Établir un diagnostic
Appliquer aveuglément une recommandation peut interrompre une fonction métier ou un mécanisme de reprise.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Comparer une instance réelle à la référence puis vérifier que les écarts sont autorisés ou corrigés.
Suivre conformité de configuration, dérogations expirées et incidents liés aux écarts.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.
Trois actions de départ
- Définir une référence adaptée au service
- Tester son fonctionnement et ses effets
- Déployer progressivement et surveiller les écarts