Les fondamentaux d'un plan de contrôle dans Tenacy
Dans Tenacy, un plan de contrôle est un ensemble de tâches récurrentes permettant d'assurer et/ou de contrôler le bon fonctionnement de vos mesures de sécurité. Réaliser ces tâches récurrentes à une fréquence donnée permet de vérifier que chaque mesure n'a pas seulement été implémentée, mais continue de protéger votre organisation dans le temps.
Comprendre les notions clés pour votre plan de contrôle
Mesure de sécurité
Une mesure est un logiciel et/ou un processus et/ou une équipe qui sécurise un périmètre. Pour bâtir un plan de contrôle sur une mesure, celle-ci doit d'abord être implémentée dans Tenacy.
🔎 Consultez Comprendre la notion de "mesure de sécurité" dans Tenacy pour plus de détails.
Tâche récurrente
Une tâche récurrente est une action qui doit être réalisée à une fréquence donnée. Elle permet de contrôler le bon fonctionnement d'une mesure de sécurité, et éventuellement de collecter des métriques associées.
Il existe deux types de tâches récurrentes :
Opérationnelle : par exemple, mettre à jour l'AD suite à un départ ou une arrivée
Contrôle : par exemple, vérifier que tous les comptes actifs de l'AD correspondent à des employés actifs
🔎 Les tâches récurrentes ne peuvent être créées que sur des mesures de sécurité implémentées.
⚠️ Une mesure peut être contrôlée par plusieurs tâches récurrentes, mais une tâche récurrente ne contrôle jamais qu'une seule mesure de sécurité.
Métrique et indicateur
Une métrique est une brique d'indicateur : c'est une valeur chiffrée que vous saisissez à la réalisation d'une tâche récurrente (par exemple un nombre de domaines surveillés). Un indicateur est un objet distinct, construit à partir d'une ou plusieurs métriques, qui sert à suivre une tendance dans le temps.
Ensemble, les tâches récurrentes et les indicateurs constituent les contrôles qui permettent de calculer le score d'opérations de la mesure de sécurité.
Rôles
Le pilote crée le contrôle et l'affecte à un responsable (pilote local ou contributeur), chargé de la saisie. Un approbateur peut être ajouté pour valider chaque réalisation avant qu'elle soit prise en compte dans vos scores. Plus de détail sur la mise en place d'un contrôle de niveau 2 dans cet article.
Quel reporting des contrôles dans Tenacy ?
Le suivi de votre plan de contrôle s'appuie sur plusieurs niveaux d'indicateurs, qui remontent jusqu'au score d'opérations de vos mesures de sécurité :
Indicateurs de réalisation des tâches récurrentes
Taux de réalisation d'une tâche récurrente donnée
Taux de réalisation agrégé sur un groupe de tâches récurrentes
Taux de succès (Fait OK) des tâches récurrentes de type contrôle
Indicateurs construits à partir de métriques
Formules personnalisables (addition, soustraction, multiplication, division, nombre de jours...)
Indicateur avec historique, calculé à fréquence fixe
Indicateur d'activité ou de performance
Score d'opérations de la mesure de sécurité
Le taux de réalisation des tâches récurrentes et l'atteinte des objectifs des indicateurs de performance se combinent pour produire le score d'opérations de la mesure.
🔎 Ce score d'opérations n'est qu'une des deux composantes du score de performance global d'une mesure, avec l'efficacité. Le détail est expliqué dans Comprendre les scores d'efficacité, d'opérations et de performance d'une mesure de sécurité.
Ces indicateurs peuvent être représentés dans un tableau de bord.
En pratique, comment créer un nouveau contrôle ?
Pour chaque mesure de sécurité, il faut identifier les vérifications possibles, définir leur fréquence, puis créer les tâches récurrentes de contrôle correspondantes. Deux façons de procéder dans Tenacy, selon votre point de départ.
Identifier la mesure de sécurité et le périmètre à contrôler
Identifiez la mesure et le périmètre à contrôler. Si la mesure n'est pas déjà implémentée sur votre environnement, implémentez-la au préalable.
Depuis le socle de sécurité : allez sur le détail de la mesure implémentée en question, puis dans la section Opérations, cliquez sur "Ajouter un contrôle". Vous verrez les tâches récurrentes et indicateurs déjà associés à cette mesure, et pouvez consulter leur détail via le bouton d'information (icône « i »). Cochez les contrôles que vous souhaitez suivre, sélectionnez un responsable et un registre où ranger la tâche récurrente puis enregistrez.
Depuis le module Tâches récurrentes : vous pouvez créer votre propre tâche récurrente et l'associer à une mesure déjà implémentée sur votre périmètre.
⚠️ À la création depuis le module Tâches récurrentes, vérifiez bien l'identifiant du périmètre affiché à côté du nom de la mesure dans le menu déroulant "Mesure" : plusieurs périmètres peuvent avoir implémenté la même mesure, veillez à sélectionner la bonne instance.
💡 Si vous souhaitez ajuster une tâche récurrente issue du catalogue pour mieux coller à vos process (par exemple changer sa périodicité), c'est possible tant qu'aucun historique de réalisation n'existe encore sur cette tâche. Une fois une occurrence renseignée, la fréquence ne peut plus être modifiée directement : il faut alors vider l'historique, ou clôturer la tâche et en créer une nouvelle si vous souhaitez conserver l'historique existant.
Aller plus loin
Une fois votre tâche récurrente créée, ces ressources vous permettent d'aller plus loin dans la mise en place de votre plan de contrôle :
Pour le détail complet de la création d'une tâche récurrente (champs du formulaire, tâches calendaires ou non, fenêtre de réalisation, approbation) : Créer une tâche récurrente.
Pour collecter une métrique directement à la réalisation de la tâche récurrente : Rattacher une métrique à une tâche récurrente.
Pour comprendre comment vos tâches récurrentes font évoluer les scores de vos mesures : Comprendre l'impact des tâches récurrentes sur les scores d'une mesure.
Questions fréquentes
Une mesure de sécurité peut-elle être contrôlée par plusieurs tâches récurrentes ?
Oui, une mesure peut être suivie par plusieurs tâches récurrentes. En revanche, une tâche récurrente donnée ne contrôle toujours qu'une seule mesure de sécurité.
Faut-il obligatoirement rattacher une métrique à une tâche récurrente de contrôle ?
Non, ce n'est pas obligatoire. Le rattachement d'une métrique vous permet simplement de saisir une donnée chiffrée à chaque réalisation de la tâche, en complément du statut Fait OK / Fait KO / Non fait.
Un contrôle en "Fait KO" fait-il baisser le score de ma mesure ?
Non, le taux de réalisation qui alimente le score d'opérations mesure uniquement si le contrôle a été exécuté dans les temps, pas s'il est concluant. Un Fait KO compte comme une réalisation au même titre qu'un Fait OK. Pour suivre les contrôles en échec, référez-vous au taux OK, propre aux tâches de contrôle.
Quelle est la différence entre une tâche récurrente opérationnelle et une tâche récurrente de contrôle ?
Une tâche opérationnelle correspond à une opération de sécurité réalisée ou non. Une tâche de contrôle sert à vérifier qu'un processus fonctionne bien : elle peut être réalisée avec un résultat positif (Fait OK) ou négatif (Fait KO).
🔎 Une fois votre plan de contrôle en place, découvrez comment en optimiser le suivi au quotidien : Optimiser le suivi de sa conformité au quotidien : bonnes pratiques dans Tenacy.