D\u00e9couvrez comment Citalid transforme le risque cyber en langage commun pour les dirigeants<\/p>D\u00c9COUVRIR LA GOUVERNANCE CYBER <\/a><\/div><\/section>\r\n\r\nCe que le ReCyF apporte de d\u00e9cisif, c’est la distinction entre l’objectif de s\u00e9curit\u00e9, l’obligation, le \u00ab\u00a0Quoi\u00a0\u00bb, d’application strictement obligatoire et les moyens acceptables de conformit\u00e9 comprenant les mesures propos\u00e9es par l’ANSSI, le \u00ab\u00a0Comment\u00a0\u00bb, dont l’application n’est pas obligatoire mais qui permettent de d\u00e9montrer l’atteinte de l’objectif. Ce cadre offre une certaine souplesse aux entit\u00e9s tout en posant des jalons non n\u00e9gociables.\r\nQuatre piliers pour structurer la cybers\u00e9curit\u00e9 des entit\u00e9s r\u00e9gul\u00e9es<\/h2>\r\nLe ReCyF organise ses vingt objectifs de s\u00e9curit\u00e9 autour de quatre piliers compl\u00e9mentaires, formant un mod\u00e8le coh\u00e9rent de gestion du risque cyber :\r\n
Gouvernance<\/h3>\r\nC’est le socle. Les objectifs 1, 2, 3, 4, 16 et 17 imposent aux entit\u00e9s de recenser leurs syst\u00e8mes d’information, de mettre en place un cadre de gouvernance<\/a> sous la responsabilit\u00e9 du dirigeant ex\u00e9cutif, de ma\u00eetriser leur \u00e9cosyst\u00e8me de prestataires et fournisseurs, d’int\u00e9grer la s\u00e9curit\u00e9 num\u00e9rique dans la gestion RH, et pour les entreprises essentielles, d’adopter une approche par les risques et des audits r\u00e9guliers. La gouvernance n’est pas un pr\u00e9ambule : c’est le moteur de toute la d\u00e9marche.\r\n
Protection<\/h3>\r\nLes objectifs 5 \u00e0 11, 18 et 19 constituent le c\u0153ur technique du r\u00e9f\u00e9rentiel : cartographie et maintien en condition op\u00e9rationnelle des SI, ma\u00eetrise des acc\u00e8s physiques et distants, protection contre les codes malveillants, gestion des identit\u00e9s et des acc\u00e8s, administration s\u00e9curis\u00e9e. Pour les entreprises essentielles, s’y ajoutent la s\u00e9curisation de la configuration des ressources et l’administration depuis des postes d\u00e9di\u00e9s. Ces mesures r\u00e9pondent aux vecteurs d’attaque les plus document\u00e9s.\r\n
D\u00e9fense<\/h3>\r\nLes objectifs 12 et 20 abordent la d\u00e9tection et la r\u00e9action. La proc\u00e9dure de traitement des incidents, la collecte des signalements, la conservation des preuves techniques, et pour les entit\u00e9s essentielles, la supervision de s\u00e9curit\u00e9 dimensionn\u00e9e pour traiter les \u00e9v\u00e9nements en moins de 24 heures ouvr\u00e9es : autant d’obligations qui transforment la posture r\u00e9active des entit\u00e9s.\r\n
R\u00e9silience<\/h3>\r\nLes objectifs 13, 14 et 15 ferment la marche. Plans de continuit\u00e9 et de reprise d’activit\u00e9 adapt\u00e9s aux sc\u00e9narios cyber, gestion de crise, exercices et entra\u00eenements r\u00e9guliers : la r\u00e9silience ne s’improvise pas, elle se construit et se teste.\r\n
La responsabilit\u00e9 des dirigeants : la plus grande marche de NIS 2<\/h2>\r\nLa notion de responsabilit\u00e9 des dirigeants est sans doute la rupture la plus profonde port\u00e9e par le ReCyF. Et elle m\u00e9rite qu’on s’y penche.\r\n
