Transcription

• Speaker #0

  Bienvenue dans Compliance Without Coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001 sans te plonger dans le coma. Je suis Fabrice De Paepe, depuis plus de 20 ans, j'aide les entreprises à construire des systèmes de management de la sécurité de l'information qui fonctionnent vraiment. Ici je te partage ce que je vois vraiment sur le terrain, les erreurs, les bonnes pratiques et surtout ce qui marche. Hey ! Comment ça va mon comma breaker préféré ? J'ai une question pour toi. Combien de documents ISO ta direction signe chaque année ? 10 ? 30 ? 100 ? Et maintenant j'ai une deuxième question. Es-tu absolument certain que la norme ISO te demande de faire ça ? Cette semaine, un comma breaker m'a posé exactement cette question. Dis Fab, tu trouves normal que je doive signer tous mes documents ISO ? Et ma réponse l'a un peu surpris. mais ils voulaient mon approbation. Parce que l'ISO ne parle pas de signature, elle parle justement d'approbation. Et aujourd'hui, je vais t'expliquer pourquoi certaines entreprises passent des dizaines d'heures à faire signer des documents alors que la norme ne leur demande absolument pas ça. Je vais t'expliquer trois façons de démontrer l'approbation d'un document qui passe sans problème un audit de certification. Mais de quelle exigence parle-t-on en fait ? Et c'est là que ça devient intéressant. Parce que si tu cherches dans l'ISO 27001 une phrase disant « tous les documents doivent être signés par la direction » , tu ne la trouveras jamais. C'est probablement l'une des plus grandes difficultés lorsqu'on débute en ISO. L'ISO t'explique quoi faire, beaucoup plus rarement comment le faire. Je vais aussi te raconter deux histoires qui m'ont marqué. Ensuite, je vais t'expliquer pourquoi la signature peut parfois créer plus de risques que de sécurité. Et enfin, je vais te montrer comment démontrer à un auditeur qu'un document est approuvé sans aucune signature. Une signature ne prouve pas qu'une gouvernance fonctionne. Elle prouve juste que quelqu'un a signé. Et ça, c'est pas du tout la même chose. L'ISO demande des preuves d'approbation, pas des autographes. Et cette question m'a rappelé un client. Une entreprise du secteur aéronautique, des auditeurs bus. Autant de dire le niveau de rigueur. Ils n'étaient pas exactement amateurs, vois-tu. Et un jour, je découvre que le CIO signe chaque demande d'accès Internet. Oui. Une par une, à la main. Alors aujourd'hui, ça paraît complètement fou, mais à l'époque, tout le monde n'avait pas Internet. Et dans les faits, c'était conforme. Mais je me suis posé une question. Est-ce vraiment le meilleur usage du temps d'un CIO ? Son rôle, c'était de définir la stratégie IT, pas de signer 50 formulaires avant le café. Et l'autre anecdote, eh bien j'arrive dans le bâtiment, et là, un mur entier, avec toutes les politiques de sécurité. Beaucoup en tout cas. encadrés, signés, presque comme des œuvres d'art. Et honnêtement, je comprends pourquoi, cela répond à la clause leadership. En réalité, dans un SMS immature, la signature manuscrite est souvent plus un facteur de complexité que de sécurité. Et il y a une chose qu'on oublie souvent. Chaque contrôle que tu mets en place crée lui-même de nouveaux risques. Le meilleur contrôle, ce n'est pas celui qui ajoute des signatures, c'est celui qui réduit réellement le risque. Tu peux avoir un risque, mais pas 15. Tu peux avoir un risque, deux peut-être, mais pas 15. Et pour les risques, d'abord parlons sécurité. Tu as la copie de la signature. Une signature scannée, donc pas forcément manuscrite, peut être réutilisée sur n'importe quel document. Là, tu as de la fraude, de l'usurpation, je te passe les détails. Parlons d'usurpation, justement, tu peux avoir l'usurpation d'identité. Une personne peut récupérer l'image de la signature et créer un faux document à prouver. Ou alors, on ne se promène pas tous avec un Nokia 3310 dans la poche aujourd'hui. Tu as également le phishing. Tu pourrais aider un attaquant à utiliser la signature pour du phishing, et qu'il renforce ainsi encore plus son biais d'autorité. Et on a le RGPD. Une signature est aussi une donnée personnelle. Tu la copies dans 50 procédures. Tu viens de créer 50 copies supplémentaires. Ensuite, on a les risques opérationnels. Le risque d'utilisation d'une version obsolète. Une procédure signée peut continuer à circuler après une mise à jour. Et le fait qu'elle soit signée ne change rien. Mais alors, à chaque nouveau document, tu vas re-signer. Puis tu peux avoir le retard de publication. Le draft est là. C'est validé en codire. Mais le CO doit encore valider formellement. Donc, il est en congé. C'est le mois de juillet. Donc le CO est en vacances. Tu peux avoir le départ d'un manager. Bam ! Tu vas devoir tout faire re-signer. Parce qu'il a quitté, donc JML, pour Joiner, Mover, Lever. Tu vas avoir l'augmentation des erreurs humaines. Ben