ce que contient votre système d'information, quelles activités il porte, qui décide de quoi et quels risques passent en premier.
C'est le passage d'une sécurité subie à une sécurité pilotée : commencer par le constat, choisir un ordre défendable, tenir ce rythme.
À retenir
Commencez par le constat, pas par l'achat. Écrivez ce que contient votre système d'information, les activités qu'il porte et le nom des responsables. Ouvrez ensuite les accès, les correctifs, les sauvegardes et la détection.
Les trois préalables demandent du temps et une décision sur qui porte le sujet, pas d'investissement technique. La question du budget se pose au moment de la feuille de route.
Elles le peuvent, et sur plusieurs sujets mieux que quiconque. Deux difficultés reviennent : le temps disponible et le recul sur des décisions auxquelles elles ont participé.
ISO 27001 définit un système de management de la sécurité de l'information. Elle devient utile quand un client, un régulateur ou un marché la demande, et quand le constat est posé.
Chez OSTREVAL, chaque action de la feuille de route porte un responsable, une échéance et un point de revue, suivis sur notre plateforme de pilotage.
Non. Une partie des risques s'accepte en connaissance de cause : impact limité, ou coût supérieur à l'enjeu. Cette acceptation doit être écrite, datée et portée par une personne identifiée.
Une recommandation applicable désigne un système précis, un responsable possible et un effort estimé dans votre contexte. Une recommandation générique recopie un référentiel.
Le premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
ostreval