Risques IT
Améliorer sa cybersécurité est un objectif que presque toutes les organisations partagent, et que très peu savent traduire en premier geste concret. La difficulté ne vient pas du manque de solutions : elle vient du fait que tout paraît prioritaire en même temps.
Cet article s'adresse aux dirigeants, aux directions des systèmes d'information et aux responsables de la sécurité qui veulent sortir de cette indécision. Il propose trois préalables, quatre chantiers et l'ordre dans lequel les engager.
Août 202612 min de lecture
En bref
Améliorer sa cybersécurité commence par un constat, pas par un achat. Trois préalables d'abord : savoir ce que contient votre système d'information, savoir quelles activités il porte, savoir qui décide de quoi. Quatre chantiers ensuite : les accès, les correctifs, les sauvegardes, la détection. L'ordre se déduit de l'impact sur votre activité, jamais de la seule sévérité technique.
Cette question revient dans presque tous les premiers échanges, souvent posée avec une forme d'excuse, comme si elle trahissait un retard. Elle traduit en réalité une lucidité : vous refusez d'engager des moyens au hasard. Nos clients savent qu'ils sont exposés, mais ils ne savent pas toujours où, à quel niveau de risque et surtout quoi faire en priorité.
La difficulté la plus fréquente n'est pas l'inaction, elle est la dispersion. Une organisation qui achète un outil de protection, lance une campagne de sensibilisation et ouvre un chantier de conformité la même année obtient trois avancées partielles et aucune vue d'ensemble. Personne ne peut dire, au bout du compte, si le niveau de sécurité a progressé.
Commencer par un constat change cette mécanique. Tant que vous n'avez pas cartographié vos risques IT, vous arbitrez à partir d'impressions. Une fois le constat posé, chaque décision porte une raison écrite : ce risque passe avant celui-là parce qu'il touche une activité que vous ne pouvez pas interrompre.
Avant d'ouvrir le moindre chantier technique, trois questions doivent trouver une réponse écrite. Elles ne demandent pas d'investissement, elles demandent de l'attention.
Un système d'information se documente rarement au rythme où il grandit. Des applications s'ajoutent projet après projet, des environnements cloud s'ouvrent et sont rarement réévalués ensuite. L'inventaire consiste à écrire ce qui existe : applications, serveurs, services accessibles depuis Internet, prestataires qui détiennent un accès. L'Agence nationale de la sécurité des systèmes d'information, l'ANSSI, publie un guide de cartographie du système d'information qu'une équipe interne peut suivre seule.
Un inventaire technique ne dit pas encore ce qui est important. La deuxième question se pose aux métiers : quelles activités votre organisation ne peut pas suspendre sans manquer à ses engagements ? La facturation, la paie, la production, un service rendu au public. Reliez ensuite chaque activité aux applications et aux données qui la portent. Ce lien transforme une liste de systèmes en ordre de priorité.
C'est la question la plus simple à poser et la plus souvent laissée de côté. Pour chaque sujet identifié, qui décide, qui applique, qui contrôle ? Un écart technique se corrige une fois. Un écart de répartition des rôles se reproduit tant que personne ne l'a nommé. Dans les organisations sans responsable de la sécurité des systèmes d'information, le RSSI, cette responsabilité se partage entre la direction des systèmes d'information et la direction générale, à une condition : que le partage soit écrit.
Ces quatre chantiers correspondent aux sujets qui reviennent le plus souvent en tête de priorité une fois le constat posé. On les retrouve dans le guide d'hygiène informatique de l'ANSSI.
Un accès est le chemin le plus emprunté dans un système d'information, y compris par des personnes qui n'y ont plus droit. Le chantier consiste à savoir qui possède un compte, avec quels droits, et à retirer ceux qui ne servent plus. Il inclut l'authentification multifacteur, l'ajout d'une seconde preuve d'identité au mot de passe, en commençant par les comptes d'administration.
