Cartographie réelle des risques, incidents passés, réflexes de réponse : un savoir critique concentré sur peu de personnes.
SOC, RSSI et équipes sécurité, de 5 à 200 personnes.
L'inventaire existe, la politique de sécurité est écrite, les tableaux de bord tournent. Ce qui part, c'est l'écart entre cette documentation et la réalité du réseau.
Cartographie
Les dépendances effectives, les interconnexions héritées d'une fusion, les systèmes que personne n'a jamais inventoriés. La carte officielle ne correspond jamais à ce qui est branché, et une seule personne connaît la différence.
Dérogations
Une application maintenue malgré une vulnérabilité connue, parce que la corriger coûtait plus cher que le risque estimé. La décision était raisonnable. Après le départ, il ne reste qu'une vulnérabilité sans propriétaire.
Incidents
Le ticket décrit la remédiation. Il ne décrit ni l'hypothèse écartée, ni le signal qui a mis sur la piste, ni ce qu'on ferait autrement. Au prochain incident du même type, l'équipe repart de zéro.
15 000
Postes de cybersécurité vacants en France. Remplacer un RSSI prend des mois, pendant lesquels la cartographie réelle n'existe nulle part.
OPIIEC et ANSSI
Ces trois pertes n'exposent ni au même risque ni dans le même délai. Voici comment les hiérarchiser.
Ce tableau se remplit en une réunion. Vous en sortez avec la liste de ce qui disparaîtrait au prochain départ, dans l'ordre où il faut le traiter. Il vous appartient, même si nous n'allons pas plus loin ensemble.
| Critère | Porté par | Documenté | Coût si la personne part |
|---|---|---|---|
| Cartographie réelle de l'exposition | Une à deux personnes | Inventaire théorique | Angle mort exploité |
| Historique des incidents et de leur traitement | L'équipe SOC | Tickets, sans l'analyse | Réponse plus lente au prochain incident |
| Dérogations accordées et leurs justifications | Le RSSI | Partiellement | Risques acceptés que personne n'assume plus |
Cartographie réelle de l'exposition
Historique des incidents et de leur traitement
Dérogations accordées et leurs justifications
Les entretiens sont menés par quelqu'un qui a tenu un poste de sécurité. C'est ce qui permet de relancer sur une dérogation qu'un RSSI juge trop évidente pour l'expliquer, et de recueillir une fragilité sans que la personne se sente mise en cause.
Avant
Nous listons avec vous les personnes à interroger et les sujets à écarter : toute vulnérabilité non corrigée et son mode d'exploitation, les secrets et configurations de sécurité, les tests d'intrusion en cours de remédiation. Vous validez ce périmètre avant le premier entretien.
Pendant
Sur site, sans capture d'écran ni enregistrement des configurations, sur plusieurs séances. La personne montre autant qu'elle explique, et l'expert relance sur ce qu'elle a sauté parce que cela lui paraissait évident.
Ensuite
Vos analyses de risque et vos comptes rendus d'incident existent déjà, mais personne ne sait lequel s'applique à quel cas. Ils sont rattachés aux explications qui leur donnent leur sens, au lieu de rester rangés à côté.
À la fin
Rien n'est mis à disposition de vos équipes sans son accord. C'est la condition pour qu'elle parle librement pendant les entretiens, et c'est ce qui sépare un recueil d'un contrôle.
Une fois les entretiens terminés, voici ce qu'une équipe a devant elle pendant une astreinte.
Le patrimoine, c'est l'outil interne qui contient leurs réponses et vos documents de gouvernance, et que vos équipes interrogent en français.
Quels accès de secours et quelles vulnérabilités tolérées sur le périmètre industriel ?
Voix du RSSI sortant
Le compte de secours hors annuaire est scellé chez le prestataire d'infogérance, procédure d'ouverture à deux personnes. Deux vulnérabilités sont tolérées en connaissance de cause : l'automate de la ligne 2, non patchable sans arrêt de production, isolé par VLAN et surveillé en flux ; et l'accès distant du fournisseur de maintenance, restreint à une plage horaire et journalisé depuis l'incident de 2022 .
Sources
Interface illustrative
Ce qu'on peut lui demander
L'accès se restreint par profil et par besoin d'en connaître. Un patrimoine de sécurité est utile et concentrant pour la même raison.
La directive NIS 2 impose de documenter la gouvernance du risque et la gestion d'incident. Le recueil produit cette documentation, en excluant strictement ce qui décrirait une vulnérabilité exploitable.
Recueilli et consultable
Exclu, sans exception
Le cadre juridique
La directive NIS 2, transposée en France, impose aux entités essentielles et importantes de documenter leur gouvernance du risque et leur gestion d'incident. Un patrimoine de savoir sécurité est utile et dangereux pour la même raison : il concentre. L'accès se restreint donc par profil et par besoin d'en connaître, l'hébergement reste chez vous, et les éléments qui décriraient une vulnérabilité exploitable sont exclus du périmètre.
Si une personne concentre la connaissance de votre exposition, la première situation vous concerne. Sinon, commencez par voir où sont les dépendances.
Métier voisinInformatique & DéveloppementMême concentration du savoir, sur le code plutôt que sur l'exposition.
Métier voisinIA & DataLes équipes data ont la même obligation de documentation qui arrive, avec l'AI Act.