RSSI, politique de sécurité et responsabilités : par quoi commencer sans lancer un chantier disproportionné ?

Un premier périmètre utile

Le premier résultat à viser est le suivant : une politique validée, des règles opérationnelles et un suivi des dérogations.

Décider dès le démarrage qui pourra utiliser ce résultat et quel événement justifiera d’étendre le périmètre. Éviter de choisir l’outil avant d’avoir stabilisé le besoin.

Couvrir gouvernance, actifs, identités, exploitation, fournisseurs, incidents, continuité et exceptions.

La direction valide le niveau de risque, le RSSI coordonne, et les métiers et équipes techniques mettent en œuvre leurs contrôles.

Une politique validée, des règles opérationnelles et un suivi des dérogations.

Application à votre contexte

Choisissez une activité identifiable, un responsable disponible et un résultat réalisable. La première itération doit réduire une incertitude ou permettre une décision, pas seulement lancer une collecte sans fin.

Reliez chaque mesure à un scénario de risque et à un actif utile. La prévention, la détection, la réaction et la reprise se complètent. Un catalogue d'outils ne suffit pas : précisez qui traite une alerte, en combien de temps et avec quelle autorité.

Trois actions de départ

• Identifier les risques et exigences prioritaires
• Définir des règles applicables et des responsables
• Vérifier leur mise en œuvre et traiter les exceptions