La cyber-résilience se mesure à la maturité de vos capacités de détection, de réponse et de rétablissement, et non au nombre de contrôles activés. Un contrôle est soit présent, soit absent. La maturité, en revanche, décrit la constance de son application, son éventuelle dépendance à la mémoire d'une seule personne, et son évolution après chaque incident. L'échelle la plus couramment utilisée est celle des quatre niveaux d'implémentation du NIST. Cette page décrit concrètement chaque niveau, les critères de positionnement et la procédure pour progresser.
- Un niveau de maturité, et non un pourcentage, car la résilience s'améliore par étapes plutôt qu'en atteignant un score.
- La détection et la récupération sont les fonctions qu'une évaluation de la maturité révèle le plus souvent comme étant plus faibles qu'on ne le pensait.
- Les niveaux s'appliquent à l'ensemble cyber résilience cadre, et non pas un contrôle isolé.
- L'honnêteté dans l'évaluation est plus importante que la fréquence des évaluations : un niveau que vous ne pouvez pas défendre devant un auditeur n'est pas un véritable résultat.
- Le résultat constitue un élément parmi d'autres du score de résilience global, et non un substitut à celui-ci.
Pourquoi mesurer la cyber-résilience séparément de la résilience des entreprises ?
Parce qu'elles répondent à des questions différentes. Le score de résilience évalue l'ensemble de votre organisation selon les trois domaines de la boucle de résilience : sécurité de l'information, confidentialité des données et gouvernance de l'IA. Il s'agit d'une vision globale. Cette page analyse en détail un aspect de ce portefeuille : le niveau de maturité de vos capacités face aux cyberattaques, pour les fonctions définies dans le cadre de cyber-résilience.
Cette distinction est cruciale, car la moyenne masque la réponse recherchée. Une organisation peut afficher une résilience globale respectable si ses fonctions de détection et de récupération accusent un retard considérable par rapport à sa prévention. Un score de portefeuille ne révélera pas ce problème. Une évaluation de maturité spécifiquement axée sur la cybersécurité, en revanche, le fera, car elle examine chaque fonction individuellement au lieu de les agréger en un seul chiffre.
Considérez cette page comme l'outil détaillé et le score de résilience comme le tableau de bord. Commencez par cette évaluation si vos risques se concentrent dans le domaine de la cybersécurité, puis partagez le résultat avec les autres services.
Quels sont les différents niveaux de maturité, et comment savoir où l'on se situe ?
Le cadre de cybersécurité du NIST définit quatre niveaux de mise en œuvre pour décrire la gestion des cyber-risques au sein d'une organisation, allant de pratiques ponctuelles à un programme auto-adaptatif. Il s'agit d'une échelle de maturité qui complète les fonctions existantes, et non d'une cinquième fonction ou d'un substitut à celles-ci.
- PartielDes pratiques existent, mais elles sont appliquées ponctuellement, généralement de manière réactive, et ne sont pas gérées dans le cadre d'un programme à l'échelle de l'organisation. Le risque est traité au cas par cas plutôt qu'en fonction d'un niveau de tolérance au risque défini.
- Informé sur les risquesLa direction a approuvé les pratiques de gestion des risques, mais celles-ci ne constituent pas une politique à l'échelle de l'organisation et leur application est incohérente d'une équipe à l'autre.
- RépétableLes pratiques sont formellement approuvées, formalisées dans une politique et appliquées de manière uniforme au sein de l'organisation. Le personnel possède les connaissances et les compétences nécessaires pour les mettre en œuvre, et la politique est révisée régulièrement.
- PolitiquesL’organisation adapte ses pratiques en fonction des enseignements tirés et des renseignements sur les menaces, et s’améliore en permanence grâce à une gestion active des risques plutôt qu’à un cycle annuel fixe.
La plupart des organisations n'ayant jamais réalisé d'évaluation formelle se situent, sans le savoir, au niveau « Partiel » ou « Évalué selon les risques », car les mesures de prévention créent une illusion de maturité que la détection et la correction ne permettent pas. Un niveau n'est pertinent que s'il est étayé par des preuves, ce qui sera abordé dans la section suivante.
