Un premier périmètre utile
Le premier résultat à viser est le suivant : une matrice de responsabilités et un catalogue des contrôles côté client et fournisseur.
Décider dès le démarrage qui pourra utiliser ce résultat et quel événement justifiera d’étendre le périmètre. Éviter de choisir l’outil avant d’avoir stabilisé le besoin.
Couvrir infrastructure, systèmes, applications, données, identités, configurations, incidents et récupération.
La DSI et la sécurité répartissent les contrôles, achats clarifie les engagements, et le fournisseur apporte les preuves prévues.
Une matrice de responsabilités et un catalogue des contrôles côté client et fournisseur.
Application à votre contexte
Choisissez une activité identifiable, un responsable disponible et un résultat réalisable. La première itération doit réduire une incertitude ou permettre une décision, pas seulement lancer une collecte sans fin.
Formalisez qui configure, qui surveille et qui restaure chaque couche. Selon le service, une partie des tâches change de main, mais les données, les identités et la configuration de l'usage restent des sujets à traiter. Reliez chaque abonnement à un propriétaire et à un budget.
Trois actions de départ
- Lire les engagements du service retenu
- Attribuer chaque contrôle à un responsable
- Vérifier les preuves et procédures correspondantes