#43 : Everest (Comment évaluer sa maturité)

[Musique] Bonjour, mamie. [Musique] Bonjour et bienvenue dans la CyberSecurity expliquée à ma grand-mère. Le podcast pour expliquer la CyberSecurity à des gens qui ne comprennent rien. [Musique] Le 29 mai 1953, en fin de matinée, deux hommes posent le pied sur un endroit où aucun être humain ne s'est jamais tenu. Le sommet de l'évrestre, 8.814 m. Le point le plus élevé de la planète. Le premier s'appelle Enmounida Ari, c'est un apiculteur néosélandé. Le second s'appelle Tandzign Norgay, c'est un cher panépalé. Il est resté rond quelques minutes là où le temps de planter un drapeau et de prendre quelques photographies. Puis ils entamont aussitôt leur descente. Ce que l'histoire retient moins, c'est tout ce qui a eu avant. Avant, il a Ari étant de sigue. Des dizaines d'expéditions s'étaient cassées les dents sur la montagne. La plus célèbre est celle de Jacques Mallorie en 1924. Mallorie a qu'il ont demandé pourquoi il voulait tout prigager les vrais. Aveu cette réponse mythique parce qu'il est là. Mallorie a disparu près du sommet et aujourd'hui encore, on ignore s'il latin avant de mourir. Personne n'a jamais pu le prouver. Retenez bien ce détail parce que nous y reviendrons. En haute montagne, comme en cibers sécurité, atteindra un niveau de suffit pas. Encore fait-il pouvoir le démontrer. Et puis il y a quelque chose que tout alpinisme y malayé un c et que le grand public ignore souvent. On ne grimpe pas à l'évresse d'une seule traite. On ne part pas du fond de la vallée pour foncer vers le sommet. La soréla mort a sumé, la sension se fait par étapes par qu'en succès siffe, de plus en plus haut, c'est paré par de longues semaines d'acclinitation. Le corps a besoin de temps pour s'adapter à l'altitude. Montez trop vite, brûler les étapes, c'est exposer à le dame pulmonaire, à l'épuisement et à la mort. La montagne de ces quefer de votre impatience. Vous l'avez compris, je vous parlais aujourd'hui de maturité en cibers sécurité. Et plus précisément des méthodes qui permettent de mesurer cette maturité. Parce que, exactement comme mon gravier les restes, on ne devient pas maturé en cibers sécurité du jour ou lendemain. Il y a une montagne à gravir, il y a des camps à franchir, il y a une acclimitation à respecter, il existe des méthodes pour savoir à chaque instant et à quelle altitude on se trouve. Avant d'aller le plus loin, posons-nous une question toute simple. Qu'est-ce que la maturité en cibers sécurité? Quand on parle d'inforie matur, on évoque un prix qui atteint son plan développement, son petit moped du coup, de couleur de texture. Quand on parle d'une personne matur, on dessine quelqu'un qui a qui le recule la sagesse, la stabilité nécessaire pour faire face aux situations de la vie. -Ave-vous Simon? -Bonjour. Ma pèse Simon Katassan. J'ai télévé avec lui Frère, donc on est une fratrie, quoi. J'ai été suivi par une personne qui m'a expliqué que si j'étais infidel, c'est rapport que je cherchais l'image de ma mère. Ah, bien, vous en pensez quoi, Simon? Moi, je pense que c'est des conneries, parce que moi, j'aime bien les cougards plus. Les cougards peut taper. -D'accord. -Mure, mais mure, fin de carrière. -D'accord. -Puis ce qu'il y a besoin peut-être même d'assistance. -D'accord. -Je parle d'un personne. -D'accord, Simon. -D'accord. -Et vous trouvez que votre femme est étrojante? -Non, va vieillir. Mais je me demande si je n'aurais pas dû peut-être partir avec sa mère. -Quand on parle d'une démarche mature dans une entreprise, on évoque une démarche qui est non seulement mis en oeuvre, mais comprise, maîtrisée, mesurée et améliorée en continu. La maiturité ce n'est donc pas une question de "J'ai installé tel outil ou j'ai recruté tel expert". C'est une question de niveau global de maîtrisée. Pour ces i comme à l'alpinisme, vous pouvez acheter la meilleure d'eau d'eau dans du vêt, les crampons les plus performants, le plus cher du magasin, cela ne fait pas de voix en alpiniste. Une organisation peut avoir le meilleur feuillorol du monde, le meilleur antivirus du marché, le meilleur cm disponible, il a affiché une maturité si vertréfable. À la verse, une organisation au moyen plus modest peut afficher un niveau de maturité plus élué si ses processus