Après le diagnostic
Un diagnostic vous dit où vous en êtes aujourd'hui. Le pilotage vous dit ce qui avance, ce qui bloque et ce qu'il reste à traiter.
Les objets du pilotage
À la revue suivante, la question posée en comité n'est plus « où en sommes-nous ? » mais « qu'avons-nous traité depuis, et pourquoi celui-là plutôt qu'un autre ? ». Ces objets, tenus à jour ensemble.
Le langage commun sans lequel aucune priorité ne se discute sereinement. C'est elle qui bouge d'abord quand le périmètre évolue : une entité de plus à suivre, un système qui change de rôle. Sans cette mise à jour, la revue suivante arbitre sur un état qui n'existe plus.
Sa construction relève du pôle Risques ITChaque constat est rattaché au système et au métier qu'il concerne, puis classé selon sa criticité et son impact. Un constat se déclasse quand il se révèle inatteignable dans votre configuration, quand son système sort du périmètre, ou quand un autre passe devant. Vous obtenez un ordre de traitement argumenté, non une liste brute.
Un plan d'action priorisé, adapté à vos moyens, avec des objectifs mesurables et une trajectoire réaliste. D'une revue à l'autre, ce sont les échéances qui bougent, rarement les objectifs : une contrainte change, la trajectoire se redessine, et l'écart est expliqué au comité plutôt que constaté.
Le suivi des plans de remédiation, c'est-à-dire de la correction effective des faiblesses identifiées. Un plan tient quand ce qui était ouvert se referme, et quand le niveau de maturité, le degré de solidité de vos pratiques, progresse d'une revue à l'autre, entité par entité.
Ce que le pilotage installe
Ce qu'il n'est pas
Une promesse de sécurité absolue demande qu'on la croie. Une trajectoire mesurée se vérifie, revue après revue.
Le geste central
Le pilotage n'est pas une phase ajoutée en fin de mission. Il commence à l'étape qui classe les risques, et il ne se referme pas.
Ce même arbitrage se rejoue à la revue suivante : c'est ce qui sépare un pilotage d'un rapport. Les étapes qui précèdent, écouter et diagnostiquer, disent où vous en êtes ; celle-ci décide de l'ordre, et le redécide quand le périmètre évolue.
Lecture par rôle
Un dirigeant, un directeur des systèmes d'information (DSI), un responsable de la sécurité des systèmes d'information (RSSI) et un responsable des risques ne regardent pas la même chose, mais ils doivent décrire la même réalité.
| Rôle | La question qu'il pose | Ce qu'il peut trancher ensuite |
|---|---|---|
| Dirigeant | Qu'est-ce qui a progressé depuis la dernière revue ? | Les arbitrages qui ne relèvent que de lui : ce qui attend un moyen, une décision ou un choix entre deux priorités |
| DSI | Quels chantiers sont ouverts, et qu'est-ce qui les ralentit ? | La replanification des actions engagées, en fonction de leurs porteurs et des dépendances qui bloquent |
| RSSI | Quelles faiblesses restent à traiter, et dans quel ordre ? | L'ordre dans lequel les faiblesses sont reprises, et sa justification |
| Responsable des risques ou de la conformité | Sommes-nous en règle avec les exigences qui nous concernent ? | La conduite à tenir sur les écarts restants au regard des référentiels applicables, ces cadres de règles que votre activité doit respecter |
Un même fond, lu à des niveaux de détail différents.
La réduction de ces écarts et la préparation d'une certification relèvent du pôle Conformité et gouvernance.
Voir le pôleEn mission
Qualifier, prioriser, planifier, mesurer : la logique ne change pas d'un périmètre à l'autre. Voici ce que cela donne sur un parc informatique réparti entre plusieurs entités.
Cas client, secteur logement
Grand groupe du secteur du logement
Améliorer la visibilité sur les vulnérabilités du parc informatique et structurer le traitement des risques sur plusieurs entités.
Mise en œuvre et administration des outils de détection, qualification des constats, priorisation des risques, suivi des plans de remédiation et tableaux de bord de pilotage.
Meilleure visibilité sur l'exposition, priorisation plus efficace de la remédiation, pilotage plus structuré à l'échelle des entités.
Le secteur et le point de départ changent d'une mission à l'autre. Ce qui ne change pas tient à notre manière de travailler.
Ce qui revient le plus souvent
Avant de vous engager
La cartographie des risques, la feuille de route et les arbitrages qui les justifient : ce sont vos documents de travail, pas nos livrables. Encore faut-il que vos équipes sachent tenir ces documents sans nous.
Non, et nous préférons le dire clairement. Notre objectif n'est pas de promettre le risque zéro : il est de vous permettre de connaître vos risques, de les réduire et d'être capables de réagir lorsqu'un incident survient. Le pilotage sert cette capacité.
Sur la méthode
Les étapes suivantes de notre méthode prennent le relais : feuille de route, mise en œuvre accompagnée avec montée en compétence, puis mesure et ajustement. Nous cadrons dès le premier échange ce qui se passera après la remise des constats, et qui en portera la charge.
Nous croisons la criticité technique du constat, son impact sur votre activité et les exigences réglementaires qui s'appliquent à vous. Une faiblesse jugée sévère sur un référentiel public peut se révéler inatteignable dans votre configuration. Ce travail relève du pôle Cyber-opérations.
Oui, et c'est souvent le point de départ de la demande. Sur une mission menée pour un grand groupe du secteur du logement, le suivi des risques portait sur plusieurs entités, avec des tableaux de bord de pilotage. La difficulté est de s'accorder sur une échelle de criticité commune.
Ce qui a été traité depuis la dernière revue, ce qui reste ouvert et dans quel ordre, et les arbitrages qui reviennent au comité. Une direction n'a pas besoin du détail des constats, elle a besoin de savoir si le plan tient.
Vos équipes gardent la main. Nous intervenons en complément de vos équipes, jamais à leur place : nous installons le dispositif, nous le tenons avec elles, et nous transmettons les compétences permettant de faire progresser votre niveau de maturité dans le temps.
Découvrir les parcours de formationLe premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
secfonops