| Niveau | Ce que vous pouvez présenter comme preuve | Là où se situent réellement la plupart des PME |
|---|---|---|
| Partiel | Rien n'a été consigné par écrit. Celui qui a géré le dernier incident a fait à sa manière. | Courant avant même le début de tout travail formel de cybersécurité. |
| Informé sur les risques | Une politique existe et la direction l'a approuvée, mais deux équipes pourraient la décrire différemment. | La position la plus courante pour les organisations à mi-parcours d'un programme de sécurité. |
| Répétable | La même politique, appliquée de la même manière, par la personne de service, avec une date de révision inscrite dans l'agenda. | Typique d'une organisation certifiée ISO 27001 qui maintient le système en activité plutôt que de le mettre de côté. |
| Politiques | Un journal des modifications indiquant que la politique a été mise à jour suite à un incident réel ou à un renseignement spécifique sur une menace. | Rare, et généralement atteint fonction par fonction plutôt que sur l'ensemble du framework en une seule fois. |
Lisez la colonne du milieu au pied de la lettre. Un niveau n'est pas une auto-évaluation par rapport à une description. Il s'agit d'une affirmation qui doit résister à la demande de preuves.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Que devez-vous évaluer concrètement ?
Évaluer la cyber-résilience de manière globale donne un résultat vague. L'évaluer par fonction, selon les six fonctions définies dans le cadre de cyber-résilience , permet d'établir un niveau pour chaque fonction et de mettre en évidence les lacunes, contrairement à une moyenne qui les masque.
| Région | Signalez que vous êtes toujours au niveau partiel | Signalez que vous avez atteint le niveau Répétable ou supérieur. |
|---|---|---|
| Visibilité et détection | La journalisation existe, mais personne ne la consulte sauf si un problème est déjà survenu. | Les alertes sont triées selon un calendrier défini par une personne désignée, qu'un événement se soit produit ou non. |
| Réponse aux incidents | Ce plan est un document que personne n'a lu depuis sa rédaction. | Le plan a été mis en pratique l'année dernière et cet exercice a entraîné quelques modifications. |
| Récupération | Des sauvegardes existent. Personne n'a programmé de restauration. | La restauration a été planifiée en fonction d'un objectif de récupération défini et cet objectif a été atteint. |
| Tiers et chaîne d'approvisionnement | Les fournisseurs sont intégrés une seule fois et ne sont jamais réévalués. | Les fournisseurs critiques sont réévalués de façon cyclique et leur accès est examiné en fonction de cette évaluation. |
| Gouvernance et rapports | Le conseil d'administration n'est informé des cyber-risques qu'après un incident. | Le conseil d'administration reçoit un rapport permanent sur la couverture et les lacunes existantes, comparé au plan. |
Cinq domaines et une tendance notable : chaque signal partiel de la colonne centrale décrit un élément théorique. Chaque signal reproductible décrit un élément ayant fait l’objet d’une mise en pratique ou d’une vérification. Voilà toute la différence entre les deux extrémités de l’échelle.
Comment transformer une évaluation en un profil cible ?
L'approche du NIST concernant l'utilisation des niveaux consiste à évaluer un profil actuel, à définir un profil cible et à considérer l'écart entre les deux comme le plan d'action. La cible doit être fixée en fonction du risque, et non de l'ambition. Viser systématiquement le niveau « Adaptatif » alors que l'exposition réelle ne le justifie pas représente une dépense inutile, selon la page dédiée à la stratégie de cyber-résilience . Une organisation réglementée traitant des données sensibles a un profil cible différent de celui d'une petite entreprise disposant d'une infrastructure simple, et les deux peuvent parfaitement se positionner à des niveaux différents.
Concrètement, cela signifie évaluer votre situation, fonction par fonction, avec objectivité et en se basant sur des preuves plutôt que sur des intentions ; définir un niveau cible pour chaque fonction en fonction de ce qu’elle protège réellement ; et considérer l’écart entre les deux comme un arriéré plutôt que comme l’ensemble du programme. Pour une description complète des étapes de cadrage et d’analyse des écarts du NIST, consultez notre guide du NIST CSF 2.0.
Commencer votre essai gratuit
Envie d'explorer ?
Inscrivez-vous pour votre essai gratuit dès aujourd'hui et découvrez toutes les fonctionnalités de conformité qu'ISMS.online a à offrir.
Comment la maturité en matière de cyber-résilience s'intègre-t-elle à la boucle de résilience ?
Presque tous les éléments de preuve exigés par un niveau de maturité le sont également par d'autres. Une politique révisée, un responsable désigné, une restauration testée : les mêmes documents qui permettent de passer d'une approche axée sur les risques à une approche reproductible en matière de cybersécurité sont ceux qu'un audit de sécurité de l'information souhaite consulter.