sont solides, ses équipes formées, sa gouvernance claire et son amélioration continue effectile. Le matériel ne fait pas le grimpeur. Évaluer les maturités, c'est donc répondre à trois questions fondamentales. A quelle altitude sommes-nous aujourd'hui, jusqu'auvre-nous monté et quelle élité n'est rare pour y parvenir? Ces trois questions, en apparence simple, sont en réalité d'une complexité redoutable et c'est précisément pour y répondre que des méthodes et des référentiels ont été développés au fil des décennies. Mais d'abord, pourquoi se donner la peine de mesurer cette maturité? La première raison, c'est tout simplement qu'on ne pilote bien que ce qu'on mesure. Un alpiniste qui ignore son altitude, sa position sur la montagne et le temps qu'il y au reste avant la nuit est un alpiniste en danger. Vous ne pouvez pas non plus d'augmenter à votre direction générale d'investir 1 million d'euros dans la cyber-sécurité sans pouvoir justifier précisément ou vous en nette et ce que cet investissement va apporter. La maturité fournit un langage commun, partagé, compréhensie par les financiers, les opérationnels, les juristes et les techniques. La deuxième raison, c'est qu'une évolution de maturité permet de prioriser. C'est comme une boussole pour les feuilles de route plus réannuelle et c'est un outil de dialogue avec les métiers. La troisième raison, c'est la conformité, non plus en plus de réglommentation comme NIS 2 en Europe ou DORA dans le secteur financier, exige que les organisations démontrent un niveau de maturité minimum. De plus, ne pas pouvoir le démontrer, c'est s'exposer à des sanctions, mais aussi à des pertes et de crédibilité aux précieux clients et ses partenaires. La quatrième raison, la plus stratégique encore, c'est que la maturité influente directement la valorisation d'une entreprise. Lors d'une fusure inquisition, lors d'une levée de fond, lors d'un appel d'offre important, les valuations de la maturité cyber et devenu un critère discriminant. Une entreprise immaturant cyber-sécuété, c'est une entreprise risquée et le risque est un coup qui se traduit toujours à un moment ou un autre dans le prix appellé. Reprenons notre montagne, l'ascension des restes par la voix classique s'organise autour d'une succession de camps. Le camp de base d'abord installé vers 5 400 m. Puis les camps d'altitude, de plus en plus haut jusqu'au dernier camp, perché après de 8000 m, à l'alisière de ce que les alpinites appellent la zone de la mort. Et enfin, tout en haut, le sommet. Entre chacun, des allées retours d'acclimitation, ce principe qu'on résume par la formule, grimpe et haut, dormire bas. Dans le monde de la maturité organisationnelle, il existe une échelle qui ressemble étonnamment à cette progression par camp. Elle a été formalisée à la fin des années 1980 par le software engineering institute de l'université de Carnegie Mellon à Pittsburgh. Dans un modèle qui s'appelait à l'époque, le Capability Maturity Model ou CMM. Ce modèle a ensuite évolué pour devenir le CMI, le Capability Maturity Model Integration, qui est aujourd'hui une référence mondiale. Et ces 5 niveaux se retrouvent sous des formes diverses, dans presque tous les référentiels de maturité, y compris ce dédié à la cyber-sécurité. Le premier niveau s'appelle Initial, c'est le départ depuis la vallée, sans carte et sans plan. A ce niveau, les pratiques de cyber-sécurité existent peut-être, mais elles sont essentiellement réactives, individuelles, dépendant de la bonne volonté de quelques personnes. Quand un incident survient, on sait débrouille. Quand une menace émerge, on improvised. Il n'y a pas de processus formalisés, pas de documentations, pas de mémoire organisationnels. C'est l'âge des héros, des animisateurs systèmes qui savent l'entreprise à 3 heures du matin et dont personne ne sait exactement ce qu'ils font ni comment ils le font. Le deuxième niveau s'appelle Géré. C'est le camp de base. Une organisation existe enfin. On a planté les tentes, on a installé la logistique. Certaines pratiques sont devenues récurrentes. On a des procédures pour traiter les éthiqués, pour appliquer les correctifs, pour intégrer les nouveaux qualiborateurs. Mais ces procédures, restent souvent locales, pour apprécher un équipe, un camp, un