RSSI, politique de sécurité et responsabilités : quelles preuves permettent de démontrer la maîtrise ?

Démontrer plutôt que déclarer

Associer la preuve au critère attendu, à une date et à un périmètre. Un document décrit une intention, tandis qu’un résultat de test ou une observation peut montrer une application effective. La force de la conclusion doit rester proportionnée à ce qui a été vérifié.

Le RSSI ne doit pas devenir le seul propriétaire de tous les risques. Les responsables métier conservent leurs arbitrages.

Une politique validée, des règles opérationnelles et un suivi des dérogations.

Application à votre contexte

Préservez le contexte de la preuve : objet, périmètre, date et conditions d'obtention. Ne généralisez pas une observation réussie à des situations qui n'ont pas été examinées.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.