Analyse des risques cyber et scénarios de menace : qui doit contribuer, décider et valider ?

Rôles et responsabilités

Séparer quatre actes : fournir l’information, instruire les options, autoriser le choix et vérifier le résultat. Une même personne peut cumuler certains rôles dans une petite organisation, mais les décisions sensibles doivent conserver un contrôle adapté.

La responsabilité ne s’arrête pas à la livraison : désigner aussi qui maintient le dispositif et qui traite les exceptions.

Couvrir activités critiques, actifs, écosystème, scénarios plausibles, mesures existantes et risque résiduel.

Confronter un scénario aux dépendances et contrôles réels, puis vérifier les preuves des mesures supposées efficaces.

Application à votre contexte

Distinguez la personne qui réalise, celle qui approuve et celles qui doivent être consultées ou informées. Prévoyez un suppléant et un circuit d'arbitrage lorsque les responsabilités se croisent.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.