RSSI, politique de sécurité et responsabilités : quel risque principal faut-il traiter en priorité ?

Le scénario à examiner

La politique dépend de la stratégie, des obligations, des actifs et des capacités opérationnelles.

Décrire le scénario : ce qui peut se produire, l’activité affectée, les protections existantes et ce qui reste supporté par l’organisation. La priorité dépend de l’impact, de l’exposition et de l’efficacité réelle des mesures, pas du seul nom de la menace.

Le RSSI ne doit pas devenir le seul propriétaire de tous les risques. Les responsables métier conservent leurs arbitrages.

Application à votre contexte

Reliez une cause ou une menace à un événement et à une conséquence sur une activité. Distinguez le risque initial, les mesures existantes et le risque résiduel accepté ou à traiter.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.