RSSI, politique de sécurité et responsabilités : sur quels critères prendre une décision ou accepter une exception ?

Les termes de la décision

Prévoir animation, compétences, contrôles, sensibilisation et amélioration continue.

Une politique détaillée mais irréaliste peut produire une conformité documentaire sans protection effective.

Conserver la justification, l’autorité de décision et la condition de réexamen. Une exception doit être compréhensible par une personne qui n’a pas participé à l’arbitrage.

Ce cadre permet de transformer les intentions de protection en décisions, pratiques et contrôles applicables.

Application à votre contexte

Tracez les options écartées et les hypothèses qui font pencher la décision. Une exception doit avoir un périmètre, un approbateur et une condition de réexamen, faute de quoi elle devient une règle implicite.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.