Établir un diagnostic
Traiter DORA comme un simple questionnaire de cybersécurité peut laisser de côté les contrats et la continuité opérationnelle.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Choisir une fonction importante et vérifier la cohérence entre risque, contrat, test et capacité de reprise.
Suivre dépendances non maîtrisées, écarts de contrat et contrôles sans preuve.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Vérifier les obligations applicables à l’entité
- Relier services et dépendances aux contrôles
- Constituer les preuves et plans d’amélioration