Votre conseil d’administration a besoin d’une décision, pas d’un énième tableau de bord de sécurité

J’ai tendance à me méfier d’une réponse trop simple lorsque le système réel est complexe. Un conseil d’administration ne peut pas gérer un millier d’alertes. Il peut autoriser des dépenses, accepter des risques, modifier les priorités ou exiger une capacité de rétablissement. La question pertinente est de savoir ce qu’une personne est capable de démontrer lorsque la décision est cruciale, et non pas à quel point la présentation était convaincante lorsque tout allait bien.

Commencez par la décision

Un conseil d’administration ne peut pas gérer un millier d’alertes. Il peut autoriser des dépenses, accepter un niveau de risque, modifier les priorités ou exiger une capacité de reprise. (National Institute of Standards and Technology, 2024). Je souhaite savoir à qui revient le contrôle, comment le système se comporte en cas de défaillance du processus normal, et quelles preuves pourraient modifier la décision. La réponse doit provenir du système lui-même plutôt que d’une diapositive décrivant l’architecture prévue.

Distinguer l’exposition de l’activité

Je souhaite que les rapports soient liés aux services métier et à leurs conséquences plausibles, et non au nombre de résultats générés par un scanner ce mois-ci. (Joint Task Force Transformation Initiative, 2012) Il existe une différence entre une politique et une capacité. Je demanderais à l’équipe de mettre en évidence cette distinction importante, d’expliquer la procédure d’exception et d’identifier la personne habilitée à autoriser l’action qui en découle.

Précisez l’incertitude

Lorsqu’une enquête est incomplète, je souhaite distinguer ce qui est connu, ce qui est déduit et quels éléments de preuve pourraient modifier la conclusion. (Joint Task Force, 2018). Je souhaite savoir à qui appartient le contrôle, comment il se comporte en cas de défaillance du processus normal et quels éléments de preuve pourraient modifier la décision. La réponse doit provenir du système réel plutôt que d’une diapositive décrivant l’architecture prévue.

Expliquez le compromis

Chaque recommandation a un coût en termes d’argent, de temps ou de flexibilité opérationnelle. La direction mérite de connaître les alternatives et leurs conséquences.(Nelson et al., 2025) Il existe une différence entre une politique et une capacité. Je demanderais à l’équipe de mettre en évidence cette distinction importante, d’expliquer la procédure d’exception et d’identifier la personne habilitée à autoriser l’action qui en découle.

Retour avec justificatif

Une fois la décision prise, le rapport suivant devrait indiquer si le contrôle a modifié l’exposition au risque, plutôt que de se contenter d’annoncer la clôture du projet (Joint Task Force, 2020). Je souhaite savoir à qui incombe la responsabilité du contrôle, comment celui-ci se comporte en cas de défaillance du processus normal, et quelles preuves pourraient modifier la décision. La réponse doit provenir du système réel plutôt que d’une diapositive décrivant l’architecture prévue.

La décision que je prendrais en premier lieu

Le briefing que je souhaite est structuré autour d’une décision : ce qui pourrait se produire, ce que nous savons, ce qui reste incertain, les mesures envisageables et le coût de chaque option. Les détails techniques doivent être placés en arrière-plan de cet argumentaire, là où ils peuvent être examinés, et non au premier plan, où ils risquent d’obscurcir le choix.

Le meilleur indicateur pour un conseil d’administration pourrait être un temps de rétablissement validé, le pourcentage de privilèges critiques attribués à des responsables identifiables, ou le délai de confinement nécessaire pour contenir une voie d’attaque définie. Je choisis les indicateurs en fonction de leur lien avec les décisions, et non parce qu’un tableau de bord peut les calculer facilement.

Si votre équipe de direction croule sous les indicateurs de sécurité mais ne parvient toujours pas à prendre une décision, je peux vous aider à changer le briefing.