Une vulnérabilité connue est une faiblesse publiée par l'éditeur d'un logiciel, accompagnée du correctif qui la comble. Le chantier ne consiste pas à tout mettre à jour en permanence, ce que peu d'organisations tiennent. Il consiste à savoir quels systèmes sont concernés, à qualifier ceux qui sont réellement exposés, et à traiter d'abord ceux qui portent une activité sensible.
Une sauvegarde n'a de valeur que si elle a été restaurée au moins une fois. Le chantier porte sur trois points : ce qui est sauvegardé, où les copies sont conservées, et la vérification qu'une restauration fonctionne. Une copie tenue hors de portée du système qu'elle protège reste le principe le plus robuste. Le sujet ouvre sur la continuité d'activité et la résilience numérique.
Les trois premiers chantiers réduisent l'exposition. Le quatrième prépare ce qui se passe lorsqu'un incident survient malgré tout : quels événements sont enregistrés, qui les regarde, et ce qui est déclenché lorsqu'une alerte remonte. Ce chantier relève de la supervision, de la détection et de la réponse aux incidents.
Bon à savoir
Une vulnérabilité et un risque ne sont pas la même chose. La vulnérabilité est une faiblesse technique, mesurable et documentée. Le risque combine cette faiblesse avec ce qu'elle permettrait d'atteindre et avec l'importance de l'activité concernée. Deux organisations qui hébergent la même vulnérabilité ne portent donc pas le même risque.
Trois missions peuvent servir de point de départ. Elles ne répondent pas à la même question et ne produisent pas le même document.
| Critère | Audit technique | Analyse des risques | Diagnostic de gouvernance |
|---|---|---|---|
| Ce que vous cherchez à savoir | Ce qui est techniquement faible et exposé aujourd'hui | Ce qui pèse le plus sur vos activités si un incident survient | Si les rôles, les règles et les décisions sont en place |
| Ce que la mission produit | Des constats qualifiés par criticité, chacun associé à une recommandation | Une cartographie croisant criticité technique et impact sur l'activité | Un état des rôles et des procédures, avec les écarts au référentiel |
| Quand c'est la bonne porte | Vous connaissez votre périmètre et voulez le mettre à l'épreuve | Vous devez arbitrer un budget et justifier l'ordre des chantiers | Un régulateur ou un client vous demande des garanties |
| Sa limite | Il ne hiérarchise pas selon l'importance des activités | Elle ne remplace pas la vérification technique sur le terrain | Il ne dit rien du niveau technique réel |
Dans la pratique, ces trois portes se combinent. Si vous ne devez en choisir qu'une, prenez celle qui répond à la question que votre direction pose réellement.
L'ordre ne se déduit pas de la sévérité technique seule. Un risque techniquement sévère porté par une application que personne n'utilise ne passe pas avant un risque moyen situé sur la chaîne qui porte votre activité principale. Cette règle paraît évidente et se trouve rarement écrite noir sur blanc.
Trois critères suffisent à trancher : l'impact sur une activité que vous ne pouvez pas interrompre, l'existence d'une exigence réglementaire applicable, et l'effort réel de mise en œuvre. Le premier domine les deux autres. Le troisième sert à séquencer : à impact équivalent, engagez d'abord ce que vos équipes peuvent tenir dans la durée.
Cet ordre gagne à être validé ailleurs qu'en réunion technique, parce que les arbitrages budgétaires se prennent plus haut. C'est le rôle de la gouvernance des risques et de la conformité : donner à ces décisions un cadre, un rythme de revue et un responsable identifié. Lorsque des données personnelles entrent dans le périmètre, la CNIL publie une page dédiée à la sécurité des données qui précise les attentes applicables.
Une démarche de sécurité qui ne se mesure pas finit par se discuter à l'instinct. Quelques indicateurs simples suffisent au départ, à condition d'être suivis dans le temps : la part des comptes d'administration protégés par une authentification multifacteur, le délai entre la publication d'un correctif et son application sur les systèmes sensibles, le nombre de restaurations de sauvegarde testées.
Ces indicateurs parlent à une direction générale sans exiger de vocabulaire technique. Ils permettent aussi de dire ce qui n'a pas avancé, ce qui vaut mieux qu'un tableau uniformément vert. Un indicateur qui stagne ouvre une discussion utile sur les moyens disponibles.
