Le problème
Beaucoup d’organisations investissent en sécurité sans disposer d’une vue d’ensemble. Les décisions se prennent au rythme des incidents, des sollicitations commerciales ou des exigences d’un client. Il en résulte des dispositifs coûteux et mal articulés : des outils achetés mais peu exploités, des politiques rédigées mais non appliquées, des responsabilités que personne ne porte vraiment.
Les enjeux et les risques
L’absence de cap produit deux effets symétriques. D’un côté, des zones durablement découvertes parce qu’elles n’ont jamais été identifiées. De l’autre, des dépenses engagées sur des sujets secondaires. Dans les deux cas, la direction ne dispose d’aucun moyen de vérifier que le budget sécurité produit un effet.
S’ajoute une difficulté propre aux organisations en croissance : ce qui fonctionnait à vingt personnes ne tient plus à deux cents, et le moment de la bascule passe rarement inaperçu une fois qu’il est dépassé.
La prestation
Nous intervenons en amont des choix techniques, sur la manière dont la sécurité est décidée, pilotée et financée dans votre organisation :
- évaluation de la maturité en cybersécurité, au regard d’un référentiel reconnu adapté à votre taille et à votre secteur ;
- diagnostic de la posture de sécurité : ce qui est en place, ce qui est en place mais inopérant, ce qui manque ;
- élaboration d’une stratégie de sécurité articulée aux objectifs de l’organisation et à ses contraintes budgétaires ;
- définition et révision des politiques de sécurité, pour qu’elles soient applicables plutôt qu’exhaustives ;
- clarification des responsabilités et des instances de décision ;
- construction d’un plan d’action séquencé, chiffré en charge et assorti de jalons ;
- aide à la priorisation lorsque les demandes dépassent les moyens disponibles, ce qui est la situation normale ;
- accompagnement dans la durée sur l’exécution et la révision du plan.
Notre méthode
- Entretiens. Direction, informatique, métiers. Les écarts entre ces trois lectures sont souvent le diagnostic lui-même.
- Revue documentaire et terrain. Nous comparons systématiquement ce qui est écrit à ce qui est appliqué.
- Positionnement. Évaluation par domaine, avec un niveau cible proportionné à vos enjeux réels, et non un maximum théorique.
- Arbitrage. Atelier de priorisation avec les décideurs, où les contraintes de budget et de charge sont posées explicitement.
- Feuille de route. Actions, responsables, charge estimée, séquencement et critères de réussite.
- Suivi. Points d’avancement et révision périodique, selon la cadence qui vous convient.
Les livrables
- un rapport de maturité par domaine, avec la position actuelle et la cible retenue ;
- une synthèse de direction présentant les écarts majeurs et leurs conséquences possibles ;
- une feuille de route pluriannuelle, séquencée et chiffrée en charge ;
- les politiques et procédures élaborées ou révisées pendant la mission ;
- un support de présentation destiné au comité de direction ou au conseil.
Ce que cela change
Les décisions de sécurité cessent d’être réactives. La direction dispose d’un document qui explique ce qui est fait, pourquoi, dans quel ordre et pour quel coût. Les équipes savent ce qu’on attend d’elles sur l’année. Et lorsqu’un client ou un assureur pose la question, la réponse existe déjà.
Prochaine étape
Un premier échange d’une heure suffit généralement à déterminer la profondeur d’évaluation pertinente et la charge associée.