Construis une baseline de contrôles et un dossier de preuves

L’idée reçue

« Cocher une liste de contrôles suffit à démontrer la sécurité. »

Une baseline indique ce qui doit exister. Le dossier de preuves montre ce qui est réellement mis en œuvre, où, par qui, depuis quand et avec quel résultat.

01Définis une baseline contextuelle

Mission et actifs
→ risques prioritaires
→ exigences
→ contrôles minimaux
→ preuves
→ fréquence de test

Une baseline de PME, d’hôpital ou de plateforme cloud ne doit pas être identique par défaut.

02Couvre les six fonctions

Govern
→ rôles, politiques, fournisseurs, risque

Identify
→ actifs, dépendances, vulnérabilités

Protect
→ identités, données, sauvegardes, durcissement

Detect
→ journaux, alertes, triage

Respond
→ contacts, analyse, communication, confinement autorisé

Recover
→ restauration, continuité, amélioration

Une baseline centrée uniquement sur Protect laisse les décisions, la détection et la reprise sans preuve.

03Relie chaque contrôle

Contrôle
Propriétaire
Périmètre
Configuration attendue
Preuve
Méthode de test
Fréquence
Dernier résultat
Exception éventuelle

Le propriétaire du contrôle n’est pas toujours le propriétaire métier du risque.

04Distingue les niveaux de preuve

Preuve

Ce qu’elle montre

Limite

Politique approuvée

intention et autorité

ne prouve pas l’exécution

Configuration exportée

état déclaré d’un système

peut être partielle ou ancienne

Log horodaté

événement observé

ne prouve pas la couverture complète

Test contrôlé

comportement dans un scénario

dépend du périmètre et des conditions

Validation métier

résultat acceptable pour la mission

ne remplace pas la preuve technique

05Contrôle la qualité de la preuve

Authenticité
→ origine identifiable

Intégrité
→ contenu non altéré ou checksum

Fraîcheur
→ date compatible avec le risque

Périmètre
→ actifs réellement couverts

Reproductibilité
→ méthode documentée

Résultat
→ succès, échec et écarts visibles

06Observe la baseline synthétique

lab=/tmp/soria-cyber-governance-response-$USER
bash module5-cyber-governance-response-project.sh setup "$lab"
bash module5-cyber-governance-response-project.sh run "$lab"
column -s, -t "$lab/output/baseline-evidence.csv"

Deux contrôles sont bloqués :

CTRL-DE-02 → procédure de triage déclarée sans preuve
CTRL-RS-02 → autorisation de confinement déclarée sans preuve

07Ne transforme pas une absence de preuve en succès

« Aucun incident signalé »
≠ détection efficace

« Aucun échec de restauration »
≠ restauration testée

« MFA activée »
≠ tous les comptes sensibles couverts

« Fournisseur certifié »
≠ service et périmètre évalués

L’absence d’observation peut révéler une absence de mesure.

08Gère la fraîcheur

Contrôle stable et faible risque
→ revue moins fréquente possible

Identité privilégiée ou exposition Internet
→ preuve plus fréquente

Changement majeur
→ nouvelle vérification

Incident ou échec
→ réévaluation immédiate

Le lab marque CTRL-RC-02 comme RETEST_OVERDUE : le processus existe, mais son dernier exercice est trop ancien.

09Construis un dossier navigable

01-contexte-et-perimetre/
02-risques/
03-controles/
04-preuves-techniques/
05-tests-et-resultats/
06-exceptions/
07-actions-correctives/
08-validations/

Les secrets et données personnelles doivent être retirés ou protégés avant partage du dossier.

10Évite la preuve fabriquée pour l’audit

Une preuve utile provient du fonctionnement normal ou d’un test planifié.

Capture isolée faite le jour de l'audit
→ faible continuité

Export automatisé et test périodique
→ historique et comparabilité

Mission

Ferme deux écarts de preuve

Pour CTRL-DE-02 et CTRL-RS-02, définis la preuve attendue, la méthode de test, le propriétaire, la fréquence et le critère de réussite sans prétendre qu’un système réel a été validé.

✓À retenir

Une baseline fixe le minimum attendu. Un dossier de preuves relie ce minimum à un état observé et testable, avec ses échecs, exceptions et actions correctives.