La mesure ne remplace pas la compétence. Une organisation progresse durablement lorsque ses équipes comprennent ce qu'elles appliquent, ce qui passe par des parcours de formation adaptés aux profils concernés.
Une organisation peut engager seule les trois préalables et une partie des quatre chantiers. Beaucoup le font, et c'est une bonne chose. Un cabinet extérieur apporte ce que l'interne obtient difficilement : un regard qui n'a pas participé aux décisions passées, une méthode éprouvée dans d'autres contextes, et un temps dédié que l'exploitation courante ne reprendra pas.
Chez SECFONOPS, la démarche suit notre méthode en six étapes. Le principe qui la porte tient en une phrase : comprendre avant d'agir, prioriser avant d'investir et transmettre les compétences pour rendre nos clients progressivement autonomes.
Nous ne nous arrêtons pas au document de constat, ce qui suppose de rester présent pendant la mise en œuvre. Notre objectif n'est pas de promettre le risque zéro. Il est de vous permettre de connaître vos risques, de les réduire et de réagir lorsqu'un incident survient.
Au terme des trois préalables et du premier chantier, vous ne serez à l'abri de rien de plus qu'avant, et aucune organisation ne l'est jamais totalement. Vous saurez en revanche ce que contient votre système d'information, quelles activités il porte, qui décide de quoi, et quels risques passent avant les autres. Vous pourrez répondre à votre comité de direction avec des éléments écrits plutôt qu'avec une impression.
C'est ce qui permet de passer d'une sécurité subie à une sécurité maîtrisée et pilotée. Cette bascule ne demande pas de tout entreprendre en même temps. Elle demande de commencer par le constat, de choisir un ordre défendable et de tenir ce rythme.
À retenir
Commencez par le constat, pas par l'achat. Écrivez ce que contient votre système d'information, les activités qu'il porte et le nom des responsables. Ouvrez ensuite les accès, les correctifs, les sauvegardes et la détection, dans l'ordre que dicte l'impact sur votre activité.
Les trois préalables ne demandent pas d'investissement technique, mais du temps de vos équipes et une décision de la direction sur qui porte le sujet. Les premiers chantiers, en particulier la revue des accès, reposent davantage sur des règles que sur des achats. Le budget devient une question réelle au moment de la feuille de route.
Elles le peuvent, et sur plusieurs sujets elles le feront mieux que quiconque parce qu'elles connaissent le terrain. Deux difficultés reviennent : le temps disponible, souvent repris par l'exploitation courante, et le recul par rapport à des décisions passées auxquelles elles ont participé. Un accompagnement extérieur ne les remplace pas, il leur apporte un cadre et un rythme.
ISO 27001 est la norme internationale qui définit un système de management de la sécurité de l'information. Elle devient utile lorsqu'un client, un régulateur ou un marché la demande, et lorsque le constat est déjà posé. La viser comme tout premier objectif conduit souvent à produire de la documentation avant d'avoir traité les sujets qu'elle encadre.
C'est l'hésitation la plus fréquente, et elle est légitime. Un diagnostic qui se termine par la remise d'un document laisse l'organisation seule au moment le plus exigeant, celui de la mise en œuvre. Chez SECFONOPS, chaque action de la feuille de route porte un responsable, une échéance décidée avec vous et un point de revue, suivis sur notre plateforme de pilotage.
Non, et une cartographie qui conduirait à tout traiter serait mal construite. Une partie des risques est acceptée en connaissance de cause, parce que leur impact reste limité ou parce que le coût du traitement dépasse l'enjeu. Ce qui compte, c'est que cette acceptation soit écrite, datée et portée par une personne identifiée.
Demandez à voir la façon dont elles sont formulées avant de vous engager. Une recommandation applicable désigne un système précis, un responsable possible et un effort estimé dans votre contexte. Une recommandation générique recopie une bonne pratique issue d'un référentiel. C'est le critère qui sépare un document utile d'un document rangé dans un tiroir.
Le premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
secfonops