Le scénario à examiner
La sobriété dépend des usages, matériels, logiciels, données et chaînes de fournisseurs.
Décrire le scénario : ce qui peut se produire, l’activité affectée, les protections existantes et ce qui reste supporté par l’organisation. La priorité dépend de l’impact, de l’exposition et de l’efficacité réelle des mesures, pas du seul nom de la menace.
Distinguer mesures directes, estimations et hypothèses environnementales. Ne pas annoncer une réduction globale non démontrée par le périmètre étudié.
Application à votre contexte
Reliez une cause ou une menace à un événement et à une conséquence sur une activité. Distinguez le risque initial, les mesures existantes et le risque résiduel accepté ou à traiter.
Reliez chaque indicateur à une décision possible et à un responsable capable d'agir. Une moyenne globale peut masquer un service essentiel en difficulté. Conservez des vues par service ou par parcours, sans multiplier des tableaux que personne ne consulte.