La fin de l’alibi de la d\u00e9l\u00e9gation technique<\/h3>\r\nL’objectif de s\u00e9curit\u00e9 2 est sans ambigu\u00eft\u00e9 : le dirigeant ex\u00e9cutif est nominalement responsable de la s\u00e9curit\u00e9 num\u00e9rique au sein de son entit\u00e9<\/a><\/strong>. Il approuve personnellement la politique de s\u00e9curit\u00e9 des syst\u00e8mes d’information (PSSI), r\u00e9pond de la conformit\u00e9 de son entit\u00e9 devant l’ANSSI, et voit sa responsabilit\u00e9 directement engag\u00e9e en cas de manquement.\r\n\r\nCe n’est donc plus un sujet technique : c’est une discipline de direction<\/strong>.\r\n\r\nLa PSSI doit inclure notamment :\r\n
\r\n \t
\u00catre sensibilis\u00e9 seulement ne suffit plus. Il faut d\u00e9cider, arbitrer, financer, superviser.<\/blockquote>\r\n
L’analyse de risques : moteur du pilotage strat\u00e9gique<\/h3>\r\nL’objectif de s\u00e9curit\u00e9 16, r\u00e9serv\u00e9 aux entit\u00e9s essentielles, va plus loin encore. Il impose que l’analyse de risques soit le moteur du pilotage de la strat\u00e9gie de s\u00e9curit\u00e9. Ce n’est donc pas seulement \u00eatre responsable du r\u00e9sultat, c’est aussi rendre compte des arbitrages effectu\u00e9s.\r\n\r\nConcr\u00e8tement, cette gouvernance par les risques doit :\r\n
\r\n \t
Quel comit\u00e9 ex\u00e9cutif peut aujourd’hui dire qu’il dispose d’une repr\u00e9sentation du risque cyber suffisante pour exercer cette responsabilit\u00e9 ?<\/blockquote>\r\n
Des cons\u00e9quences r\u00e9elles : sanctions, responsabilit\u00e9 civile, exposition personnelle<\/h3>\r\nLes cons\u00e9quences du non-respect de ces obligations ne sont pas abstraites. Le risque cyber est intrins\u00e8quement li\u00e9 au risque juridique, et il p\u00e8se sur la personne physique qui le porte. Sanctions administratives de l’ANSSI en cas de contr\u00f4le d\u00e9favorable, responsabilit\u00e9 civile en cas d’incident r\u00e9sultant d’un d\u00e9faut de gouvernance, atteinte \u00e0 la r\u00e9putation de l’entit\u00e9 et de ses dirigeants : l’enjeu est consid\u00e9rable.\r\n\r\nEt l’obligation porte un plan d’action qui ne pr\u00e9juge pas de l’appr\u00e9ciation du respect des obligations l\u00e9gales et r\u00e9glementaires lors d’un contr\u00f4le de l’ANSSI. Autrement dit, avoir un plan ne prot\u00e8ge pas si les mesures ne sont pas effectivement mises en \u0153uvre.\r\n
Du risque subi au risque pilot\u00e9 : la valeur de la quantification financi\u00e8re du risque<\/h2>\r\nFace \u00e0 ces obligations, une question se pose avec acuit\u00e9 : avec quels outils les dirigeants peuvent-ils r\u00e9ellement exercer cette responsabilit\u00e9 ?\r\n\r\nTant que le risque cyber n’est pas clairement exprim\u00e9 en termes financiers, compr\u00e9hensibles et comparables aux autres risques de l’organisation, il ne peut pas faire l’objet d’un arbitrage strat\u00e9gique. Les cartographies traditionnelles produisent des scores et une illusion de contr\u00f4le, l\u00e0 o\u00f9 la gouvernance ex\u00e9cutive a besoin de d\u00e9cisions rationnelles, document\u00e9es, tra\u00e7ables.\r\n\r\nC’est pr\u00e9cis\u00e9ment le r\u00f4le de la Cyber Risk Quantification<\/a> (CRQ), l’approche au c\u0153ur de Citalid.\r\n
Une r\u00e9ponse quasi-directe \u00e0 l’OS 16<\/h3>\r\nBien qu’elle ne soit pas explicitement mentionn\u00e9e dans le texte, la CRQ constitue une r\u00e9ponse presque directe \u00e0 l’objectif de s\u00e9curit\u00e9 16. Elle fournit la m\u00e9thode pour \u00e9valuer et hi\u00e9rarchiser les risques de mani\u00e8re objectiv\u00e9e et document\u00e9e. Elle rationnalise les d\u00e9cisions de traitement du risque et permet un reporting structur\u00e9 en cas de contr\u00f4le de l’ANSSI.\r\n\r\nLa m\u00e9thode EBIOS RM, explicitement mentionn\u00e9e dans le ReCyF comme m\u00e9thode pouvant \u00eatre utilis\u00e9e pour l’analyse de risques, s’int\u00e8gre naturellement dans une d\u00e9marche de CRQ : l’approche reste similaire, seule l’expression des r\u00e9sultats diff\u00e8re en passant du qualitatif au quantitatif financier.\r\n
