Gouvernance de la cybersécurité
Diriger, contrôler et améliorer la sécurité numérique en alignement avec les objectifs métiers.
🏛️ Cadres • 📋 Conformité • 📊 Indicateurs • 🚨 Gestion d'incidents • 🎯 Maturité
🧭 Sommaire de la formation
Introduction à la gouvernance de la sécurité
🛡️ Définition
La gouvernance de la cybersécurité est l'ensemble des structures, processus et mécanismes permettant de diriger et contrôler la sécurité de l'information et des systèmes, afin d'aligner les efforts de sécurité avec les objectifs métier et la gestion des risques.
🎯 Objectifs
- Alignement stratégique sécurité ↔️ business
- Gestion des risques et des priorités
- Conformité et obligations réglementaires
- Allocation des ressources et pilotage
- Amélioration continue de la posture
🌟 Ce que vous allez apprendre
- Cadres (NIST, ISO 27001, COBIT)
- Processus de gestion des risques
- Rôles, responsabilités et comités
- Conformité (RGPD, NIS 2, LPM)
- KPI, maturité et amélioration continue
🏗️ Les piliers de la gouvernance
🎯
StratégieVision, politique, appétence au risque
⚖️
ConformitéExigences, audits, preuves
🧭
RisquesIdentification, traitement, suivi
⚙️
OpérationsProcessus, contrôles, SOC
🧩 Gouvernance ≠ Management
La gouvernance fixe la direction, la redevabilité et l'appétence au risque; le management met en œuvre les moyens et opère les contrôles.
- Gouvernance: décide (orientations), arbitre (risques), exige (indicateurs), contrôle (audits).
- Management: planifie (projets), exécute (procédures), mesure (KPI/KRI), améliore (PDCA).
🤔 Quiz : Quel est l'objectif premier de la gouvernance cyber ?
✅ Réponse : L'alignement avec les objectifs métier permet d'investir au bon endroit et de gérer les risques qui comptent pour l'organisation.
1. Principes fondamentaux
🎯 Alignement stratégique
La sécurité au service du business
🧭 Gestion des risques
Décider avec l'appétence au risque
🔄 Amélioration continue
Boucle PDCA et maturité
🏛️ Rôles et responsabilités
- Comité de direction, Comité de sécurité
- RSSI/CISO, DPO, CRO
- Propriétaires de risques, métiers
🚫 Anti-patterns fréquents
- Sécurité uniquement technique
- Empilement de contrôles sans gestion des risques
- Absence d'indicateurs et de redevabilité
📄 Structure documentaire de sécurité (du stratégique à l'opérationnel)
▼
| Artefact | Finalité | Exemples |
|---|---|---|
| Politique | Cap fixe, exigences globales | Politique SSI, Politique mots de passe |
| Norme/Standard | Contraintes mesurables | Chiffrement AES-256, durcissement CIS |
| Procédure | Étapes opératoires | Gestion des habilitations, revue de logs |
| Ligne directrice | Bonnes pratiques | Guide secure coding, revue de design |
| Enregistrement | Preuve de réalisation | Compte-rendu de comité, PV d'audit |
🧭 RACI (exemple simplifié)
| Activité | R | A | C | I |
|---|---|---|---|---|
| Définir la politique SSI | RSSI | COMEX | DPO, DSI | Métiers |
| Valider l'appétence au risque | COMEX | COMEX | RSSI, CRO | DSI |
| Traiter une faille critique | DSI | DSI | RSSI | Métiers |
| Communiquer un incident | PR/CRISE | DG | RSSI, Juridique | Tous |
🎯 KPI stratégiques
- Niveau de maturité (1–5)
- Taux de conformité (%)
- Budget sécurité / IT (%)
- Risque résiduel top N
⚡ KPI opérationnels
- MTTD / MTTR
- Vulnérabilités critiques ouvertes
- Taux de correctifs appliqués
- Taux de phishing cliqué
📊 QCM : Quels sont des principes clés de la gouvernance ?
✅ Réponses : Alignement, gestion des risques, amélioration continue.
2. Cadres de référence
📚 NIST Cybersecurity Framework (CSF)
Fonctions
- Identifier • Protéger • Détecter • Répondre • Récupérer
Usage
- Cartographie des capacités et plan de progression
🏷️ ISO/IEC 27001 + 27002
PDCA • SMSI
- Plan • Do • Check • Act
- Mesures organisées en thèmes/domains
Certification
- Audits, preuves, amélioration continue
🏛️ COBIT
Principes
- Besoin des parties prenantes
- Couverture de bout en bout
- Cadre intégré
Gouvernance vs Management
- Séparation des responsabilités
🔎 Comparatif rapide des cadres
| Cadre | Finalité | Portée | Livrables typiques |
|---|---|---|---|
| NIST CSF | Cartographier et prioriser | Fonctions/PR | Profil cible, plan de progression |
| ISO/IEC 27001 | Certifier un SMSI | Organisation | ISMS, SoA, risques, preuves |
| COBIT | Gouvernance SI globale | Entreprise | Objectifs de gouvernance/management |
📖 Quiz : Quelle est la séquence du NIST CSF ?
