Rôles et responsabilités
Séparer quatre actes : fournir l’information, instruire les options, autoriser le choix et vérifier le résultat. Une même personne peut cumuler certains rôles dans une petite organisation, mais les décisions sensibles doivent conserver un contrôle adapté.
La responsabilité ne s’arrête pas à la livraison : désigner aussi qui maintient le dispositif et qui traite les exceptions.
Couvrir accès administratifs, durée de protection, clés, comptes, lieux, connectivité et restauration.
Vérifier dans un test autorisé qu’un compte compromis simulé ne peut supprimer toutes les copies utiles.
Application à votre contexte
Distinguez la personne qui réalise, celle qui approuve et celles qui doivent être consultées ou informées. Prévoyez un suppléant et un circuit d'arbitrage lorsque les responsabilités se croisent.
Les objectifs doivent être compatibles avec la durée d'interruption tolérable et les pertes de données acceptables. Lorsque le budget ne permet pas l'objectif souhaité, faites arbitrer l'écart explicitement. Ne transformez pas une capacité technique existante en exigence métier par défaut.