Cadre de gestion des risques cybernétiques · Maturité
Un cadre de gestion des risques cyber mesuré par capacité, traduit en feuille de route priorisée.
10 thématiques, 159 questions, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Cadre de gestion des risques cybernétiques · Maturité
10 thématiques, 159 questions, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Cadre de gestion des risques cybernétiques (approche par capacités, inspirée du NIST Cybersecurity Framework et d’ISO 31000) lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, le niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les risques cyber sont-ils appréciés selon une méthode stable et rattachés à des décisions tracées ?
- N1
Aucune appréciation formalisée. Les sujets remontent à l’occasion d’un incident ou d’une demande externe.
- N2
Des analyses existent sur quelques périmètres, conduites selon des approches différentes, sans décision tracée à l’issue.
- N3
Une méthode commune est documentée et appliquée aux périmètres critiques. Les risques majeurs sont arbitrés en comité et les décisions consignées.
- N4
L’appréciation couvre l’ensemble du périmètre, y compris les tiers. Les risques résiduels sont acceptés au niveau hiérarchique approprié et suivis dans le temps.
- N5
La méthode est révisée selon les incidents, les exercices et l’évolution des activités, avec un historique des révisions et une comparaison des niveaux entre entités.
Action pour passer de N2 à N3
Retenir une méthode d’appréciation unique, l’appliquer d’abord aux processus critiques identifiés avec les métiers, et inscrire à l’ordre du jour du comité sécurité trimestriel l’arbitrage des risques majeurs avec consignation des décisions.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesure
De quoi parle ce référentiel
Un cadre de gestion des risques cybernétiques décrit les capacités qu’une organisation doit détenir pour maîtriser son exposition numérique : gouverner le sujet, connaître ses actifs et ses dépendances, apprécier les risques selon une méthode stable, choisir les mesures de protection, détecter les événements, réagir puis se rétablir. Les cadres de référence les plus utilisés, du Cybersecurity Framework aux principes d’ISO 31000, partagent cette logique par fonctions. Ils n’imposent pas une liste d’exigences opposables : ils décrivent un dispositif, et laissent à chaque organisation le soin de l’adapter à son profil de risque.
C’est ce qui rend le cadre difficile à piloter. Tout le monde en revendique l’usage, peu savent situer leur niveau réel. L’inventaire des actifs couvre-t-il le cloud, les environnements industriels et les prestataires, ou seulement le parc géré par la DSI ? L’appréciation des risques débouche-t-elle sur des décisions arbitrées, ou sur un registre que personne ne rouvre entre deux comités ? La détection repose-t-elle sur des procédures écrites, ou sur trois personnes qui savent où regarder ? Ces questions ne se tranchent pas par oui ou non, elles se situent sur une échelle.
Une confusion revient souvent : le cadre de gestion des risques n’est pas une norme certifiable, et il ne remplace pas un système de management de la sécurité de l’information. Il se situe en amont. Il structure les capacités, alimente le dispositif de management, et sert de socle commun quand plusieurs textes s’appliquent au même périmètre, par exemple une directive sectorielle et un référentiel client. Les organisations qui l’ont adopté comme langage commun entre la sécurité, les risques et les métiers gagnent surtout en comparabilité entre entités.
Le diagnostic de maturité répond à une autre question que l’audit. L’audit conclut par un écart ou une conformité. Le diagnostic situe chaque capacité sur une échelle progressive, expose l’écart avec la cible que vous fixez, et nomme l’action qui fait passer au niveau suivant. Dans Pilot, l’écart entre score et cible génère le plan d’action, et l’IA le regroupe en feuille de route priorisée. Le benchmark compare les business units entre elles et chaque entité à son propre passé, ce qui permet de mesurer la trajectoire d’un programme de transformation, pas seulement son point de départ.
Le référentiel est prêt à l’emploi et vous appartient. Vous ajustez les thématiques, les questions et les niveaux : l’IA affine les formulations selon la méthode CMMI, ou construit une déclinaison à partir de votre politique de sécurité et de vos propres documents de gouvernance.