✅ Réponse : Identifier → Protéger → Détecter → Répondre → Récupérer.
3. Gestion des risques
🧭 Processus
- Contexte et périmètre
- Identification des actifs, menaces, vulnérabilités
- Évaluation (probabilité × impact)
- Traitement (réduire, transférer, accepter, éviter)
- Suivi, revue, communication
🧮 Matrice de risques
Impact →
Probabilité ↓
Probabilité ↓
Faible
Moyen
Élevé
Faible
Acceptable
Modéré
Significatif
Moyen
Modéré
Significatif
Critique
Élevé
Significatif
Critique
Inacceptable
📋 Fiche de risque (exemple pratique)
▼
- Actif: Base clients CRM
- Scénario: Exfiltration via compte compromis
- Impact: Juridique (RGPD), réputation, financier
- Probabilité: Moyenne • Score: 12/25
- Contrôles: MFA, journalisation, DLP partiel
Plan de traitement
- Étendre MFA à tous les comptes à privilèges
- Déployer DLP complet + sensibilisation phishing
- Propriétaire: Directeur Commercial • Échéance: T2
- Risque résiduel cible: 6/25
🧭 Quiz : Que signifie "accepter un risque" ?
✅ Réponse : Acceptation éclairée et documentée du risque résiduel.
4. Organisation et rôles
🎩 Gouvernance
- Comité de direction
- Comité de sécurité
- Propriétaires d'actifs/risques
🛡️ Rôles clés
- RSSI/CISO
- DPO
- CRO/ERM
⚙️ Opérations
- SOC / CERT
- Gestion des vulnérabilités
- Continuité d'activité
🏗️ Organigramme type
Conseil / COMEX
Comité de Sécurité (RSSI, DSI, DPO, Métiers)
Fonctions Risque/Conformité (CRO, Juridique)
Opérations (SOC, CERT, Admins, Projets)
👥 Quiz : Quel rôle est responsable de la protection des données personnelles ?
✅ Réponse : Le DPO (Data Protection Officer) pilote la conformité RGPD.
5. Conformité et réglementation
🇪🇺 Europe
- RGPD • Privacy by design • AIPD
- NIS 2 • Obligations de sécurité • Notification d'incident
- Cyber Resilience Act (produits)
🇫🇷 France
- LPM • OIV/OSE • Référentiels ANSSI
- PGSSI-S (santé), SecNumCloud, etc.
- Contrôles, audits et sanctions
🧾 Preuves & contrôles à conserver
- Registres: incidents, habilitations, vulnérabilités
- Traçabilité: tickets, CR comités, décisions de risques
- Preuves: rapports d'audit, captures SIEM, SoA à jour
⚖️ Quiz : Sous NIS 2, que doivent faire les entités essentielles ?
✅ Réponse : Mesures de sécurité proportionnées et notifications dans les délais.
6. Indicateurs, KPI et maturité
🎯 KPI stratégiques
- Niveau de maturité (1–5)
- Taux de conformité (%)
- Budget sécurité / IT (%)
- Risque résiduel top N
⚡ KPI opérationnels
- MTTD / MTTR
- Vulnérabilités critiques ouvertes
- Taux de correctifs appliqués
- Taux de phishing cliqué
📊 Mini-dashboard (exemple)
3.4/5
Maturité globale
18
Incidents/mois
92%
Taux de conformité
📐 KPI, KRI et OKR: ne pas confondre
- KPI: performance (ex: taux de patch < 30j = 95%)
- KRI: risque (ex: actifs non couverts EDR < 2%)
- OKR: objectifs/résultats (ex: Réduire le risque phishing de 30% en T2)
📈 Quiz : Que mesure le MTTR ?
✅ Réponse : Mean Time To Recover (temps de restauration après incident).
7. Gestion des incidents
🚨 Cycle de réponse
- Préparation • Détection/Analyse • Contention • Éradication • Récupération • Leçons apprises
🧰 Préparation
Playbooks, communication, rôles
👀 Détection
Logs, SIEM, use cases, alerting
🔧 Réponse
Isolation, correction, restauration
🗂️ Playbook « Ransomware » (exemple abrégé)
▼
- Détection/qualification (indicateurs, triage)
- Confinement (isolation hôte/réseau, bloc IOC)
- Éradication (restauration, rotation secrets)
- Récupération (tests, réintégration contrôlée)
- Communication (interne, autorités, clients)
- Leçons apprises (revue post‑mortem, actions)
🚨 Quiz : Quelle étape suit immédiatement la détection ?
