Transcription

• Speaker #0

  Est-ce que tu connais ce moment en audit où l'auditeur regarde ton écran, il scrolle, il fronce ses sourcils, et là il dit, votre SOA, elle est complète, mais elle n'est pas standard. Traduction, elle ne ressemble pas à celle que j'ai vue chez les 5 derniers clients. Bienvenue dans le monde merveilleux de la SOA ISO 27001. Aujourd'hui, on va parler de ce document que tout le monde remplit, mais que personne, ou presque, ne comprend vraiment. Et je te le dis tout de suite. Si tu vois la SOA comme une checklist, ton SMSI est déjà fragile. Et ici, c'est Compliance Without Coma. On ne construit pas des SMSI pour l'audit, on construit des SMSI pour la vraie vie. Bienvenue dans Compliance Without Coma. le podcast qui parle d'ISO 27001 de cyber et de gouvernance. Sans coma. Je suis Fabrice De Paepe et aujourd'hui, on démonte un mythe. La SOA n'est pas une liste de courses. Chapitre 1. La SOA. Ce qu'elle devrait être. Imagine ton SMSI. Comme une ville. L'analyse de risque, c'est la carte. Les menaces, ce sont les tempêtes. Et la SOA, c'est les murs, les alarmes, les routes sécurisées, les portes blindées. La SOA, c'est la traduction concrète de tes risques en protection. Elle te dit quels contrôles tu mets, lesquels tu ne mets pas, et surtout pourquoi tu les mets, pourquoi tu ne les mets pas. Et là déjà, beaucoup se plantent, parce qu'ils commencent par l'annexe A, les fameux 93 contrôles. Ils ouvrent Excel, ils copient, ils cochent, et ils appellent ça un SMSI. Alors oui, l'annexe A est importante. Oui, tu dois la considérer. Oui, tu dois vérifier que tu n'as rien oublié. Mais non, ce n'est pas ton unique source de vérité. La norme ne dit pas « Prends les 93 contrôles et tais-toi » . Elle dit « Choisis les contrôles nécessaires pour traiter les risques » . Nuance énorme. Chapitre 2. Pourquoi tout le monde prend les 93 ? Soyons honnêtes. Si beaucoup prennent tous les contrôles, ce n'est pas par bêtise. C'est par survie. Parce que ça évite les discussions. Ça rassure les auditeurs rigides. Ça simplifie les ventes. Ça fait moins de vagues. Tu prends tout, comme ça personne ne t'embête. Mais ce que tu crées... Ce n'est pas un SMSI solide. C'est un SMSI vitrine. Un SMSI qui dit « Regardez comme je suis conforme » , mais qui pour moi ne te dit pas « Regardez comment je suis sécurisé » . C'est comme mettre toutes les options dans une voiture sans jamais vérifier si les freins marchent. Chapitre 3. La première claque en audit. Je me souviens d'un client, on avait identifié des risques très clairs sur les accès, les départs d'employés, les privilèges. Donc, on met en place un vrai contrôle JML. joiner, mover, leaver, et on structure, on automatise, on sécurise, et on audite. L'auditeur me dit ce contrôle n'est pas dans l'annexe A. Tu rigoles ou quoi ? Et là je me dis, attends, la norme veut que je traite mes risques, mais si je trouve une bonne solution au terrain, je ne peux pas la formaliser parce qu'elle n'est pas dans un tableau ? C'est là que la compliance devient absurde. Chapitre 4, le détail que personne ne lit. Et maintenant, le moment que j'adore. Dans la norme ISO 27001, il y a une note, une toute petite phrase. Et elle dit « Les contrôles de l'annexe A ne sont pas exhaustifs. » Et elle ajoute même « Tout contrôle additionnel jugé nécessaire peut être ajouté. » Bam ! Donc oui, tu peux ajouter du JML, du MFA si t'en as envie, du NIST. Tu peux créer ton propre contrôle tant que tu sais le relier à tes risques. Donc la vraie logique, c'est j'analyse mes risques. Je choisis mes protections, c'est le traitement du risque, et je vérifie avec l'annexe A que je n'ai rien oublié. Et pas l'inverse. Chapitre 5, la SOA, c'est l'ADN de ton SMSI. Pour moi, la SOA, c'est un fragment d'ADN. Tu me donnes ta SOA et je comprends immédiatement ce que tu protèges vraiment, ce que tu ignores, ton niveau de maturité, quoi que, et ta vision sécurité. Mais 2 entreprises peuvent avoir les mêmes contrôles sur papier. Mais une est solide et l'autre est fragile. Pourquoi ? Parce que l'une a réfléchi à ses risques et l'autre a copié un modèle. Et c'est exactement ça qu'on combat avec Compliance Without Coma. Pas la norme, pas les auditeurs, mais la Compliance Automatique. Chapitre 6. La grande illusion du tout implémenter. Tu as sûrement déjà entendu, le plus simple, c'est de tout implémenter. En réalité, c'est la pire idée. Parce que chaque contrôle que tu ajoutes, tu dois le prouver, le tester, le maintenir, démontrer son efficacité. donc le mesurer, avoir des indicateurs, des KPI. Donc, parfois, ajouter un contrôle, c'est en rajouter 10 derrière. Et c'est comme ça que les SMSI deviennent lourds, bureaucratiques, inutilisables, et que tu as des gens qui n'aiment pas l'ISO. Donc, le mouvement. La SOA, ce n'est pas une checklist, c'est une décision stratégique. Elle dit comment tu transformes le risque en sécurité réelle. Et c'est ça le cœur de Compliance Without Coma. C'est arrêter de faire de la conformité pour l'audit, commence à faire plutôt de la sécurité pour la vraie vie. Et si ton SMSI tient uniquement parce qu'il est complet, il ne tiendra pas quand la réalité va te frapper. Vise moins de cases cochées, vise plus de contrôles utiles, arrête de viser certifié, vise solide. Et si je suis encore vivant la semaine prochaine, je peux très bien m'être fait tuer par un ayatollah de l'ISO, on se retrouve alors pour un nouvel épisode de ComplianceWith.com.