La boucle de résilience intègre la sécurité de l'information ( ISO 27001) , la protection des données (ISO 27701) et la gouvernance de l'IA (ISO 42001) au sein d'un système unique et interconnecté. L'évaluation de maturité axée sur la cybersécurité est intégrée à ce système partagé. Les preuves requises pour un niveau de maturité reproductible sont identiques à celles exigées par un auditeur ISO 27001 et alimentent le domaine de sécurité de votre score de résilience. Une seule réalisation de l'évaluation suffit pour répondre à ces deux questions.
Pourquoi choisir ISMS.online pour mesurer la cyber-résilience ?
La validité d'une affirmation de maturité dépend de la solidité des preuves qui la sous-tendent, et ces preuves deviennent caduques dès lors qu'elles ne sont plus mises à jour. ISMS.online assure une évaluation continue et actualisée, contrairement à une démarche ponctuelle.
- Évaluer par fonction, et non par moyenne: voir le niveau pour détecter, répondre et récupérer séparément, de sorte qu'une moyenne élevée ne peut pas masquer une fonction faible.
- Des preuves sont jointes à chaque réclamation.Les exercices, les tests de restauration et les révisions sont enregistrés tels qu'ils se déroulent, et non reconstitués pour un audit.
- Un seul ensemble de contrôle, chaque norme: les mêmes preuves étayent le NIST CSF, l'ISO 27001 et le score de résilience plus large sans qu'il soit nécessaire de répéter le travail.
- Profils cibles avec propriétairesChaque fonction se voit attribuer un niveau cible et un responsable désigné, chargé de combler l'écart.
- Les niveaux de fournisseurs sont évalués en parallèle avec les vôtres.: le risque lié aux tiers est intégré au même système plutôt que dans une feuille de calcul séparée.
- Conçu pour le marché britannique et les marchés réglementés.: conçu pour les organisations qui doivent démontrer leur niveau de maturité à un auditeur ou à un client, et non pas simplement l'affirmer.
Découvrez comment tout cela s'articule sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quel est le moyen le plus rapide de passer au niveau supérieur ?
Il est préférable de corriger le point faible plutôt que de perfectionner le point fort. La plupart des organisations sont déjà proches du niveau de performance requis en matière de prévention, mais accusent un retard de plusieurs années en matière de détection et de reprise après incident. Par conséquent, une politique écrite, un responsable désigné et un test réalisé sur ce point faible permettent de progresser plus rapidement que n'importe quel effort supplémentaire sur des contrôles déjà fonctionnels. Les tableaux ci-dessus illustrent cette tendance : l'important, c'est ce qui a été vérifié, et non ce qui a été acheté.
À quel niveau une petite entreprise devrait-elle viser ?
Il convient de choisir la solution correspondant à l'exposition réelle, et non la plus élevée disponible. Une petite entreprise disposant d'un parc immobilier simple et d'une faible exposition réglementaire peut être correctement positionnée avec une approche axée sur les risques pour certaines fonctions. Viser une approche adaptative en toutes circonstances, quel que soit le risque, gaspille des efforts qui seraient plus utiles pour combler une véritable lacune en matière de détection ou de correction des risques.
Une évaluation de la maturité est-elle la même chose qu'une évaluation des risques ?
Non, et les deux sont souvent confondus. Une évaluation des risques identifie les problèmes potentiels et leur gravité. Une évaluation de la maturité, quant à elle, examine la gestion effective de la réponse à ces risques : est-elle documentée, appliquée de manière cohérente et justifiée ? La plupart des programmes nécessitent les deux : l’évaluation des risques définit le profil cible, et l’évaluation de la maturité décrit le profil actuel.
À quelle fréquence devriez-vous réévaluer votre niveau de maturité ?
Au moins une fois par an, et immédiatement après tout incident ayant mis à l'épreuve la réactivité ou la capacité de rétablissement. Un niveau de service non réévalué après un événement réel est considéré comme obsolète, quelles que soient les conclusions de la dernière évaluation formelle. Certaines fonctions, notamment la détection et le rétablissement, méritent une vérification plus fréquente, car ce sont celles qui sont les plus susceptibles de se dégrader discrètement.
La certification ISO 27001 garantit-elle un niveau de maturité élevé ?
Non, même si cela facilite grandement l'obtention et la justification d'un niveau élevé. La certification confirme l'existence d'un système de gestion et son audit indépendant, ce qui favorise la reproductibilité. Pour atteindre le niveau adaptatif, il faut en outre démontrer que les pratiques évoluent en fonction des enseignements tirés et des renseignements sur les menaces ; cela relève davantage du fonctionnement du système que de sa certification.
