Atelier d'auto-évaluation d'un site
Mener une auto-évaluation CSF 2.0 sur un périmètre restreint, du recueil des preuves au plan d'action.
À retenir
- Une auto-évaluation efficace s'appuie sur des preuves documentées, pas sur des déclarations.
- Chaque fonction du CSF se décline en questions concrètes ancrées dans le quotidien du site.
- Les écarts se priorisent selon l'impact métier et l'effort de mise en œuvre.
- L'existence d'un outil ne suffit pas : la sous-catégorie exige un résultat opérationnel réel.
Mener une auto-évaluation CSF sur un site
L'auto-évaluation est l'exercice le plus concret pour s'approprier le CSF 2.0 : elle transforme un référentiel abstrait en diagnostic actionnable sur un périmètre précis (un site data center, une application, une filiale).
Préparer l'atelier
- Définir un périmètre clair : un site unique plutôt que « toute l'entreprise » pour un premier exercice.
- Réunir les bonnes parties prenantes : exploitation, sécurité physique, réseau, RH (pour Govern et Protect côté personnel), et un sponsor de direction.
- Choisir une grille de cotation simple, par exemple à quatre niveaux par sous-catégorie : absent, partiel, en place, optimisé et audité.
Point clé
l'auto-évaluation doit s'appuyer sur des preuves (procédures écrites, journaux, tickets d'incident), pas seulement sur des déclarations d'intention ; sans preuve, une pratique jugée « en place » retombe en réalité à « partiel ».
Dérouler l'atelier fonction par fonction
Pour chaque fonction, poser des questions concrètes ancrées dans le quotidien du site :
- Govern : existe-t-il une politique de sécurité approuvée par la direction et revue annuellement ? Les risques fournisseurs (climatisation, énergie, télécoms) sont-ils évalués ?
- Identify : l'inventaire des actifs (serveurs, onduleurs, équipements réseau) est-il à jour et daté de moins de six mois ?
- Protect : les comptes à privilèges sont-ils protégés par authentification forte ? Les accès physiques font-ils l'objet de revues périodiques ?
- Detect : les journaux critiques sont-ils centralisés et surveillés en continu, ou seulement consultés après coup ?
- Respond : existe-t-il un plan de réponse à incident testé dans les douze derniers mois ?
- Recover : les sauvegardes sont-elles testées par restauration réelle, pas seulement vérifiées par un statut « succès » ?
Attention
un piège classique est de coter une sous-catégorie « en place » simplement parce qu'un outil existe (par exemple un SIEM installé), alors que la sous-catégorie exige un résultat opérationnel (les alertes sont réellement triées et traitées dans un délai défini).
Restituer et prioriser
Une fois la cotation faite, classer les écarts identifiés selon deux axes : impact potentiel sur l'activité et effort de mise en œuvre. Les écarts à fort impact et faible effort deviennent les actions à traiter en premier ; les écarts à fort impact et fort effort nourrissent le plan pluriannuel validé par Govern.
Sur le terrain
sur un site en Afrique de l'Ouest disposant d'un groupe électrogène et d'un contrôle d'accès physique robustes, il n'est pas rare de constater un excellent score sur Protect (sécurité physique) mais un score très faible sur Detect, faute de corrélation entre les journaux réseau et les événements physiques (badges, alarmes).
Astuce
documentez chaque cotation avec la preuve associée (nom du document, capture d'écran, référence de ticket) directement dans la grille d'évaluation ; cela accélère considérablement la prochaine itération et sert de base à un futur audit externe.