On part du geste, pas du référentiel
Le référentiel reste la vérité de ce qui est exigé. Simplement, il n'est jamais l'interface. Il est derrière.
Le problème avec la question d'auditeur
Tout le marché de la conformité pose la même question : « êtes-vous conforme à l'exigence 10.7 ? ». C'est la question d'un auditeur, posée à quelqu'un qui n'est pas auditeur. Le dirigeant de PME à qui on la pose ne sait pas y répondre, non par incompétence, mais parce que ce n'est pas comme ça qu'il voit son entreprise.
Il en résulte le scénario habituel : un questionnaire rempli approximativement, un score flatteur, un PDF classé, et rien qui change dans les pratiques. La conformité déclarée diverge de la conformité réelle dès la semaine suivante.
La question qu'on pose à la place
« Quand quelqu'un quitte l'entreprise, qui coupe ses accès, et sous combien de temps ? »
C'est la même exigence. Ce n'est pas le même objet. La première est une norme, la seconde est un geste métier : quelque chose que quelqu'un fait, à un moment, pour une raison, et qui laisse une trace.
Et à cette question, un dirigeant sait répondre. Il sait si c'est écrit, si quelqu'un est désigné, et si ça s'est passé la dernière fois.
Pourquoi c'est permis
Ce renversement n'est pas une astuce de présentation : le ReCyF l'autorise explicitement.
« L'objectif de sécurité est l'obligation fixée par le décret […] Son atteinte est obligatoire. »
« Les moyens acceptables de conformité sont les mesures à mettre en œuvre proposées par l'ANSSI […] Ces moyens acceptables de conformité ne sont pas d'application obligatoire. »
Obligation de résultat sur les objectifs, liberté de moyens. Le geste métier est un moyen, traduit en langage opérationnel. L'ANSSI dit quoi ; nous disons qui fait quoi lundi matin.
Un geste a quatre dimensions
Ce ne sont pas quatre cases à cocher : ce sont exactement les quatre questions que pose un contrôleur.
| Dimension | La question du contrôleur |
|---|---|
| Défini | Vous avez une règle ? |
| Responsabilisé | Qui l'applique ? |
| Exécuté | Montrez-moi la dernière fois. |
| Prouvé | Montrez-moi la trace. |
Un geste qui n'a que la première dimension, c'est une intention. Un geste qui a les quatre, c'est de la conformité.
Trois natures de gestes
Événementiels
Déclenchés par un fait de la vie de l'entreprise : un salarié arrive ou part, un prestataire intervient, un serveur entre en service, un incident est détecté.
Rituels
À échéance régulière : revue des droits, test de restauration, exercice de crise, point sécurité en instance dirigeante.
États
Une propriété qui doit rester vraie en permanence : l'authentification forte couvre les accès distants, une sauvegarde est isolée. Avec une date de péremption.
Ce que ça change concrètement
Chaque geste est rattaché aux mesures du ReCyF qu'il couvre, et les mesures remontent aux objectifs. Le calcul se fait donc tout seul, à partir de ce que vous faites réellement, et il se défait tout seul quand vous cessez de le faire.
Une revue trimestrielle non tenue, une preuve périmée, un départ non traité : l'objectif concerné repasse en écart, sans que personne n'ait à le déclarer. C'est là toute la différence avec un questionnaire annuel, dont le résultat est faux trois mois après.
Et le vocabulaire ?
Le vocabulaire du référentiel n'apparaît jamais dans l'interface de saisie, uniquement dans les sorties. Vous répondez à des questions sur votre entreprise ; le dossier que vous présentez à un contrôleur, lui, parle sa langue, avec les références des mesures et les occurrences datées.