Inventaire des actifs et exposition aux menaces : quelles preuves permettent de démontrer la maîtrise ?

Démontrer plutôt que déclarer

Associer la preuve au critère attendu, à une date et à un périmètre. Un document décrit une intention, tandis qu’un résultat de test ou une observation peut montrer une application effective. La force de la conclusion doit rester proportionnée à ce qui a été vérifié.

Les opérations de découverte doivent être autorisées et proportionnées. Ne pas scanner des systèmes tiers sans mandat.

Un inventaire consolidé et un registre des actifs non maîtrisés.

Application à votre contexte

Préservez le contexte de la preuve : objet, périmètre, date et conditions d'obtention. Ne généralisez pas une observation réussie à des situations qui n'ont pas été examinées.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.