En bref. Un diagnostic SI ne doit pas aboutir à une liste d’écarts. Il doit aider la direction à choisir : ce qui doit être traité maintenant, ce qui peut attendre, ce qui doit être accepté et ce qui exige une transformation plus profonde.
Les diagnostics échouent rarement par manque de constats. Ils échouent parce que les recommandations sont trop nombreuses, non arbitrées ou séparées des capacités réelles de l’organisation. Une feuille de route exécutable crée le lien entre analyse, décision et conduite.
Étape 1 : formuler la question de décision
Avant de collecter des documents, il faut définir ce que le diagnostic doit permettre de décider. Faut-il sécuriser une trajectoire de croissance, réduire l’exposition cyber, préparer une obligation, reprendre le contrôle d’un programme, clarifier l’organisation ou arbitrer des investissements ?
Une question claire détermine le périmètre, les interlocuteurs et la profondeur d’analyse. Elle évite un audit exhaustif lorsque la direction a besoin d’un éclairage rapide et ciblé.
Étape 2 : croiser documents, entretiens et réalité observable
Les politiques décrivent l’intention. Les entretiens montrent la compréhension et les pratiques. Les indicateurs, incidents, tests et configurations apportent des preuves. Le diagnostic doit confronter ces trois niveaux sans transformer la mission en contrôle documentaire.
Les écarts les plus importants se situent souvent entre les responsabilités déclarées et les décisions réellement prises, ou entre les plans annoncés et les moyens disponibles.
Étape 3 : relier chaque constat à un impact
Un constat technique ne devient prioritaire que lorsqu’il est relié à une activité, un risque, une obligation ou un objectif stratégique. « Inventaire incomplet » devient par exemple : impossibilité de connaître le périmètre exposé, de prioriser les correctifs ou de reconstruire après un incident.
Cette traduction permet à la direction d’arbitrer sans devoir maîtriser le vocabulaire technique.
Étape 4 : regrouper les recommandations en décisions
Une recommandation isolée crée une tâche. Une décision structurante peut résoudre plusieurs constats. Clarifier la responsabilité sur les actifs, par exemple, peut améliorer l’inventaire, la gestion des vulnérabilités, la continuité et le pilotage des fournisseurs.
La feuille de route doit présenter des ensembles cohérents : décision, résultat attendu, actions principales et conditions de réussite.
Étape 5 : prioriser avec des critères explicites
La priorité ne dépend pas uniquement de la gravité. Elle tient compte de l’urgence, de la réduction de risque attendue, des obligations, des dépendances, de l’effort, des compétences disponibles et des autres transformations en cours.
Les critères doivent être partagés. La direction peut alors comprendre pourquoi une action coûteuse mais structurante précède une amélioration plus visible.
Étape 6 : rendre chaque chantier pilotable
Chaque chantier doit comporter un responsable de résultat, un sponsor, une échéance, un budget estimatif, des dépendances, un premier jalon et une preuve d’achèvement. « Mettre en place une gouvernance » n’est pas un résultat vérifiable. « Faire approuver les responsabilités, tenir la première revue et suivre cinq indicateurs » l’est davantage.
Le niveau de détail augmente au moment du lancement. La feuille de route de direction reste suffisamment synthétique pour conserver la vision d’ensemble.
Étape 7 : organiser le suivi et la révision
Une trajectoire numérique évolue avec les incidents, les acquisitions, les contraintes budgétaires et les fournisseurs. La gouvernance doit suivre les résultats, les décisions en attente, les risques résiduels et les dépendances entre chantiers.
La feuille de route doit pouvoir être révisée sans perdre la trace des arbitrages précédents.
Les sept colonnes minimales
Décision · résultat attendu · responsable · échéance · budget · dépendances · preuve de réalisation.
Ce que doit contenir la restitution
- une synthèse des forces et vulnérabilités ;
- les risques et impacts formulés en langage de direction ;
- les décisions attendues et leurs options ;
- une trajectoire priorisée avec moyens et dépendances ;
- un tableau de suivi limité aux indicateurs utiles.
Le Diagnostic 53W est conçu autour de cette logique : une lecture indépendante en 5 à 10 jours ouvrés, puis une restitution directement exploitable par la direction.
Sources officielles
- ANSSI — Méthode EBIOS Risk Manager
- ANSSI et AMRAE — Maîtrise du risque numérique
- ANSSI — Guide de l’homologation de sécurité
Vous avez besoin d’une feuille de route qui puisse réellement être conduite ?
Me contacter pour définir la question de décision.