Analyse des risques cyber et scénarios de menace : comment savoir où en est réellement l’organisation ?

Établir un diagnostic

Des cotations précises en apparence peuvent donner une fausse assurance lorsque les scénarios et informations de départ sont fragiles.

Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.

Confronter un scénario aux dépendances et contrôles réels, puis vérifier les preuves des mesures supposées efficaces.

Suivre risques sans décision, mesures en retard et changements qui invalident les hypothèses.

Application à votre contexte

Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Trois actions de départ

• Définir les événements redoutés et le périmètre
• Construire des scénarios avec les parties prenantes
• Choisir et suivre les mesures de traitement