système. Ils ne sont pas formalisés au niveau de l'organisation. Si la personne qui les pratique par en vacances ou qui l'entreprise, une partie du savoir faire s'évapore avec elle, le troisième niveau s'appelle Définie ou Diffine. Ce sont les camps d'altitude reliés entre eux par des corps de fixes, soigneusement posées et balisés. A ce niveau, les procédures sont documentés, standardisés, partagés à l'échelle de l'organisation. Tout le monde suit les mêmes inténérêts, tout le monde sait comment réagir un incident parce que la procédure existe et qu'elle est appliquée de la même manière partout. La formation est organisée. La gouverne en céclaire, les rôles et les responsabilités sont définies. C'est le seuil à partir duquel on peut achirmer qu'une organisation est sérieuse en matière de cyber-sécurité. Le quatrième niveau s'appelle "Measurer quantitativement". C'est le dernier camp, après de 8 millimètres. Et à la limite de la zone de la mort, là où on ne fait plus rien au hasard. On surveille la pression partielle de l'oxygène, on gête la fenêtre météo, on fixe une heure de demi-tour, qu'on dépassera sous aucun prétexte. On ne se contente pas d'appliquer des procédures, on les mesure. Combien de temps fait-il envoyé de pour détecter un incident? Combien pour le contenir? Combien de correctifs sont-ils appliqués dans les délésibles? Quel pourcentage du personnel a effectivement suivi la formation prévue? La donnée devient le carburant, la décision? Et puis vient le 5ème niveau, le optimise ou optimiser? C'est le sommet, et même au-delà. La zone niveau, l'organisation utilise les mesures du niveau précédent pour s'améliorer en permanence. Elle anticipe les évolutions, ils n'ovent dans ces pratiques, partage ses retours d'expérience. oubre de nouvelles voix. La cyber-sécurité n'est plus un coup ou une contrainte, c'est un avantage compétitif. C'est rare, très rare. Et comme le sommet de l'évreste, ce n'est jamais un lieu où on s'installe. C'est un point que l'on date un et qu'il faut aussitôt savoir quitter intelligemment. C'est échel à cinq niveaux qu'on l'appelle CLMI-MI ou autre et le squelette commun de la plupart des référentiels que nous allons maintenant explorer. Mais chaque référentiel apporte ces spécificités, ces domaines d'applications, sa philosophie. Commençons par celui qui est probablement le plus connu à l'internationnel. Le NIST s'est versé critique framework au NIST-SF. Le NIST c'est le national institut of standard and technology. L'agence fédère à l'américain dans charge des normes techniques. Le S.S.F a été publié pour la première fois en 2014 à la demande du président américain qui souhaitait un cadre pour protéger les infrastructures critiques. Une nouvelle version, profondément reméniée, a été publiée plus récemment. Le S.S.F s'organise autour de fonction principale dans sa version originale. On en compte 5 à savoir identifier, protéger, détecter, répondre et récupérer. La nouvelle version a ajouté une 6ème fonction, gouverner, qui chapeaute toutes les autres. Et c'est une excellente nouvelle parce que sans gouvernance, les meilleurs pratiques techniques restent fragile et finissent toujours par s'éroder. Mais ceux qui nous intéressent particulièrement aujourd'hui, ce sont les niveaux d'implémentation du S.S.F qu'on appelle les tiers. Ces tiers sont au nombre de 4, le premier s'appelle Parcheul, le partiel. Il correspond à des pratiques à dock, réactives, peu coordonnées avec la stratégie globale. Le deuxième tiers s'appelle Risking Forme. À ce niveau, les pratiques tiennent contre des risques et sans être encore systématisés. Le troisième tiers s'appelle Repetable, répétable. Les processus sont formalisés, appliqués de manière cohérente et la cyber-sécurité est intégrée à la culture de l'organisation. Le quatrième et le dernier tiers s'appellent Adaptive, Adaptive. L'organisation apprend de ses expériences, Anticiple et Manasse partage avec son déco système et améliore consignuellement ses pratiques. Vous reconnaissez la philosophie? C'est encore et toujours l'échelle de maturité, déclinée à la sause Niste. La force du S.S.F, c'est sa souplesse. Il ne dit pas une organisation qu'elle tiers il doit atteindre. Lui demande de définir son entière sile en fonction de son contexte, le