Gouvernance
Définir les rôles, responsabilités, comités et niveaux de décision.
GOUVERNANCE · GESTION DES RISQUES · REPORTING
Transformez le risque cyber en décisions de management.
Auxilor aide les organisations à identifier leurs risques, les prioriser, définir les responsabilités et donner au management une vision claire des décisions qui doivent être prises.
Décider en connaissance de cause
Une organisation ne peut pas éliminer tous ses risques
Elle doit en revanche être capable de les identifier, de comprendre leur impact, de décider lesquels doivent être traités et lesquels peuvent être acceptés.
La gouvernance cybersécurité permet de structurer ces décisions et de s'assurer que les actions importantes sont suivies au bon niveau de responsabilité.
Quatre piliers pour piloter les risques cyber
La gouvernance permet de relier les risques aux décisions, puis les décisions aux actions réellement mises en œuvre.
Gestion des risques
Identifier, évaluer, traiter et suivre les risques importants pour l'organisation.
Roadmap
Transformer les risques et décisions en actions concrètes et priorisées.
Reporting
Donner au management une vision claire de la situation et des arbitrages nécessaires.
Du contexte métier à la décision
Une gestion des risques efficace commence par la compréhension de ce que l'organisation cherche réellement à protéger.
Comprendre les activités
Identifier les services, processus et informations essentiels à l'organisation.
Identifier les dépendances
Comprendre les systèmes, fournisseurs et ressources dont dépendent les activités.
Identifier les risques
Déterminer les événements susceptibles d'affecter les activités critiques.
Évaluer
Apprécier la vraisemblance, l'impact et les mesures déjà en place.
Décider
Traiter, transférer, éviter ou accepter le risque résiduel.
Suivre
Vérifier les actions, réévaluer les risques et adapter les priorités.
Registre des risques
Un registre conçu pour décider, pas pour archiver
Le registre des risques doit devenir un outil de pilotage vivant permettant d'identifier rapidement les sujets nécessitant une décision ou une action.
- Risque clairement formulé
- Activités ou actifs concernés
- Impact potentiel
- Vraisemblance
- Mesures existantes
- Niveau de risque actuel
- Plan de traitement
- Responsable du risque
- Risque résiduel
- Décision d'acceptation éventuelle
Transformer les risques en une roadmap réaliste
Toutes les actions ne peuvent pas être réalisées simultanément. La priorité doit être donnée aux mesures produisant le meilleur impact sur la réduction du risque.
Risque Quel risque l'action cherche-t-elle à réduire ?
Priorité À quel niveau cette action doit-elle être traitée ?
Responsable Qui doit réellement porter sa mise en œuvre ?
Échéance Quand l'action doit-elle être terminée ?
Dépendances Quelles autres actions ou décisions sont nécessaires ?
Preuve attendue Comment démontrer objectivement que l'action est terminée ?
Reporting management
Moins d'indicateurs techniques, plus d'informations utiles
Le management n'a pas besoin de connaître le nombre d'alertes produites par chaque outil de sécurité.
Il doit pouvoir comprendre les risques les plus importants, leur évolution, l'avancement des actions et les décisions qui nécessitent son intervention.
- Principaux risques ouverts
- Évolution du niveau de risque
- Actions critiques en retard
- Décisions à prendre
- État de la conformité
- Incidents significatifs
- Risques fournisseurs majeurs
- Progression de la roadmap
Votre niveau de sécurité dépend aussi de vos partenaires
Les prestataires, fournisseurs, solutions SaaS et partenaires peuvent représenter des dépendances importantes pour les activités de l'organisation.
Identifier
Recenser les fournisseurs et services dont dépendent les activités importantes.
Classifier
Déterminer leur criticité selon l'impact potentiel sur l'organisation.
Évaluer
Examiner les mesures de sécurité, garanties et engagements nécessaires.
Suivre
Réévaluer régulièrement les fournisseurs les plus critiques.
Chaque sujet doit arriver au bon niveau de décision
Suivi opérationnel
Coordination des équipes, avancement des actions et résolution des problèmes.
Comité cybersécurité
Suivi des risques, de la roadmap, des incidents et des sujets transversaux.
Management
Arbitrage des ressources, priorités et risques significatifs.
Direction
Acceptation des risques majeurs et décisions stratégiques engageant l'organisation.
Des outils simples pour structurer la gouvernance
Modèle de gouvernance Rôles, responsabilités, comités et mécanismes de décision.
Registre des risques Une vision structurée des risques et décisions associées.
Roadmap cybersécurité Une vision priorisée des actions à mettre en œuvre.
Dashboard management Des indicateurs adaptés au niveau de gouvernance.
Registre fournisseurs Identification et suivi des tiers les plus critiques.
Reporting périodique Une synthèse permettant au management de suivre l'évolution de la situation.
Gouvernance & risques
Qui doit être propriétaire d'un risque cyber ?
Le propriétaire d'un risque doit idéalement être la personne ayant la responsabilité de l'activité ou de l'impact concerné. Le RSSI accompagne l'analyse mais ne peut pas accepter seul les risques de l'organisation.
Combien de risques faut-il suivre ?
L'objectif n'est pas d'accumuler des centaines de scénarios, mais d'identifier suffisamment les risques significatifs pour permettre leur traitement et leur pilotage.
À quelle fréquence faut-il revoir le registre des risques ?
Le registre doit être revu régulièrement mais également lorsqu'un changement important survient : nouveau système, fournisseur, incident, projet ou évolution réglementaire.
Un dashboard cyber doit-il contenir beaucoup d'indicateurs ?
Non. Quelques indicateurs pertinents et compréhensibles sont généralement plus utiles qu'un grand nombre de métriques techniques sans contexte.
Vos risques cyber sont-ils réellement pilotés ?
Nous pouvons vous aider à structurer la gouvernance, le registre des risques, la roadmap et le reporting nécessaires à une prise de décision efficace.
Structurer ma gouvernance cyber