Services

COBIT

COBIT est un référentiel dédié à la gouvernance et à la gestion informatiques — il porte moins sur des contrôles techniques spécifiques que sur la manière dont les décisions sont prises, sur la répartition des responsabilités et sur la manière dont les objectifs informatiques s’articulent concrètement avec les objectifs métier. Il est largement utilisé par les fonctions d’audit et de gouvernance, et les équipes de sécurité y ont moins souvent directement recours ; pourtant, son importance pour la sécurité est plus grande qu’on ne le pense, car de nombreuses défaillances de sécurité sont en réalité des défaillances de gouvernance déguisées en problèmes techniques.

Un exemple classique : une vulnérabilité connue reste non corrigée pendant des mois, non pas parce que personne n’en avait connaissance, mais parce que personne n’était clairement responsable de décider s’il fallait accepter le risque ou y remédier, et qu’aucune structure de gouvernance n’imposait que cette décision soit effectivement prise. L’intérêt de COBIT réside précisément dans le fait de combler ce type de lacune — en veillant à ce que les décisions relatives aux risques informatiques aient un responsable réel et identifié.

Ce sur quoi je mettrais l’accent

Plutôt que de mettre en œuvre COBIT de manière exhaustive, je m’intéresserais aux points sur lesquels votre structure de gouvernance actuelle reste muette en matière de sécurité : qui approuve l’acceptation des risques, qui prend la décision lorsqu’une exigence de sécurité entre en conflit avec une échéance métier, comment les décisions d’investissement informatique tiennent compte de la dette de sécurité. Ce sont ces lacunes de gouvernance qui engendrent discrètement les lacunes techniques.

Comment cela s’articule-t-il avec d’autres cadres ?

COBIT s’intègre parfaitement aux référentiels plus techniques tels que la norme ISO 27001 ou le NIST CSF, sans pour autant les remplacer : COBIT vous apporte la couche de gouvernance et de responsabilité, tandis que les autres vous fournissent les détails des contrôles sous-jacents. Les organisations qui n’appliquent que l’un ou l’autre finissent généralement soit par disposer de bons contrôles dont personne n’est responsable, soit par une responsabilité clairement définie sans élément concret permettant de demander des comptes aux personnes concernées.

Si, au sein de votre organisation, les décisions relatives aux risques de sécurité ont tendance à rester en suspens faute d’un responsable clairement identifié, discutons ensemble des points de défaillance réels de la gouvernance.