Établir un diagnostic
Créer plusieurs réseaux sans contrôler leurs échanges peut donner une illusion de cloisonnement.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Vérifier depuis des zones de test autorisées que seuls les services nécessaires sont accessibles.
Suivre règles trop larges, ouvertures sans propriétaire et exceptions non réexaminées.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.
Trois actions de départ
- Identifier les communications nécessaires
- Définir des règles minimales et leurs responsables
- Tester les accès autorisés et les refus attendus