La gouvernance opérationnelle est le point où la politique rencontre la pratique quotidienne. Elle couvre les activités récurrentes qui font vivre un programme de sécurité entre deux revues stratégiques, transformant l'intention écrite en routines que le personnel, les responsables et les partenaires exécutent réellement. Là où la couche fondamentale fixe les règles, la couche opérationnelle les met en œuvre, en s'assurant que les personnes comprennent leurs devoirs, que les événements sont signalés aux bons publics, que les tiers sont tenus aux mêmes standards et que l'organisation peut continuer à fonctionner quand quelque chose tourne mal.
Les sujets ci-dessous décrivent les principaux flux du travail de gouvernance quotidien.
La sensibilisation à la sécurité maintient les équipes en alerte face aux menaces du quotidien, afin que les personnes deviennent une ligne de défense plutôt qu'un point faible.
La formation développe les compétences précises qu'exigent les rôles, faisant passer le personnel d'une sensibilisation générale à une action compétente.
Le reporting (incident, réglementaire, exécutif) achemine la bonne information vers le bon public, qu'il s'agisse des intervenants, des régulateurs ou de la direction.
La gestion du risque lié aux tiers et aux fournisseurs étend la gouvernance aux fournisseurs et partenaires dont les faiblesses peuvent devenir les vôtres.
La planification de la continuité et de la restauration prépare l'organisation à résister aux perturbations et à revenir rapidement à un fonctionnement normal.
Références#
- NIST Cybersecurity Framework (CSF) 2.0
- ISO/IEC 27001, contrôles opérationnels de l'Annexe A
- ISO 22301, Systèmes de management de la continuité d'activité