Profils actuel et cible, niveaux de mise en œuvre
Utiliser les profils et les niveaux de mise en œuvre du CSF 2.0 pour piloter un plan d'écart.
À retenir
- Le profil actuel décrit l'existant, le profil cible décrit l'objectif souhaité.
- L'écart entre profil actuel et profil cible constitue le plan d'action prioritaire.
- Les Tiers (1 à 4) mesurent la rigueur de gouvernance du risque, pas la maturité technique pure.
- Un Tier élevé et un profil cible ambitieux sont deux notions indépendantes.
Situer une organisation sur l'échelle du CSF
Le CSF 2.0 propose deux outils complémentaires pour transformer les six fonctions en plan d'action concret : les profils et les niveaux de mise en œuvre (Implementation Tiers).
Le profil : une photographie des résultats visés ou atteints
Un profil décrit l'alignement entre les résultats du CSF et les besoins, la tolérance au risque et les ressources d'une organisation. On distingue :
- Le profil actuel (Current Profile) : ce qui est réellement en place aujourd'hui, mesuré sous-catégorie par sous-catégorie.
- Le profil cible (Target Profile) : le niveau de résultats que l'organisation souhaite atteindre, compte tenu de son appétence au risque et de ses contraintes réglementaires ou contractuelles.
L'écart entre les deux profils constitue le plan d'action prioritaire : c'est la matière première d'une feuille de route budgétée.
Point clé
un profil n'est jamais universel ; le CSF encourage explicitement la création de profils communautaires par secteur (santé, énergie, finance) qui reflètent des menaces et contraintes réglementaires spécifiques.
Les niveaux de mise en œuvre (Tiers)
Les Tiers ne mesurent pas la maturité technique en soi, mais la rigueur et l'intégration de la gestion du risque cyber dans la gouvernance globale :
| Niveau | Nom | Caractéristique dominante |
|---|---|---|
| Tier 1 | Partiel | Pratiques ad hoc, réactives, peu formalisées |
| Tier 2 | Informé sur le risque | Pratiques approuvées par le management mais pas encore homogènes |
| Tier 3 | Répétable | Politiques formalisées, mises à jour régulièrement, appliquées de façon cohérente |
| Tier 4 | Adaptatif | Amélioration continue, intégration des retours d'expérience et des menaces émergentes |
Attention
un Tier élevé n'implique pas nécessairement un profil cible ambitieux. Une organisation peut être Tier 4 (processus très matures) tout en visant délibérément un profil cible modeste sur certaines sous-catégories jugées non prioritaires. Les deux notions sont indépendantes.
Construire un plan d'écart en pratique
- Sélectionner le périmètre (un site, une filiale, un système critique).
- Évaluer le profil actuel sous-catégorie par sous-catégorie (souvent avec une échelle simple : absent / partiel / en place / optimisé).
- Définir le profil cible avec les parties prenantes métier et la direction (fonction Govern).
- Prioriser les écarts en croisant impact métier et effort de mise en œuvre.
- Suivre l'avancement à intervalle régulier et réévaluer le Tier organisationnel.
Sur le terrain
dans un atelier d'auto-évaluation de site, il est efficace de faire coter le profil actuel séparément par l'équipe technique et par le management ; les écarts de perception entre les deux révèlent souvent un déficit de communication plus qu'un déficit technique réel.
Astuce
ne cherchez pas un profil cible à 100 % partout dès la première itération ; un plan d'écart réaliste sur 12 à 18 mois, avec des jalons trimestriels, est bien plus efficace qu'une ambition théorique jamais suivie d'effets.