La couche de gouvernance fondamentale est le socle sur lequel repose toute autre partie d'un programme de sécurité. Elle définit qui est responsable de la sécurité, met par écrit les règles que chacun est censé suivre, confirme que ces règles satisfont à la loi et vérifie que la pratique correspond à l'intention. Sans ce socle, les gouvernances opérationnelle et stratégique n'ont rien de stable sur quoi s'appuyer. Une organisation qui réussit ses fondamentaux peut déléguer le travail en confiance, démontrer sa diligence aux régulateurs et détecter les lacunes avant qu'elles ne deviennent des incidents.
Ce pilier réunit les éléments essentiels qui donnent à un programme sa structure et son autorité. Les sujets ci-dessous décrivent chacun d'eux à tour de rôle.
Les rôles et responsabilités établissent une propriété claire, afin que les tâches de sécurité aient des parties responsables nommées plutôt que de passer entre les mailles du filet.
Les politiques et procédures traduisent l'intention en attentes écrites, donnant au personnel des orientations concrètes sur la façon dont le travail doit être mené.
La conformité aux exigences légales et réglementaires fait correspondre les obligations externes aux contrôles internes, réduisant l'exposition juridique et le risque de réputation.
L'audit apporte une assurance indépendante, vérifiant que les contrôles existent, fonctionnent comme prévu et continuent de fonctionner dans la durée.
Références#
- NIST Cybersecurity Framework (CSF) 2.0, fonction Govern
- ISO/IEC 27001, Systèmes de management de la sécurité de l'information
- COBIT, Gouvernance et gestion des systèmes d'information d'entreprise