Note de politique
Qui porte le risque cyber dans les environnements à fortes exigences ?
Note de politique · Distinguer conseil, responsabilité opérationnelle et acceptation du risque résiduel.
Le choix de politique
Un RSSI peut expliquer une exposition sans pouvoir en accepter les conséquences pour toute la mission. Le NIST CSF 2.0 traite la gouvernance ; le RMF structure la gestion du risque de sécurité et de confidentialité sur le cycle de vie. [1][2] Chaque organisation doit néanmoins définir ses autorités.
Une répartition proposée
Nous proposons que le responsable de mission définisse les conséquences, que le responsable du système réalise le traitement, que le RSSI examine hypothèses et preuves, et que l’autorité désignée accepte le risque résiduel. Une personne peut cumuler des rôles ; le registre doit préciser l’autorité exercée. C’est notre modèle, pas une règle juridique universelle.
Des exceptions limitées dans le temps
Pour un accès urgent, comparer refus, accès temporaire restreint et accès complet avec mesures compensatoires. Consigner choix, justification, périmètre, échéance, surveillance et déclencheur d’escalade. L’absence de budget ne justifie pas une acceptation indéfinie. L’accès temporaire a aussi un coût opérationnel : identifier qui le supporte.
Évaluer la gouvernance
Examiner exceptions expirées, traitements en retard et décisions rouvertes après incident. L’audit doit pouvoir contester les preuves sans porter la décision qu’il évalue. Le critère est la traçabilité : un successeur peut-il comprendre ce qui a été accepté, par qui, sur quelles preuves et pour quelle durée ?
Un registre qui survive au changement de direction
Consigner mission, scénario plausible, options, conséquences, limites des preuves et autorité décisionnaire. Ajouter responsable du traitement et conditions de réexamen. Un score ou une couleur ne suffit pas. Un successeur doit comprendre pourquoi poursuivre semblait préférable à restreindre ou suspendre, même après le départ des participants.
Une exception illustrative
Imaginons un prestataire nécessitant un accès avant le départ d’un navire. Le refuser peut retarder l’opération ; un accès illimité peut créer une dépendance excessive à une identité externe. Une session supervisée, des droits limités et une échéance peuvent constituer une option réalisable. Expliquer le risque traité et la preuve de fermeture attendue. L’exemple est fictif.
Séparer approbation et assurance
L’exécutant fournit des preuves, mais une décision lourde de conséquences bénéficie d’un regard capable de détecter les hypothèses oubliées. Éviter une chaîne d’approbation interminable. Définir les décisions nécessitant une revue indépendante, les informations requises et le réexamen des urgences. La gouvernance doit clarifier l’arbitrage à temps pour la mission et conserver la trace de l’incertitude acceptée.
Références
- NIST · The Cybersecurity Framework (CSF) 2.0 · 26 February 2024
- NIST · SP 800-37 Rev. 2 · December 2018
Cyber Policy Review · Analyse éditoriale. Paraphrases originales, sans citation littérale. Les références ne signifient ni certification ni approbation.
Publications