sé risque, les séobiliations. Toutes les expéditions ne visent pas le sommet des vrestes. Certains se fixent un candidat de attitude comme objectif et c'est parfaitement légitime. Une petite B.M.E. et une banque systémique n'ont pas pour vocation à viser les mêmes niveaux et c'est très bien comme ça. Une autre force du S.S.F. c'est l'idée de profil. Un profil, c'est une photographie de l'état de chaque fonction et chaque catégorie de frein mork a un instant donné. Il est un de les profils actuels qui décrit la situation présente, le profil civil qui décrit la situation visée. Les 4 entre les 2 c'est précisément littinéraire tracé. C'est la carte d'opographique de votre ascension, celle qui montre où vous êtes et où vous voulez aller. C'est concret, c'est actionnable et ce devenu un référent dans le momentier. En prenant un instant la généologie, le C.M.E. donc est le grand paire de la plupart des modèles modernes. Il est dans les années 1881 pour évaluer la maturité des éditeurs de logiciels qui travaillent pour les départements de la défense américain. Il a essayé dans toutes les domaines et notamment la cyber-sécurité. Un des descendants directs les plus intéressants est le C2M2 prononcé si tout aime tout en anglais. Pour sécurité, capability, maturité modale. Ce modèle a été développé par le département de l'énergie américain. Allergie pour les acteurs du secteur de l'édéctricité. Mais il est aujourd'hui thisa par tous les organisations. Il couvre une dizaine de domaines à l'an de la gestion des risques, à la gestion des accès en passant par la gestion des incidents, la formation ou encore la sécurité des suplaits chènes. Pour chaque domain il définit des pratiques à différents niveaux de maturité et l'organisation peut s'autoïvaluer ou se faire évaluer. L'intérêt du C2M2, c'est qu'il est gratuit, librement téléchargeable et qu'il vient avec un outil d'évaluation qui produit des graphiques visuelles très parlants. On voit immédiatement où son offorce est nos faiblesse. La roue de la maturité sort de toiles d'arignées à plusieurs branches ressemblent un peu au profil d'altitude d'un parcours de montagne. Dans Kudoï, on repère les passages bien négociés et les pantes encore un peu raides. Et c'est facile à présenter un comité de direction. Or, vous le savez, en cyber-sécurité, savoir parler à la direction est probablement la moitié du métier. Toujours du côté américain, mais dans un registre beaucoup plus contraignant, le CMMC, le Cyber-Security Maternity Model Certification. Celui-là, ce n'est pas un référentiel de toile évaluation pour s'améliorer tranquillement. C'est une certification obligatoire pour les entreprises qui souhaitent travailler avec le département de la défense américaine, le CMMC, s'appuie sur les contrôles définies dans le NIST SP-800-10071 et le NIST SP-800-10012. Il organise des exigences à plusieurs niveaux de certification. Au niveau le plus bas, on parle de pratiques de cyber-igienne de base. Au niveau plus élevé, on parle d'une protection avancée contre les menaces persistances et ciblées, qu'on appelle les APT pour ADVANCE-PERSISAN-STRETS. La particularité du CMMC, si qu'il introduit la notion d'évaluation par un tiers. Pour les niveaux les plus élevé, l'entreprise ne peut pas s'auto-déclarer conforme. Elle doit faire appel à un évaluateur externe à crédité. C'est exactement comme la qualification d'un guide en haut de montagne. On ne s'auto-proclame pas, guide capable de mener une cordée sur les vrestes. - On peut que le CMMC s'enchausser, on ne sait pas arriver. - On ne est moi. - On est écouté, M. Gressou, car on met beaucoup de vêtements hospitalisés, et on se retire. - Vous allez pas partir comme ça, c'est un boire un petit coup. - Non, non, non, non, non, non, non, non, on n'a pas besoin. - On va faire le tir avec les pétits. - On va chercher la bouquette. - Allez, allez. - Tu as le temps de tirer. - C'est ce qu'on a à peu dure. - Ils sont charmants, ce sens-œuvre soyaient encore valentine. - C'est moins de de politesse, non? - C'est à ce faux, c'est pas ce qui bouffe. - C'est très bon. - On est là. - Ah! - Dites-moi, comment vous faites pour faire passer le crampot à l'intérieur de la bouteille? - Ah, leurs arbres ont fait sécher et puis l'orile vient tout