Gestion du risque
5 pages
Audits, tests d’intrusion, preuves de conformité et risques tiers : décider ce qu’on protège et le prouver.
Gouvernance, droit & économie du risque
Rubrique 11 sur 13
Le juridique est devenu un moteur technique. L'économie décide du reste.
Rubrique · 14 pages · 3 sous-sections
Gouvernance, droit & économie du risque
Économie de la sécurité
7 pages
Indicateurs, budgets, coût total, assurance et dette de sécurité : parler argent avec la direction.
- Quels indicateurs mesurer pour la sécurité
- Clauses de sécurité pour contrat fournisseur
- Assurance cyber couverture et exclusions de contrat
- Calculer le coût-bénéfice d’un incident évité
- Justifier un budget sécurité à la direction financière
- Calculer le coût total de possession d'un contrôle de sécurité
- Comment capitaliser et payer la dette de sécurité
Géopolitique
2 pages
Contrôle des exportations, sanctions numériques et politique de la cryptographie : la sécurité entre États.
Par où commencer
- Gestion du risque
Auditer, tester et prouver ce qu’on protège
- Économie de la sécurité
Chiffrer et défendre le budget
Parcours qui passent par ici
- Responsable sécurité (RSSI) (5 étapes dans la rubrique)
Gouvernance, droit & économie du risque
Section intitulée « Gouvernance, droit & économie du risque »Le droit est devenu, sans qu’on l’ait vraiment décidé, un moteur technique : RGPD, NIS2, DORA, le Cyber Resilience Act, chaque texte européen impose des choix d’architecture précis, pas seulement des obligations de papier. Ignorer cette évolution, c’est traiter la conformité comme une case à cocher en fin de projet, alors qu’elle façonne le projet depuis le premier jour quand on s’y prend correctement.
→ Lire l’explication complète de la marmotte
La gestion du risque, elle, reste souvent réduite à une formule simpliste, probabilité fois impact, qui masque plus qu’elle n’éclaire. La dette de sécurité se capitalise exactement comme une dette financière : chaque contrôle repoussé « pour plus tard » a un coût qui grossit en silence, et personne ne le voit venir tant que quelqu’un ne fait pas les comptes.
C’est là que l’économie prend le relais : un contrôle de sécurité a un coût total de possession qu’on sous-estime presque toujours, et les mauvaises pratiques persistent souvent de façon parfaitement rationnelle, parce que celui qui porte le risque n’est pas celui qui paierait pour le réduire. Expliquer à une direction financière pourquoi il faut payer pour un incident qui n’a pas eu lieu, c’est tout un art, et ça se travaille.
Le reste (mesure et preuve, relation aux tiers, processus métier, zones grises entre surveillance légitime et intrusive, géopolitique des sanctions numériques) découle de la même tension : faire la différence entre ce qui rassure sur le papier et ce qui protège réellement, et ce n’est presque jamais la même chose.
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Une organisation qui néglige ce domaine découvre ses obligations au moment où un incident ou un contrôle les lui rappelle, c’est-à-dire quand l’architecture est déjà construite et que chaque mise en conformité exige de défaire ce qui existe. Les contrôles repoussés s’accumulent sans que personne n’en tienne le compte, si bien que le coût réel du risque n’apparaît dans aucun budget avant de se présenter en une seule facture. Faute de mesure et de preuve, la direction ne sait pas distinguer un dispositif qui protège d’un dispositif qui rassure, et finance volontiers le second, nettement plus photogénique en comité.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »Cette rubrique relie la sécurité informatique au droit et à l’argent. Les textes européens récents, comme le règlement sur la protection des données personnelles ou les textes sur la sécurité des réseaux, la résilience du secteur financier et la sécurité des produits connectés, imposent des choix techniques précis : où stocker les données, comment signaler un incident, quels contrôles installer. Il faut donc en tenir compte dès le début d’un projet, et non le vérifier à la fin. Pour décider quoi protéger, on évalue les risques. La formule la plus répandue multiplie la probabilité d’un événement par son impact, mais elle cache beaucoup d’incertitudes. Chaque mesure de sécurité repoussée crée une dette : le risque qu’elle aurait réduit continue de grandir sans être visible, jusqu’au jour où quelqu’un fait les comptes. L’économie explique aussi pourquoi de mauvaises pratiques durent : une mesure coûte bien plus que son prix d’achat, et celui qui subirait l’incident n’est souvent pas celui qui paierait pour l’éviter. Convaincre une direction de financer la prévention d’un événement qui n’a pas encore eu lieu demande donc des arguments solides. La rubrique traite enfin de la mesure et de la preuve, des relations avec les fournisseurs, des processus métier, de la surveillance des salariés et des sanctions internationales, avec une même question : cette mesure protège-t-elle réellement, ou seulement sur le papier ?