oui, tu augmentes le nombre de manipulations. Donc tu multiplies les chances de te tromper. Tu comprends maintenant pourquoi, quand quelqu'un me dit « On va faire signer toutes les procédures » , j'ai toujours un petit clic à l'œil. Et les risques de gouvernance alors ? Hashtag gouvernance, confusion entre approbation et responsabilité. Les utilisateurs pensent parfois que le signataire est responsable de tout le contenu technique, ce qui n'est pas toujours le cas. Et donc justement, ça m'amène au faux sentiment de sécurité. Ce n'est pas parce que c'est signé que c'est à jour, et ce n'est pas parce que c'est signé qu'elle est forcément appliquée. Alors, tu peux également avoir une modification après la signature. On peut encore modifier après. Même pas besoin d'IA pour ça. Et est-ce que c'est ça qu'on voulait au départ avec la signature ? Pourquoi voulais-tu signer concrètement ? Puis tu peux aussi avoir une duplication incontrôlée. Plusieurs copies de PDF peuvent circuler avec une signature, alors qu'une seule est la version officielle. Et comment vas-tu savoir combien de copies il y a ? Allez, courage, ça diminue, on arrive au bout. Dans les risques d'audit, tu peux avoir l'échantillonnage. Tu vas avoir un audit beaucoup plus lourd et plus cher donc. Et plus de risques d'écart. L'auditeur va vérifier dans son échantillon que tout ce que tu as dit qui devait être fait, l'est bien fait. Donc tu as une charge documentaire supplémentaire et que de temps perdu. Tu peux aussi avoir une exposition inutile des signatures des dirigeants pour créer d'autres faux et usages de faux. Mais imagine aussi, ton comdir valide tout lundi, tout le monde est d'accord, il manque juste une signature. Oui, le CIO est parti deux semaines en Grèce. Résultat, la procédure attend, le risque, lui, n'attend pas. Ou bien imagine, tu entres dans une entreprise et à l'accueil, une magnifique politique de qualité, encadrée, signée, tu regardes la date, 2022. Tu es toujours là ? Bravo. Tu viens d'éviter une centaine de signatures. Tu as remarqué quelque chose ? Aucun de ces risques n'existe si tu démontres simplement l'approbation autrement. Bon, maintenant que tu vois la lourdeur du truc, Comment aurais-tu pu faire pour éviter tout ceci ? La méthode 1, la méthode comme dire en fait. C'est celle que je rencontre le plus souvent. J'appelle ça la méthode comme dire parce qu'il y a des réunions avec la direction, tu envoies les docs en draft en amont par mail, tu fais la réunion, tu adaptes les remarques dans les docs lors du meeting, tu fais les meetings minutes et tu envoies la liste des docs validés. Les docs validés arrivent par la suite via ton process de communication. Et oui ! Ça passe très bien un audit de certification. La deuxième méthode, la méthode I comme dire. Aujourd'hui, beaucoup de directions ne se réunissent même plus physiquement. Alors pourquoi absolument une signature papier ? Tu envoies, tu reçois les OK, tu conserves les preuves et tu peux démontrer l'approbation. Garde bien les traces de validation, comme toujours. Ce qui compte pour un auditeur, ce n'est pas ce que tu racontes, c'est ce que tu peux démontrer. La troisième et dernière méthode que je te propose, la méthode workflow. Si ton outil gère déjà un workflow d'approbation, qu'il soit SaaS ou installé chez toi, il fait une bonne partie du travail à ta place. L'auditeur voit qui, quand, quelle version, qui a approuvé, et c'est souvent beaucoup plus robuste qu'une signature scannée. Post scriptum. Et au passage, signer un document ne prouve absolument pas qu'on l'a compris. Tous ceux qui ont déjà signé un contrat d'assurance savent exactement de quoi je parle. Et ça, l'auditeur le sait. Donc il peut, ou va. challenger les signataires. Et toi, comma breaker, j'ai une vraie question pour toi. Comment fais-tu approuver tes documents ? Signature ? Workflow ? Comme dire ? Icomdir ? Vote à ma levée ? Dis-le-moi. Et si cet épisode t'a parlé, il y a de fortes chances que tu le sois déjà retrouvé avec ce genre de questions. C'est justement pour cela que j'ai créé Comma Breaker Solo, un abonnement simple. Tu bloques sur une exigence ISO ? Tu veux un deuxième avis avant un audit ? Tu m'envoies la question, je te réponds. Et parfois, ça t'évite plusieurs heures de travail. Et si tu veux aller plus loin, il y a aussi Coma Breaker Academy, une communauté des échanges, des lives, des cas réels. Je t'en parle très bientôt. Et si cet épisode t'a été utile, partage-le à quelqu'un qui est en train de courir après une signature. Et si tu veux vraiment m'aider, prends 30 secondes, mets 5 étoiles sur Spotify ou Apple Podcasts, ça aide énormément le podcast. Et pour continuer, pour continuer la discussion, Tu me retrouves sur LinkedIn, YouTube, Insta, TikTok. Je te dis à vendredi prochain déjà pour un nouvel épisode de Compliance Without Comma. Et d'ici là... Prends soin de toi comme un breaker.