Analyse des risques cyber et scénarios de menace : quelles preuves permettent de démontrer la maîtrise ?

Démontrer plutôt que déclarer

Associer la preuve au critère attendu, à une date et à un périmètre. Un document décrit une intention, tandis qu’un résultat de test ou une observation peut montrer une application effective. La force de la conclusion doit rester proportionnée à ce qui a été vérifié.

Une matrice de risque ne remplace pas une compréhension des mécanismes de défaillance ni un test des mesures.

Un dossier de risques avec scénarios, hypothèses, responsables et décisions.

Application à votre contexte

Préservez le contexte de la preuve : objet, périmètre, date et conditions d'obtention. Ne généralisez pas une observation réussie à des situations qui n'ont pas été examinées.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.