fin, l'orile entre, et puis après, a agrumité et gros. - Une instance indépendante pour évaluer, vérifie votre expérience réelle et vous délivrez une qualification. Elle est possible vous l'art fusée. Souvenez-vous de George Malloray. Une affirmation sans preuve ne vous rien. Le CEMC, c'est précisément l'exigence de la preuve et beaucoup de réglementation européenne, regarde cet école avec grande intérêt, notamment dans le cadre de la transposition Niste. Très vers son maintenant l'Atlantique, le grand standard international, en matière de management de la sécurité de l'information, c'est une énorme ISO 27001, accompagnée de toute la famille de normes 27000. Ils ont 27000 indéfinis les exigences pour mettre en place un système de management de la sécurité de l'information qu'on appelle CEMMI. La première vue, disons 27000 n'est pas un modèle de maturité, c'est une norme de certification binaire, soit votre organisation est certifiée, soit elle ne les pas. C'est un peu comme un permis d'ascension délivrée par les autorités n'est palaises. Vous l'avez ou vous ne l'avez pas. Mais la réalité est un peu plus nancée. Les normes exigent de mettre en place un cycle d'amérations continue, le fameux PDCA. PDCA pour pleine, dou, check act, que vous connaissez peut-être sous le nom de roue de Doming. Et ce cycle, par nature, structure une véritable démarche de progression. Pour les plus loin, ISO a publié une norme complémentaire, ISO 27004, dédié au mesure et indicateur de sécurité. Cette norme aide les organisations à définir des indicateurs pertinents, à les collecter, à les analyser et à les communiquer. Et c'est précisément à ce niveau qu'on passe que le du simple gérer vers mesurer quantitastiquement de notre échelle de maturité. Beaucoup d'organisations utilisent ISO 2700 comme "socle", y ajoutent une grille de maturité maison, on emprunte à d'autres référentiels pour évaluer plus finement ou il se situe au-delà du simple, certifié ou pas. Avoir le permis d'ascension, vous autorise à rentrer sur la montagne, une des rien de l'altitude que vous avez réellement atteinte, une de la qualité de votre acclimitation. Restant en Europe, et plus précisément en France, l'Anci, la gence nationale de la sécurité des systèmes d'information, propose plusieurs outils particulaires mutiles pour évaluer et améliorer les maturités. Le plus connu, et sans doute le guide digène informatique qui définit 40è de mesures que toute organisation devrait mettre en or. C'est vôtre terme en basique, accessible, pragmatique, c'est la hise de vérification de base, celles qu'on coche avant même de quitter le camp de base. Les grands pensent de s'en tirer la futée, le "baudrier est-il boucler", la corde est-elle en bonnita. Le simple fait de pouvoir cocher honnêtement à la mise en oeuvre de ces mesures, place déjà une organisation au-dessus du premier niveau de maturité. Et cela ne nécessite ni consultant ni licence, ni logiciel particulier. L'Anci est proposé également la méthode et bios-risk management, et bios-seram, qui est une méthode d'anice des risques et qui peut s'utiliser conjointement avec une démarche d'évaluation de maturité. Et plus récemment, la gence a publié des référenciels sectoriales et des gris d'évaluation spécifique, notamment dans le cadre d'altranspétion de la directive nis-de-de-e dans le droit français. La proche de l'Anci est particulièrement intéressante, un l'incite fortément sur l'île. une mesure de sécurité pour être réellement efficace doit être implementé à un certain niveau de qualité suivi dans le temps et intégré dans l'organisation. Cocher une case ne suffit pas. La majorité, c'est la profondeur de l'implémentation autant que la largeur du perrémètre couvert. C'est une notion fondamentale parce que beaucoup d'organisations sont contents de déclarer lui, on fait du patch management. Alors quand on a été, le patch management est délégué à un prestataire qui n'est jamais vraiment vérifié et que les résultats ne sont jamais réellement consolidés. Sur la montagne, une corde fixe malarimée est plus enjeuse que l'absence de corde parce qu'elle inspire une fausse confiance. Mentionnant également Covid, un référentiel un peu différent, parce qu'il n'est pas strictement des diales et cyber-sécurités, mais la