Définis rôles, politiques, sensibilisation et exigences fournisseurs

L’idée reçue

« La cybersécurité appartient uniquement à l’équipe informatique. »

Les équipes techniques exécutent de nombreux contrôles, mais la direction, les propriétaires métier, les achats, les RH, le juridique et les fournisseurs prennent aussi des décisions qui créent ou réduisent le risque.

01Commence par la fonction Govern

Le NIST CSF 2.0 place Govern au même niveau que Identify, Protect, Detect, Respond et Recover.

Direction
→ définit les priorités et accepte le risque

Propriétaire métier
→ exprime les impacts et besoins

Responsable du contrôle
→ met en œuvre et maintient

Équipe de sécurité
→ conseille, vérifie et coordonne

Utilisateurs
→ appliquent les règles et signalent

02Utilise un RACI sans diluer la décision

Accountable
→ répond du résultat et tranche

Responsible
→ réalise le travail

Consulted
→ apporte une expertise avant décision

Informed
→ reçoit l'information nécessaire

Une activité peut avoir plusieurs responsables opérationnels, mais son autorité finale doit rester claire.

03Construis une politique exploitable

Une politique utile précise :

objectif
périmètre
rôles
règles obligatoires
exceptions
preuves attendues
fréquence de revue
conséquences et escalade
approbation

Un brouillon stocké dans un dossier ne constitue pas une règle approuvée.

04Gouverne les exceptions

Demandeur
Actif et contrôle concernés
Justification
Risque résiduel
Contrôle compensatoire
Autorité d'acceptation
Date d'expiration
Révision
Fermeture

Une exception sans échéance devient une réduction permanente et invisible du niveau de sécurité.

05Adapte la sensibilisation

Public

Besoin

Preuve

Tous les employés

phishing, signalement, données, mots de passe

participation et exercice

Administrateurs

comptes privilégiés, changement, preuves

formation et scénario technique

Direction

risque, crise, décision, communication

exercice de table

Développeurs

secrets, dépendances, revue et livraison

contrôles dans le pipeline

Achats

due diligence et clauses fournisseur

dossier d’évaluation

Un quiz annuel unique ne démontre pas que les comportements utiles sont maîtrisés.

06Traite les fournisseurs comme des dépendances

Les risques concernent notamment :

accès administrateur
traitement des données
composants logiciels
sauvegarde et reprise
hébergement
connectivité
sous-traitants
fin de contrat

La visibilité diminue souvent lorsque plusieurs niveaux de sous-traitance interviennent.

07Effectue une due diligence proportionnée

Le NIST SP 1326, publié en juillet 2026, propose un guide rapide de due diligence des fournisseurs ICT compatible avec SP 800-161 Rev. 1.

Provenance
Résilience
Pratiques cyber fondamentales
Niveaux de sous-traitance
Contexte de propriété ou contrôle pertinent
Preuves disponibles

La profondeur de l’évaluation dépend de la criticité et des données confiées.

08Définis les clauses essentielles

- contrôle des accès
- notification d'incident
- gestion des vulnérabilités
- sauvegarde et restauration
- conservation et restitution des logs
- localisation et sous-traitance
- suppression et réversibilité
- audit ou attestations
- fin de contrat
- contacts de crise

Une clause n’est utile que si un responsable sait la vérifier et l’activer.

09Observe la gouvernance synthétique

lab=/tmp/soria-cyber-governance-response-$USER
bash module5-cyber-governance-response-project.sh setup "$lab"
bash module5-cyber-governance-response-project.sh run "$lab"
column -s, -t "$lab/output/governance-review.csv"
column -s, -t "$lab/output/supplier-review.csv"

Résultats clés :

GOV-103 → BLOCK_UNAPPROVED
GOV-106 → BLOCK_NO_EXCEPTION_PROCESS
SUP-104 → BLOCK_EXIT_AND_RECOVERY
SUP-105 → BLOCK_SUPPLIER_ASSURANCE

10Ne confonds pas contrat et assurance

Clause présente
≠ contrôle réellement mis en œuvre

Certification fournie
≠ périmètre pertinent pour ton service

SLA disponible
≠ capacité de reprise testée

Questionnaire rempli
≠ preuves vérifiées

Mission

Gouverne SORIA Distribution

Corrige les deux blockers de gouvernance et les deux blockers fournisseurs. Pour chaque action, désigne l’autorité, l’exécutant, la preuve, l’échéance et le risque résiduel.

✓À retenir

La gouvernance rend les décisions explicites et durables. Une politique sans propriétaire, une exception sans expiration ou un fournisseur sans sortie maîtrisée restent des risques ouverts.