Gouvernance

Un incident survient un vendredi soir. Trois régimes de notification peuvent s’appliquer simultanément, avec des délais, des destinataires et des seuils différents. Aucun ne s’aligne sur les autres. Voici la cartographie, et ce qu’il faut préparer à froid. Délais de notification, à compter de la connaissance de l’incident24 h72 h1 ...

La révision de 2022 est souvent présentée comme une simple réorganisation. Pour une organisation déjà certifiée, c’est une sous-estimation : onze mesures sont nouvelles, et ce sont précisément celles qu’aucun SMSI de 2018 ne traitait. Les 93 mesures de l’annexe A, par thème 10203040Organisationnelles37Technologiques34Physiques14Personnes8La révision 2022 regroupe les 114 mesures ...

Un RSSI présente une liste de vingt-trois mesures, classées par criticité technique, avec un budget global. La direction demande un délai de réflexion. Le sujet revient six mois plus tard, inchangé. Le problème n’est presque jamais le montant. C’est la manière dont la demande est construite. Pourquoi l’argument technique ne ...

L’article 32 du RGPD est l’un des plus cités et l’un des moins lus. Il tient en quelques lignes, n’impose aucune technologie, et pourtant c’est sur lui que se fondent une bonne partie des sanctions prononcées pour défaut de sécurité. Sa formulation est volontairement ouverte : des mesures « techniques ...

Vous pouvez avoir un système d’information correctement tenu et être compromis par un prestataire de maintenance à qui vous avez donné un accès distant permanent en 2019. C’est aujourd’hui l’un des chemins d’attaque les plus rentables, et c’est le seul que vous ne pouvez pas corriger seul. Pourquoi le sujet ...

Dans la plupart des réunions où ces trois termes apparaissent, ils sont utilisés indifféremment. C’est un problème, parce qu’ils répondent à des questions différentes, mobilisent des personnes différentes et se testent différemment. Deux objectifs distincts, souvent confondusSinistreRPOdonnées perdues= depuis la dernière sauvegardedernière sauvegardeRTOinterruption tolérée= délai avant retour au serviceservice rétabliLe ...

EBIOS Risk Manager souffre d’un problème de réputation : la méthode passe pour lourde et jargonneuse. Elle est effectivement structurée, mais le déroulé tient en cinq étapes qu’on peut expliquer sans vocabulaire ésotérique. Publiée par l’ANSSI en 2018, elle a remplacé EBIOS 2010 avec un changement d’approche : partir des ...

DORA a une particularité que NIS 2 n’a pas : c’est un règlement, pas une directive. Il s’applique directement, sans transposition nationale, avec le même texte dans les vingt-sept États membres. Il n’y a donc pas de version française à attendre, ni de marge d’interprétation par pays. Le règlement (UE) ...

Dans un projet ISO 27001, la déclaration d’applicabilité est le document qui met le plus de temps à être compris et le moins de temps à être rédigé. C’est généralement l’inverse qu’il faudrait faire. Ce que la déclaration doit dire, pour chacune des 93 mesuresApplicable ou nonLe seul choix binaire ...