gouvernance et aux management des systèmes d'information dans leurs ensembles. Covid est porté par Lysaca, une association internationale de littor de systèmes d'information. Dans sa version actuelle, Covid-2019, le référentiel propose un modèle de capacité de maturité qui s'inspire à nouveau de SIEMMI. Pour chaque processus, on évalue le niveau de capacité, c'est-à-dire la manière dont le processus est exécuté individuellement et le niveau de maturité, c'est-à-dire la manière dont l'organisation dans son ensemble gère ses processus. L'intérêt de Covid, c'est qu'il permet de positionner la cyber-sécurité dans une marche plus large de gouvernance des systèmes d'information, c'est la logique d'ensemble de l'expédition, pas seulement de l'accorder qui rint, mais de tout ce qui rend possible, leur habituellement, la communication, la coordination entre les camps. Beaucoup de RSAs utilisent Covid pour parler le même langage que leur DSC, leurs audits à interne, leur commissaire au compte. C'est un pont entre les mondes techniques et le monde à l'égoverance de l'entreprise. Et soyons nette, sans ce pont, le RSA s'y risque de rester à un beau parleur, incompris dans son couloir. Nous avons fait le tour des grandes méthodes, mais comment fait-on concrètement pour mener une évolution de maturité dans une organisation? Préparez une évolution, c'est préparer son expédition, cela ne s'improvise pas et cela suit un protocole. La première étape, c'est de définir le périmètre. Quelle montagne attaqueons-nous? Et par quel phase? Vous les vouez évoluer toute l'entreprise ou seulement une filiale, tous les systèmes d'information ou seulement le plus critique. Cette définition est plus cruciale parce qu'elle conditionne tout le reste. Un périmètre trop large n'aurait à l'évolution dans la moyenne, un périmètre trop et trois donnera une vision déformée. La deuxième étape, c'est le choix du référentiel. NISTSF, ils ont 27 000, si tout aime tout, un référentiel secteuriel. Le choix dépend de plusieurs critères, quels sont vos obligations réglementaires, quels sont les attentes de vos clients et de vos partenaires? Quels sont les référentiels que vos pairs utilisent? Et surtout, quelle référentiel votre équipe est capable de comprendre, l'utiliser et de faire vivre. La meilleure carte du monde, mal lu, met droit dans la crevasse. La troisième étape, c'est de constituer l'équipe d'évaluation. Faut-il faire en interne ou faire appel à un cabinet externe? L'évaluation interne à la montage du coup et de la connaissance fin du contexte. Elle a l'inconvénient de la complaisance et du manque de recul. L'évaluation externe apporte leur garde-neuf, l'expérience à la comparaison entre d'autres organisations et une certaine forme de garantie d'objectivité. C'est le rôle du cher paix et du guide des gens qui connaissent la montagne pour l'avoir gravie sans foi et qui vous diront sans ménagement ce que vous ne voulez pas entendre. Pour des évaluations arranges, en vue d'une certification ou d'une publication de résultats, l'évaluation externe est souvent indispensable. La quatrième étape, c'est la collecte des éléments de preuve et ici, il faut être méthodique. Une évaluation de maturité repose sur trois types de sources. Les entretiens, avec les responsables et les opérationnaires, pour comprendre comment les choses se passent réellement, les documents pour vérifier que les politiques et procédures, les rapports existent bien et sont à jour et les éléments techniques, comme les confiérations des outils, les logs, les traces d'exécution. Quand les trois sources convergent, on peut affirmer le niveau. Quand elles divergent, il y a quelque chose à creuser. C'est dans ces divergences que se cache les vrais sujets. La cinquième étape, c'est la cotation. Pour chaque domaine de référentiel, l'équipe d'évaluation attribue un niveau de maturité en sépuyant sur les éléments collectifs. Cette cotation doit être documentée, justifiée, traceable, et elle doit être discutée. On voit très souvent des évaluations menées en chambre par une seule personne qui aboutit sa décontlusion impossible à défendre quand quelqu'un les remet en question. La 6ème étape, c'est la récitution. C'est probablement la plus délicate. Vous allez devoir présenter à votre