CMMI
Le CMMI a été initialement conçu comme un modèle de processus de génie logiciel, mais l’idée sous-jacente — selon laquelle les processus d’une organisation évoluent à travers des niveaux de maturité identifiables, passant d’une approche ad hoc et réactive à une approche mesurée et en amélioration continue — s’applique tout aussi bien à un programme de sécurité qu’à une équipe de développement. Je l’utilise ici dans ce second sens : non pas le CMMI en tant que certification logicielle, mais comme un outil permettant d’évaluer le degré de maturité réel de vos opérations de sécurité.
La plupart des programmes de sécurité que j’observe se situent quelque part entre « réactif » et « défini » : il existe des politiques sur le papier, certains processus sont en place, mais une grande partie de ce qui se passe réellement au quotidien dépend des personnes présentes cette semaine-là plutôt que d’un processus documenté et reproductible. Ce n’est pas une critique ; c’est simplement la situation dans laquelle se trouvent la plupart des organisations, et il est utile de le reconnaître ouvertement plutôt que de supposer que l’on est plus avancé que l’on ne l’est réellement.
Ce que la maturité vous apporte réellement
Un processus de sécurité plus abouti signifie que la réponse aux incidents ne dépend pas de la disponibilité d’une personne en particulier, que la gestion des vulnérabilités s’effectue selon un calendrier précis plutôt que par à-coups après le signalement d’un incident inquiétant, et que vous pouvez réellement mesurer si les changements que vous apportez améliorent la situation, au lieu de simplement supposer qu’ils le font.
Comment j’utiliserais cela avec vous
Je vous conseille d’évaluer où se situent réellement vos processus de sécurité clés sur une courbe de maturité — non pas comme un exercice abstrait, mais par rapport aux processus qui comptent le plus pour vous : gestion des vulnérabilités, réponse aux incidents, contrôle des changements, révision des accès. Il s’agit ensuite d’en choisir un ou deux à faire mûrir en priorité, plutôt que d’essayer de tout professionnaliser simultanément, ce qui a tendance à mener à une impasse.
Si vous souhaitez obtenir une analyse honnête du niveau de maturité réel de vos processus de sécurité — et non pas celui que les documents stratégiques prétendent refléter —, n’hésitez pas à nous contacter.