RSSI, politique de sécurité et responsabilités : comment savoir où en est réellement l’organisation ?

Établir un diagnostic

Une politique détaillée mais irréaliste peut produire une conformité documentaire sans protection effective.

Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.

Choisir une règle importante et vérifier qu’elle est comprise, appliquée et contrôlée sur un périmètre réel.

Suivre contrôles déployés, exceptions expirées, risques non arbitrés et efficacité observée.

Application à votre contexte

Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Trois actions de départ

• Identifier les risques et exigences prioritaires
• Définir des règles applicables et des responsables
• Vérifier leur mise en œuvre et traiter les exceptions