✅ Réponse : Après détection, on qualifie l'incident pour décider des actions.
❓ FAQ
Quel est un bon « set » d'indicateurs pour un COMEX ?▼
- 3–5 risques majeurs avec tendance
- Top incidents/mois (MTTD/MTTR)
- Taux de conformité et plans en retard
- Exposition externe (Surface d'attaque)
Comment fixer l'appétence au risque ?▼
Définir des seuils KRI par domaine (ex: disponibilité, intégrité, confidentialité) et les valider en comité de direction.
Faut‑il viser la certification ISO 27001 ?▼
Utile pour structurer et démontrer la maturité. Prioriser selon enjeux, contraintes et périmètre pertinent.
🏆 Certification et conclusion
🏆 Quiz final : À quoi sert principalement la gouvernance cyber ?
✅ Réponse : La gouvernance fixe la direction, le cadre et la redevabilité.
📚 Pour aller plus loin
- ANSSI • CNIL • NIST CSF • ISO/IEC 27001
- Maturité: CMMI, modèles internes
- Formations: ISO Lead Implementer/Auditor, Risk Manager
🛠️ Ateliers pratiques guidés
Atelier 1 — Rédiger une Politique SSI (60–90 min)▼
- Identifier 5 objectifs métier et exigences réglementaires majeures.
- Définir le périmètre et les rôles (RSSI, DSI, DPO, métiers).
- Énoncer 10 exigences clés (ex: gestion des accès, journalisation).
- Préciser le cycle de revue et de diffusion interne.
- Collecter les preuves (versioning, approbation, publication).
Livrable: 1 page A4 + annexe glossaire.
Atelier 2 — Registre des risques minimal (90 min)▼
Créez un registre avec 10 risques, scorez (P×I), affectez un propriétaire et un plan de traitement.
Conseil: démarrez par 3 risques « top business » pour un impact rapide.
Atelier 3 — Table‑top Incident (60 min)▼
Simulez un ransomware: décisions de confinement, communication, restauration et leçons apprises.
Indicateurs: MTTD, MTTR, écarts playbook, décisions consignées.
📈 Auto‑évaluation de maturité (rapide)
Notez chaque item de 0 (inexistant) à 5 (optimisé). Obtenez un score global et des recommandations.
| Domaine | Énoncé | 0 | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|---|---|
| Stratégie | Politique SSI approuvée et diffusée | ||||||
| Gouvernance | Rôles/comités formalisés avec RACI | ||||||
| Risques | Registre, critères et décisions tracées | ||||||
| Conformité | Exigences (RGPD/NIS 2) traduites en contrôles | ||||||
| Ops | Procédures (vulnérabilités, sauvegardes, accès) | ||||||
| Détection | Logs/SIEM et use cases actifs | ||||||
| Réponse | Playbooks testés (table‑top) et revus | ||||||
| Mesure | Dashboard KPI/KRI mensuel | ||||||
| Amélioration | PDCA en place (audits, actions suivies) | ||||||
| Supply chain | Exigences tiers, revues et preuves | ||||||
| Réversibilité | Sauvegardes testées, restauration éprouvée | ||||||
| Humain | Sensibilisation, phishing drill régulier |
🏗️ Études de cas
Cas 1: Un fournisseur SaaS subit une brèche. Que faites‑vous en premier ?
Note: Appliquez vos clauses sécurité, exigez IOC/preuves, évaluez la notification.
Cas 2: Le COMEX demande « sommes‑nous conformes NIS 2 ? »
Appuyez‑vous sur ISO 27001/Annexe A, preuves d’audit, et un plan priorisé.
🗓️ Plan d’action 30 / 60 / 90 jours
30 jours — Stabiliser
- Politique SSI brouillon + RACI
- Registre 10 risques et 3 top contrôles
- Playbook incident version 0
60 jours — Structurer
- Dashboard KPI/KRI mensuel
- SoA initial et preuves de conformité
- Table‑top + retours d’expérience
90 jours — Accélérer
- Appétence au risque validée COMEX
- Roadmap 12–18 mois budgétée
- Programme sensibilisation lancé
🔗 Ressources complémentaires
- NIST Cybersecurity Framework: https://www.nist.gov/cyberframework
- ISO/IEC 27001 (overview): https://www.iso.org/standard/27001
- COBIT: https://www.isaca.org/resources/cobit
- ANSSI: https://www.ssi.gouv.fr/
- CNIL: https://www.cnil.fr/