Établir un diagnostic
Un score technique élevé ne décrit pas à lui seul la priorité métier, une faiblesse moins spectaculaire peut toucher une chaîne vitale.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Recontrôler une faiblesse après correction sur le bon actif et dans la configuration effectivement utilisée.
Suivre âge des vulnérabilités prioritaires, réouvertures, couverture et risques acceptés.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.
Trois actions de départ
- Qualifier les résultats des outils
- Prioriser selon exposition et conséquences
- Corriger puis vérifier indépendamment la fermeture