Vous avez associé une politique publique à un périmètre, mis en œuvre des mesures de sécurité, et pourtant le score de conformité de certaines exigences reste bloqué à 0 %, sans que rien de ce que vous fassiez ne le fasse bouger. Ce n'est pas une anomalie : c'est le signe que l'exigence concernée n'a, dans le catalogue public, aucune mesure de sécurité mappée. Cet article s'adresse aux RSSI et pilotes qui rencontrent ce cas de figure, pour comprendre pourquoi il se produit et quels leviers activer.
Pourquoi une exigence de politique publique peut ne pas avoir de mesure mappée
Une politique publique est un référentiel de sécurité (ISO 27001, NIS2, ou tout autre référentiel du catalogue Tenacy) mis à disposition avec ses exigences déjà déclinées. Pour chacune de ces exigences, le catalogue propose généralement une ou plusieurs mesures de sécurité, appelées mesures suggérées, censées permettre de la satisfaire.
Cette correspondance entre exigences et mesures suggérées n'est cependant pas garantie à 100 % pour deux raisons principales : certaines exigences sont de nature organisationnelle ou procédurale (par exemple la formalisation d'une gouvernance ou la désignation d'un responsable) et ne se traduisent pas naturellement par une mesure technique unique, et le mapping d'un référentiel complet reste un travail progressif qui peut ne pas encore couvrir chaque exigence au moment où vous l'utilisez.
L'impact direct sur le score de conformité
L'absence de mapping n'est pas neutre pour deux des trois types de score de conformité que Tenacy peut calculer sur une politique.
Score de couverture : il mesure, pour chaque exigence applicable, la part apportée par les mesures dont bénéficie le périmètre et associées à cette exigence. Si une exigence n'a aucune mesure associée, son score de couverture est de 0 %, quel que soit l'état réel de conformité sur le terrain.
Score mesuré : il repose sur le même principe que le score de couverture, en y ajoutant l'efficacité et la performance opérationnelle des mesures. Sans mesure mappée, il n'y a rien à mesurer : la contribution de l'exigence est donc également nulle.
Score déclaratif : à l'inverse, il n'est pas construit à partir des mesures mais à partir des réponses soumises aux évaluations ou campagnes portant directement sur l'exigence. Une exigence non mappée peut donc obtenir un score déclaratif tout à fait normal, dès lors qu'une évaluation lui a été soumise.
Concrètement, si une politique compte deux exigences de priorité identique, l'une couverte à 100 % par des mesures et l'autre sans aucune mesure mappée, le score de couverture de la politique affichera 50 %, la moyenne pondérée des deux, même si l'exigence non mappée est par ailleurs parfaitement respectée dans les faits.
Le levier disponible pour traiter une exigence non mappée
Le seul levier possible est de créer une politique privée dérivée de la politique publique. Plusieurs options s'offrent à vous, selon le niveau de précision que vous souhaitez conserver sur le reste de la politique.
Mapper les exigences sans mesures : une politique dérivée reprend les exigences et le mapping du référentiel public tout en vous permettant d'ajouter vos propres personnalisations, notamment une mesure de sécurité propre à votre organisation que vous associez vous-même à l'exigence non couverte.
Ajouter l'échelle de priorité Applicabilité de l'exigence : après avoir dérivé la politique publique, configurez cette politique avec l'échelle de priorité Applicabilité. Si l'exigence non mappée n'est pas pertinente dans votre contexte, vous pouvez ajuster la priorité non applicable pour la rendre non applicable, et donc l'exclure du calcul du score. Pensez aussi à l'assignation des périmètres à la politique de configurer la priorité Applicable.
⚠️ L'inconvénient de créer une politique privée dérivée de la politique publique c'est que la politique dérivée n'hérite pas des modifications apportées sur la politique publique d'origine.