La boîte à outils de gouvernance du RSSI
Au-delà des outils techniques de protection (voir le guide sur la boîte à outils du défenseur), piloter la sécurité d'une organisation demande un ensemble d'outils différents, tournés vers la décision plutôt que vers la technique pure.
01La situation en clair
La pile technique de sécurité (protection des postes, supervision réseau, gestion des vulnérabilités) traite le "comment se défendre". Mais piloter une organisation entière demande une autre couche, tournée vers le "où en sommes-nous, et que devons-nous décider" : cartographie des risques, suivi de la conformité, gestion des plans d'action issus des audits, pilotage budgétaire. Cette information, dispersée dans de multiples outils et documents, est souvent difficile à rassembler en une vue d'ensemble cohérente.
02Pourquoi ça compte
Sans cette couche de pilotage, un responsable sécurité passe un temps considérable à rassembler manuellement des informations éparses avant chaque décision ou chaque présentation, au détriment du temps consacré à l'analyse et à l'action elle-même.
03Ce qu'il faut faire
-
1
Centralisez le suivi des plans d'action
Les recommandations issues d'audits, de tests d'intrusion ou d'analyses de risques se perdent facilement si elles restent dispersées dans des rapports séparés. Un suivi centralisé, avec des responsables et des échéances clairement identifiés, évite qu'une action importante ne tombe dans l'oubli.
-
2
Reliez la cartographie, les risques et la conformité
Ces trois dimensions sont souvent traitées séparément, alors qu'elles se nourrissent mutuellement : la cartographie du système (voir le guide dédié) éclaire l'analyse de risques, qui elle-même éclaire les priorités de mise en conformité. Un outil qui relie ces informations démultiplie leur valeur individuelle.
-
3
Ne multipliez pas les outils sans raison
Chaque nouvel outil de pilotage ajoute une source d'information de plus à consulter et à maintenir à jour. Avant d'en adopter un nouveau, vérifiez qu'il apporte une réelle valeur que les outils existants ne couvrent pas déjà.
L'erreur à ne pas faire
Investir massivement dans des outils techniques de protection tout en négligeant les outils de pilotage. Une organisation peut disposer d'excellentes protections techniques sans jamais avoir de vue d'ensemble cohérente de ses risques réels, ce qui finit par nuire à la qualité des décisions prises.
En une phrase
Piloter la sécurité demande ses propres outils, distincts de la technique de protection : centralisez le suivi des actions et reliez cartographie, risques et conformité.