Gouvernance et risques
Tout ce que j’ai écrit sur la gouvernance et les risques, en commençant par les articles de recherche. Chacun d’entre eux se termine par une action concrète que vous pouvez mettre en œuvre dès lundi.
Vous êtes confronté à l’un de ces problèmes ? Je travaille avec des organisations qui ont besoin de réponses, pas d’une énième présentation PowerPoint. Discutons-en.
Que contient un court métrage à cinq angles ?
La plupart des sujets présentés ici occupent une page et comportent cinq courtes sections, toujours dans cet ordre. Chacune est identifiée par une couleur spécifique au sein de l’article, ce qui vous permet d’accéder directement à celle qui vous intéresse.
- 1Par où je commencerais : la première mesure que je prendrais et la question que je poserais avant de dépenser quoi que ce soit.
- 2 Lorsque les plans échouent : les points sur lesquels les plans relatifs à ce sujet échouent généralement, et l’hypothèse que je vérifierais en premier lieu.
- 3Au-delà du jargon : ce que le sujet signifie réellement une fois le langage commercial mis de côté.
- 4 À quoi ressemble un bon résultat : le résultat qui vous indiquerait que cela a fonctionné, et le chiffre que je surveillerais.
- 5 Le défi que les dirigeants ne peuvent éluder : la décision que la direction doit prendre, et les éléments dont elle a besoin pour la prendre.
Recruter un responsable de la sécurité →
Services associés : NIST Cybersecurity Framework, ISO/IEC 27001, CMMC, Évaluations des risques de sécurité, Conformité PCI-DSS, Conformité SOC 2.
-
Comment définir une charge de travail viable pour une équipe de sécurité ?
Définissez la charge de travail de l’équipe de sécurité en fonction de la demande récurrente, de la pénurie de compétences et de la capacité de gestion des incidents. Recourez à des limites d’admission explicites, à des mesures honnêtes de la file d’attente et à des compromis opérationnels.
-
Comment tester un workflow d’IA qui indique que la tâche est terminée alors qu’il se trompe ?
Tester la génération de contenu erroné par l’IA à l’aide de vérifications indépendantes des résultats, de cas d’échec réalistes, d’évaluateurs calibrés et de barrières de validation qui mettent en évidence les erreurs ayant des conséquences.
-
Comment transformer une évaluation des failles de cybersécurité en un plan de remédiation ?
Transformez les conclusions de l’évaluation en un plan de remédiation défendable, comprenant des vérifications des preuves, des dépendances partagées, des effectifs réalistes et des critères d’acceptation vérifiables.
-
Quels éléments de preuve sont nécessaires pour lever une exception de sécurité ?
Découvrez quelles preuves permettent de clore une exception de sécurité : des tests de contrôle adaptés au périmètre, des hypothèses à jour, un examen responsable et des décisions claires concernant les risques résiduels.
-
Quelles preuves devez-vous vérifier avant de signer une demande de cyberassurance ?
Vérifiez les réponses relatives à la cyberassurance par rapport aux systèmes réels, aux chemins d’accès, aux résultats des tests et aux exceptions avant de signer, à l’aide d’une méthode de contrôle et de preuve reproductible.
-
Quelles preuves de sécurité devez-vous exiger avant d’approuver un fournisseur critique ?
Évaluez les fournisseurs critiques au-delà des questionnaires : mettez en adéquation les preuves avec le service, vérifiez les allégations ayant des conséquences importantes, résolvez les exceptions et définissez les conditions d’approbation.
-
À qui appartient un nom d’hôte une fois son service désactivé ?
Retirez les noms d’hôtes exposés sans laisser de DNS orphelins ni d’accès à des fournisseurs de confiance. Attribuez les responsabilités, organisez les modifications par ordre chronologique et vérifiez ce qui a effectivement été fermé.
-
Votre évaluation des lacunes en matière de cybersécurité est terminée. Et maintenant ?
Une évaluation des lacunes en matière de cybersécurité n’est utile que si ses conclusions entraînent des modifications au niveau des budgets, des responsabilités, des priorités et des décisions opérationnelles.
-
Une analyse des lacunes en matière de cybersécurité qui vous indique réellement ce qu’il faut corriger
J’ai lu suffisamment de rapports de sécurité pour savoir qu’une centaine de constatations peuvent laisser un dirigeant avec moins de réponses qu’au début de l’évaluation. Une analyse des écarts…
-
Rapports sur la cybersécurité destinés au conseil d’administration
Je ne commencerais pas à mettre en place un système de reporting cybernétique au sein du conseil d’administration en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, désigner le responsable et trouver une...
-
Direction en cas de cybercrise
Je ne commencerais pas à mettre en place une stratégie de gestion des crises cybernétiques en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, désigner le responsable, puis...
-
État de préparation à la cyberassurance
Je ne commencerais pas la préparation à la cyberassurance par l’achat d’une nouvelle plateforme ou le lancement d’un vaste programme. Je commencerais par définir le périmètre, désigner le responsable et…
-
Acceptation des risques par la direction
Je ne commencerais pas le processus d’acceptation des risques par la direction en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je commencerais par définir le périmètre, identifier le responsable et…
-
Analyse des écarts
Je ne commencerais pas une analyse des écarts en achetant une autre plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, désigner le responsable et établir un scénario…
-
Application des politiques
Je ne commencerais pas la mise en œuvre de la politique en achetant une autre plateforme ou en lançant un vaste programme. Je déterminerais le périmètre, le responsable et un sc...
-
Budgétisation de la sécurité
Je ne commencerais pas l’élaboration d’un budget de sécurité en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je commencerais par définir le périmètre, identifier le responsable et un sc...
-
Feuilles de route en matière de sécurité
Je ne commencerais pas l’élaboration de feuilles de route en matière de sécurité par l’acquisition d’une nouvelle plateforme ou le lancement d’un programme de grande envergure. Je commencerais par définir le périmètre, désigner le responsable et identifier un scénario…
-
L’exception en matière de sécurité qui est devenue permanente
Les exceptions sont inévitables. Un système existant ne peut pas prendre en charge un contrôle, un fournisseur a besoin d’un accès inhabituel, ou un délai rend difficile la mise en place d’une correction adéquate.
-
Le registre des risques que personne ne lit
La plupart des registres des risques sont en lecture seule. Les éléments y sont inscrits lors d’un audit, se voient attribuer une couleur, et y restent jusqu’à ce que le prochain audit modifie cette couleur. Personne ne prend aucune décision...
-
Gouvernance des fournisseurs
Je ne commencerais pas la gouvernance des fournisseurs par l’achat d’une nouvelle plateforme ou le lancement d’un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et définir un scénario…
-
À quel moment peut-on connecter en toute sécurité le réseau d’une entreprise rachetée ?
Déterminez quels processus d’acquisition peuvent s’interconnecter en toute sécurité en testant la portée du réseau, la fiabilité des identités, l’administration héritée, la surveillance et la capacité à se déconnecter.
-
Vous disposez désormais du rapport de test d'intrusion. Et maintenant ?
Le rapport est publié ; il compte quarante pages et comporte trois points critiques, onze points forts et une longue liste de détails. Il est ensuite intégré à un outil de suivi et le test suivant met en évidence la plupart des…
-
Votre évaluation des lacunes en matière de cybersécurité est terminée. Et maintenant ?
L’évaluation est terminée, les conclusions ont été présentées et tout le monde s’accorde à dire qu’il y a du travail à faire. Trois mois plus tard, les points à haut risque sont toujours en suspens…
Aucune correspondance. Essayez un autre mot ou posez-moi directement la question.