Établir un diagnostic
Un périmètre mal défini peut perturber un service ou exposer des données sans utilité pour l’évaluation.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Faire confirmer la fermeture des faiblesses prioritaires avec un contrôle de suivi autorisé.
Suivre constats reproduits, corrections vérifiées et écarts récurrents.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.
Trois actions de départ
- Établir un mandat et des règles d’engagement
- Réaliser les essais dans le cadre convenu
- Corriger et retester les constats importants