Norme de référence : Cadre de gestion des risques cybernétiques (approche par capacités, inspirée du NIST Cybersecurity Framework et d’ISO 31000)
Les thématiques évaluées
Gouvernance du risque cyber
Politique formalisée, rôles et responsabilités, comitologie, articulation avec la gouvernance d’entreprise, ressources allouées, appétence au risque exprimée par la direction.
Connaissance des actifs et des dépendances
Inventaire des systèmes, données et flux, cartographie des dépendances internes et externes, criticité métier, couverture du cloud et des environnements industriels.
Appréciation et hiérarchisation des risques
Méthode retenue, scénarios de risque, évaluation de la vraisemblance et de l’impact, distinction risque inhérent et résiduel, fréquence des revues.
Traitement et mesures de protection
Options de traitement, sélection et suivi des mesures, gestion des identités et des accès, durcissement, gestion des vulnérabilités et des correctifs.
Risque lié aux tiers et à la chaîne d’approvisionnement
Qualification des fournisseurs, clauses de sécurité, évaluation périodique, dépendances critiques, réversibilité et plans de sortie.
Détection et surveillance
Sources de journalisation, cas d’usage de détection, seuils d’alerte, couverture horaire, exploitation du renseignement sur les menaces.
Réaction aux incidents
Procédures de qualification et d’escalade, cellule de crise, communication interne et externe, notification aux autorités et aux clients, exercices réalisés.
Continuité et rétablissement
Objectifs de reprise, sauvegardes et restaurations testées, plans de continuité métier, scénarios de reconstruction du système d’information.
Culture et compétences
Sensibilisation par population, formation des équipes techniques, intégration de la sécurité dans les projets, dispositifs de signalement.
Mesure et amélioration continue
Indicateurs suivis, revue de direction, retours d’expérience après incident ou exercice, comparaison dans le temps et entre entités.
Une version courte du référentiel, en 34 questions, est disponible pour l’auto-évaluation en ligne. La version complète compte 10 thématiques et 159 questions.
Questions fréquentes
Ce cadre est-il certifiable ?
Non. Un cadre de gestion des risques cybernétiques décrit des capacités, sans organisme de certification derrière. La certification relève d’ISO 27001 ou de SOC 2. Le diagnostic mesure votre niveau de maîtrise et prépare ces démarches, il ne délivre aucune attestation.
Quelle différence avec un audit de conformité ?
L’audit vérifie la présence d’exigences et conclut par un écart ou une conformité. Le diagnostic situe chaque capacité sur une échelle progressive et indique l’action qui fait monter d’un niveau. Le diagnostic prépare l’audit, l’audit valide.
Combien de temps prend l’évaluation ?
La version courte se remplit en une seule séance de travail. La version complète, en mode collaboratif avec plusieurs contributeurs, s’étale sur une à deux semaines, l’essentiel du temps servant à la collecte auprès des équipes concernées.
Peut-on adapter le référentiel à notre organisation ?
Oui. Vous modifiez les questions, les niveaux et les thématiques, ou vous partez de vos propres documents : l’IA construit alors une déclinaison et affine les niveaux selon la méthode CMMI. Le référentiel reste sous votre maîtrise.
Comment comparer plusieurs business units ?
Chaque entité conduit son évaluation sur le même référentiel, ce qui rend les scores comparables par thématique. Le benchmark situe les entités entre elles et chacune par rapport à ses évaluations précédentes. Une feuille de route transversale consolide ensuite les plans d’action.
Faut-il une expertise technique pour répondre ?
Les questions portent sur les pratiques de gestion et de gouvernance, pas sur les configurations. Un responsable sécurité ou risques peut répondre à la majeure partie. Le mode collaboratif permet d’affecter les questions techniques au bon correspondant.
Ce diagnostic est-il réutilisable pour NIS 2 ou DORA ?
Oui, largement. Ces textes s’appuient sur les mêmes capacités : gouvernance, appréciation des risques, gestion des tiers, détection, notification, continuité. Le socle mesuré ici se réutilise, et la feuille de route transversale évite de dupliquer les actions d’un référentiel à l’autre.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des offres européennes.