Outil · Chapitre 12

Les bonnes questions à poser, chapitre 12¶

Les questions¶

1. Avons-nous réalisé une évaluation formelle des risques cyber de notre organisation, identifiant nos actifs critiques, les menaces les plus probables et notre niveau de vulnérabilité actuel ? Cette évaluation est-elle mise à jour régulièrement ?

2. Notre PCA et notre PRA ont-ils été testés en conditions simulées au cours des douze derniers mois ? Quels systèmes ont échoué à la reprise, et quelles actions correctives ont été engagées ? Nos sauvegardes sont-elles réellement hors ligne et leur restauration a-t-elle été vérifiée ?

3. Notre organisation est-elle dans le périmètre de NIS2 ? Avons-nous réalisé une analyse de notre niveau de conformité et identifié les écarts à traiter, avec un plan de remédiation chiffré ?

4. Quel est notre délai moyen de détection d’une intrusion ? Avons-nous un SOC (interne ou externalisé) opérationnel 24h/24, et un processus de gestion des incidents formalisé et testé ?

5. Le RSSI a-t-il un accès direct à la direction générale et au conseil d’administration ? Son budget lui permet-il de traiter les risques majeurs identifiés dans l’évaluation des risques ?

6. Avons-nous évalué la maturité cyber de nos prestataires critiques ? Nos contrats avec les sous-traitants incluent-ils des clauses de sécurité et des droits d’audit ?

7. Notre direction générale a-t-elle participé à un exercice de simulation de crise cyber dans les douze derniers mois ? Chaque membre du COMEX sait-il précisément quel est son rôle si une attaque survient demain matin ?

L’auteur s’exprime à titre personnel. © 2026 Mehdi Moudden.