Établir un diagnostic
Ajouter une notice après coup ne corrige pas une collecte excessive ou une architecture inutilement exposée.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Créer un compte de test et vérifier les données demandées, les accès ouverts et les durées appliquées sans réglage supplémentaire.
Suivre données non justifiées, paramètres trop ouverts et exigences de protection non testées.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Définir les besoins et données strictement utiles
- Comparer des options moins intrusives
- Tester les réglages par défaut et les parcours de droits