direction des résultats qui ne seront pas tous brillants. C'est même le but. Une évaluation ou tout éveur n'apporte aucune valeur. Et probablement fausse. La restitution doit être affranche, factuel, voici construit qui, pas de cinématisation, pas de chasse au sortière. La maturité, c'est une altitude un instant donné, pas un jugement moral. Et la restitution doit dépoucher sur un itinéraire, parce que sans l'itinéraire, les évaluations ne auraient servi à rien. Maintenant que nous avons décrit la méthode, parlons des erreurs classiques. Pour cela, permettez-moi dévoquer une tragédie restée célèbre. En 1916, à plusieurs expéditions commerciales, se retrouvent piégés près du sommet de l'évrestre par un tempête soudain. Le bilan fera 8 morts en une seule journée. Cette catastrophe racontait notamment dans le livre "Trachédie et l'évrestre" de John Kroghauer, illustre presque toutes les erreurs que l'on commet aussi en évaluation de maturité. La première erre, c'est de confronter maturité et sécurité. Une organisation très mature peut être attaqué et compromise. Comme un alpinisme chevronné peut mourir dans une évalanche. Une organisation peu mature peut, par chance ou parce qu'elle intéresse personne, de jamais subir d'un site insérieur. La maturité ne garantit pas l'absence d'incident. Elle augmente la capacité à les prévenir, elle est des été rapidement, et elle est conti efficacement. Il y a un tirer des enseignements. C'est différent. C'est important de le rappeler quand un dirigeant demande, mais si on était vraiment mature, on ne se ferait pas attaqué, n'est-ce pas? La deuxième erre, c'est l'auto-évaluation complaisante. C'est humain. Personne n'aime se voir attribuer une mauvaise note, surtout quand on est responsable du sujet. Spontanément, les acteurs ont tendance à se surnoter, comme un grappeur se surestime sur sa forme du jour. Pour contrer ce billet, plusieurs techniques existent. Demandez des éléments de prof systématique pour chaque niveau revendiqué. Faire évaluer le même domaine par deux personnes différentes et confronter les résultats. Ou tout simplement faire appel à un cabinet externe. La troisième erre, c'est de viser le niveau 5 partout. C'est l'erreur de la zone de la mort. Au dessus de 8000 m, le corps humain ne récupère plus. Il se dégrade minute après minute. On ne vit pas dans la zone de la mort. On ne fait qu'il passait, et le plus vite possible. Vous l'aurez maintenu en permanence le niveau 5, surtout les domaines, c'est vous l'aura installé, son camp dans la zone de la mort. C'était puissant, ruineux et inténable. Sur les domaines vraiment critiques pour votre métier, viser le plus haut à du sens. Sur d'autres domaines plus périphériques, viser le niveau 3 sera amplement suffisant. La maturité n'est pas un concours d'altitude. C'est un alignement entre les enjeux et la capacité. La quatrième erreur s'édignorent l'heure du demi-tour. Sur les vrestes, les guides fixent une règle absolue. Si vous n'avez pas atteint le sommet à une certaine heure, vous faites demi-tour, sommet ou bas. En 1936, plusieurs élepinistes ont ignoré cette règle, obsédé par le sommet si proche. Ils ont continué et la tempête les a rattrapé sur le chemin d'urtours. En matière de maturité, l'équivalent, c'est de traiter l'évaluation comme un événement pour actuel. En fait, l'exacier su une fois, on produit la rapport et on range dans un tiroir. La maturité doit être pilotée en continu avec des points d'état prégulier. Des indicateurs suivent en temps des ajustements de l'itinière ou furent les mesures que le contexte est voulu. La cinquième erreur, plus subtile, c'est d'oublier les dépendances. Sur la montagne, vous êtes encore dé. Le niveau du grand peur le plus faible, de l'accorder déterminent la sécurité de toute l'accorder. En cyber-sécurité, c'est pareil. Vous évaluez votre propre maturité et qu'en est-il de celle de vos fournisseurs, de vos prestataires, de vos partenaires? La maturité d'une chaîne dépend de son mayone plus faible, les plus vos systèmes sont interconnectés et plus cette dépendance compte. Les attaques sur le supplétien logiciel, où l'on a vu des éditeurs comprimies, devenir des vecteurs d'infection de milliers de leurs clients, sans là pour nous leur rappeler de manière