La gouvernance stratégique est la direction, au niveau du conseil, qui fixe le cap de tout ce qui se trouve en dessous. Elle se préoccupe moins des contrôles individuels que de la manière dont la sécurité soutient la mission, du niveau de risque que l'organisation est prête à accepter et de la façon dont la direction sait si le programme fonctionne. Les décisions prises ici façonnent les budgets, les priorités et la tolérance à l'exposition, donnant aux couches fondamentale et opérationnelle leur mandat et leurs limites. Bien menée, elle maintient la sécurité alignée sur les objectifs de l'organisation au lieu de la traiter comme un coût à réduire.
Les sujets ci-dessous décrivent les principales préoccupations de la gouvernance au niveau de la direction.
La supervision par le conseil et la direction place la responsabilité de la sécurité au sommet, là où se décident la stratégie et les ressources.
La gestion du risque d'entreprise pèse la sécurité au même titre que tout autre risque de l'organisation, afin que les arbitrages soient faits délibérément.
Les référentiels de sécurité fournissent une structure commune pour organiser les contrôles et mesurer la maturité au regard de standards reconnus.
La gouvernance des données définit la façon dont l'information est classifiée, détenue et protégée tout au long de son cycle de vie.
Les métriques et KPI stratégiques donnent aux dirigeants une base factuelle, transformant l'activité du programme en signaux à partir desquels piloter.
Références#
- NIST Cybersecurity Framework (CSF) 2.0, fonction Govern
- ISO/IEC 27001 et ISO/IEC 27014, Gouvernance de la sécurité de l'information
- ISO 31000, Lignes directrices sur le management du risque