Ce que \u00e7a change pour le comit\u00e9 ex\u00e9cutif \/ board<\/h3>\r\n
\r\n \t
Ma\u00eetriser le risque tiers : l’OS 3 et l’OS 16 en action<\/h3>\r\nLe ReCyF impose, via l’OS 3, une visibilit\u00e9 document\u00e9e sur l’\u00e9cosyst\u00e8me de prestataires et fournisseurs informatiques, cartographie des interconnexions, assurances contractuelles de conformit\u00e9, v\u00e9rification p\u00e9riodique. L’OS 16 impose que ces risques tiers soient int\u00e9gr\u00e9s dans l’analyse de risques.\r\n\r\nUn TPRM<\/a> (Third-Party Risk Management) non quantifi\u00e9 g\u00e9n\u00e8re des scores et une illusion de s\u00e9curit\u00e9. La CRQ appliqu\u00e9e au risque tiers permet de positionner des indicateurs d’exposition concrets, tout au long du cycle de vie de la relation : identification du tiers, pr\u00e9-contractualisation, \u00e9valuation p\u00e9riodique, une visibilit\u00e9 continue sur l’exposition r\u00e9elle.\r\n
Conclusion<\/h2>\r\nNIS 2 vous met en conformit\u00e9. Citalid vous donne les moyens de l’exercer.\r\n\r\nLes entit\u00e9s qui traiteront l’OS 16 comme une contrainte de conformit\u00e9 produiront une analyse de risques inutilisable et resteront expos\u00e9es d’un point de vue r\u00e9glementaire et op\u00e9rationnel. C’est regrettable, car il est possible d’en faire un levier de gouvernance : un moyen de transformer son rapport au risque cyber en d\u00e9cisions plus rapides, budgets mieux allou\u00e9s, r\u00e9silience r\u00e9elle.\r\n
La CRQ n’est pas qu\u2019un levier de gouvernance, c\u2019est aussi un levier de business. Qui voudrait acheter les produits ou cr\u00e9er un partenariat avec une entreprise qui ne pilote pas ses risques et se d\u00e9charge des responsabilit\u00e9s ?<\/blockquote>","protected":false},"excerpt":{"rendered":"La version 2.5 du ReCyF, R\u00e9f\u00e9rentiel Cyber France, publi\u00e9e le […]","protected":false},"author":175698820,"featured_media":17444,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","rank_math_description":"Transposition fran\u00e7aise de NIS 2 : ce que le ReCyF impose aux entit\u00e9s r\u00e9gul\u00e9es, les quatre piliers de conformit\u00e9 et la responsabilit\u00e9 des dirigeants.","footnotes":""},"categories":[6638],"tags":[],"topic":[6750],"class_list":["post-17443","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article-de-blog","topic-reglementation"],"acf":[],"_links":{"self":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17443","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/users\/175698820"}],"replies":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/comments?post=17443"}],"version-history":[{"count":3,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17443\/revisions"}],"predecessor-version":[{"id":19978,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17443\/revisions\/19978"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media\/17444"}],"wp:attachment":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media?parent=17443"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/categories?post=17443"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/tags?post=17443"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/topic?post=17443"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}