Gouvernance
& conformité
& conformité
Gouvernance optimale
en cybersécurité
Les systèmes d’information représentent plus de 20% du budget annuel d’une entreprise. Ainsi, il est essentiel qu’ils soient adaptés au contexte de chaque entreprise et à ses objectifs d’affaires.
Le contexte technologique actuel et la croissance des risques de sécurité incitent les organisations à se doter d’un programme de sécurité structuré, adapté et responsable.
La «Gouvernance de la cybersécurité ou «Gouvernance TI» (en anglais «IT governance») renvoie aux moyens de gestion de la sécurité informationnelle ainsi qu’aux moyens de régulation des systèmes de sécurité mis en place dans une entreprise pour atteindre ses objectifs. A ce titre, la gouvernance de la sécurité est un processus continu faisant partie intégrante de la culture d’une entreprise, intégrant la gestion de risques et alignée stratégiquement sur ses objectifs s’affaires. Elle fixe les règles de sécurité tactiques et opérationnelles, tel que la mise en place des contrôles appropriés. Elle assure de ce fait une mise en conformité aux normes applicables et une cohérence dans la mise en œuvre du cadre normatif. Que vous soyez soumis aux normes NIST 800-53, ISO 27000 ou PCI DSS (Payment Card Industry Data Security Standard), beaucoup d’entreprises doivent se conformer à des exigences spécifiques et adopter les meilleures pratiques en cybersécurité. Élaborer des politiques, des directives et des procédures est le point de départ du cadre de gouvernance, en établissant un programme de sécurité global pour assurer l’application des principes, des mesures de sécurité et des contrôles de sécurité au sein de votre entreprise.
Nos services
Gouvernance
Cadre normatif
Audits et évaluations
Gestion des risques
Architecture de sécurité
Gouvernance
Un cadre de gouvernance efficace nécessite qu’un programme de sécurité soit défini globalement et à long terme, en fonction d’éléments cruciaux en sécurité de l’information.
Ces aspects doivent être évalués, compris et intégrés. Le cadre de gouvernance inclut la structure organisationnelle, l’élaboration du cadre normatif, les outils de gestion de risques ainsi que l’architecture de sécurité.
Le tableau ci-dessous illustre la méthode PDCA (Plan-Do-Check-Act), laquelle permet de mettre en place les fondations d’un premier périmètre ISO/IEC 27001 et d’adopter les outils requis pour le maintien d’un cadre de gouvernance.
GESTION DES RISQUES
L’approche d’OKIOK en gestion de risques s’appuie la méthode des contrôles clés et d’architecture de sécurité, une méthodologie éprouvée qui permet une lecture rapide de la posture de l’entreprise en tenant compte d’un ensemble de contrôles essentiels dans un environnement de sécurité de l’information. . Bien que les méthodes d’analyse traditionnelles existent (mehari etc.), elles s’avèrent très complexes, coûteuses, subjectives et les résultats ne sont pas toujours concluants.
Tiré d’un standard de sécurité (ex. qu’ISO 27002, ISO 27033, NIST, ISF ou autre) un contrôle clé de sécurité est un contrôle ayant généralement une influence importante sur la posture de risque. Une fois le référentiel identifié et retenu, l’analyse détermine un nombre réduit de contrôles clés, choisis en fonction de leur impact maximal sur le risque et c’est à partir de ce « référentiel » restreint qu’il est possible de mesurer la maturité de ces contrôles clés selon une échelle de maturité similaire à Cobit4. Cela permet de simplifier l’évaluation de la posture de risque, le rehaussement et le suivi périodique.
Architecture de sécurité
La mise en œuvre d’une architecture de sécurité (OSA) s’inscrit dans la démarche de la méthode des contrôles clés et permet d’optimiser l’évolution et le maintien de la maturité des contrôles clés et complémentaires, notamment, par la mise en œuvre de services d’entreprise et de patrons de conception.
Ainsi, à l’image d’un chapiteau où toute la structure s’élève lorsque la toile est hissée à la hauteur des piliers principaux, le rehaussement de la maturité des contrôles clés entraîne systématiquement le rehaussement des contrôles complémentaires.
L’architecture de sécurité est définie et ensuite mise en œuvre étape par étape afin de répondre aux besoins du cadre normatif et gestion du risque.