douloureuse. Une évaluation de maturité n'est de valeur que s'il débouche sur l'action. Une fois que vous savez à quelle altitude vous vous trouvez, il faut tracer la route vers le camp suivant. On ne se trouve pas un camp, on ne vise pas directement le sommet depuis la vallée. C'est exactement la démarche d'un inténier de maturité. Pour chaque domaine où vous voulez progresser, vous identifiez les actions amenées et ressources nécessaires, l'aider les raisonnables et les indicateurs de progression. Vous priorisez en fonction des risques, des efforts et des valeurs ajoutées. Vous venez d'y dire avec votre direction et vous exécutez. Un bon intinaire s'étale généralement sur trois ans, divisez en étape semestre réelle. La première étape se concentre sur les fondamentaux nous couvert, ce qu'on appelle parfois les cuicuin. Ces actions a fort impact, y a coups me derré. Les étapes suivantes apprent fondies de les domaines plus complexes, qui nécessitent souvent des transformations organisationnelles et des investissements technologiques significatifs. Et il faut savoir attendre la bonne fenêtre sur les restes, on entend tout le sommet que quelques jours par an, quand la météo le permet. Une organisation est aussi assez fenêtre. Un budget qui se développe, une réorganisation, une nouvelle exigence réglementaire, l'arrivée d'un dirigeant sensibleisé. C'est à voir ces irres ces fenêtres pour faire avancer la méturité, fait partie du métier. Et bien sûr, à un intervail régulier, on refait une éoliation. Pas forcément complètement à chaque fois, les ciblées sur les domaines où l'on a investi pour mesurer les progrès et ajuster le tir si nécessaire. Sans cette boucle de mesure, on avançait la vogue dans l'obrouillard sans ultimètre. Une dernière remarque importante. La maturité de l'autre programme de formation et de sensibilisation, dont je parlais en détail, dans un épisode précédent à propos du référentiel, NIST SP-850. Fait évidemment partie intégrante de la maturité globale. Et c'est même souvent le levier le plus rentable. Faire mon terme maturité, c'est pratique de sensibilisation, c'est formation de baiser sur les rôles, ses exercices de crise, coute beaucoup moins cher que de déployer un nouveau siem et le retour de surinvestissement et souvent supérieur. Un médité quand on prépare ses arbitrages budgétaires. Vous l'avez compris, l'évolution de la maturité en cyber-sécurité n'est ni un gadget de consultant, ni une formalité de NIST RATI NIEU. C'est un petit pidetage stratégique, un langage commun, et une boussole pour savoir où le seau trop sur la montagne. Mais je vous ai terminé par ce détail que je vous ai demandé de retenir tout début. Quand il arrête un zing, on t'attend à me semer de l'herest, il s'en restait quelques minutes. Et savez-vous où se produisent la grande majorité des accidents mortels en hautemental? Pas la montée, à la descente, contre la ministre, épuisée, à cour de oxygen, euf oric d'avoir touché son but, relâche son attention. Le sommet n'est jamais l'objectif réel. L'objectif, c'est de revenir vivant. Pour vos organisations, c'est exactement pareil. Attendre à un niveau de maturité n'est pas la fin de l'histoire. Le mardire, l'entre-t-ilire, le défendre contre les reussions naturelles du temps, les départs, les réorganisations et les nouvelles menaces, c'est souvent plus difficile que d'atteindre une première fois. La maturité ne s'achète pas, elle ne se déclare pas, elle se construit quand après quand. Et elle se maintient jour après jour, avec patience, méthode et unité. Alors prenez le temps de la climatation, respectez les étapes, mesurez votre attitude, encore des vous avec des partenaires solides, et n'oubliez jamais que sur cette montagne-là, on n'arrive jamais tout à fait au sommet. On apprend simplement à monter un peu plus haut et un peu plus sûrement chaque année. Encore merci d'avoir écouté cet épisode de la Cybersecurity expliquée ma grand-mère, n'hésitez pas à le liker, à le partager avec d'autres et en parler autour de vous. Si vous êtes sur Spotify, vous pouvez aussi donner votre avis et proposer des sujets qui vous semblent pertinents. Mais surtout n'oubliez pas pour certains la Cybersecurity est un enjeu vignement. C'est bien plus à rux. [Musique] [Musique] [Musique]