Maturité en matière de renseignements sur les cybermenaces
Votre capacité de renseignement sur les cybermenaces, mesurée par thématique et traduite en feuille de route.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité en matière de renseignements sur les cybermenaces
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Cadre de maturité Cyber Threat Intelligence (références CTI-CMM, MITRE ATT&CK, cycle du renseignement) lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les besoins de renseignement prioritaires sont-ils formalisés avec les parties prenantes et revus régulièrement ?
- N1
Aucun besoin formalisé. La veille suit l’actualité et les centres d’intérêt des analystes.
- N2
Une liste de sujets existe, établie par l’équipe sécurité seule. Elle n’est pas partagée avec les métiers et n’a pas été revue depuis sa création.
- N3
Les besoins sont formalisés avec les principales parties prenantes, hiérarchisés et revus à échéance fixe. Chaque production se rattache à un besoin identifié.
- N4
Les besoins couvrent les niveaux stratégique, opérationnel et technique, sont validés par les destinataires et pilotés par des indicateurs de couverture et de délai.
- N5
Les besoins évoluent en continu selon les incidents, les scénarios de risque et les changements d’activité, avec un historique documenté des révisions et de leurs effets sur les productions.
Action pour passer de N2 à N3
Organiser un atelier avec le SOC, la gestion des vulnérabilités, les risques et un représentant métier pour hiérarchiser les besoins de renseignement, les consigner dans un document unique et inscrire leur revue à l’ordre du jour du comité sécurité trimestriel.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesure
De quoi parle ce référentiel
Le renseignement sur les cybermenaces, ou CTI, est une capacité, pas une exigence normative. Il repose sur un cycle connu : expression des besoins par les parties prenantes, collecte, traitement, analyse, diffusion, retour d’expérience. Il se décline sur trois horizons : stratégique pour la direction, opérationnel pour les campagnes et les acteurs, technique pour les indicateurs et les modes opératoires. Les cadres de référence du domaine, du cycle du renseignement à la cartographie MITRE ATT&CK, structurent la pratique sans imposer de niveau à atteindre. C’est à l’organisation de définir sa cible.
En pratique, cette liberté rend la capacité difficile à piloter. Les questions que se posent les équipes sont concrètes. Qui a formulé les besoins de renseignement prioritaires, et quand ont-ils été révisés pour la dernière fois ? Les productions sont-elles lues et utilisées par le SOC, la gestion des vulnérabilités et la direction, ou circulent-elles entre analystes ? Les flux d’indicateurs achetés ou ouverts sont-ils évalués sur leur apport réel, ou accumulés parce qu’ils sont disponibles ? Sans réponse mesurable, l’investissement CTI se justifie mal en arbitrage budgétaire.
Le contexte européen a déplacé le sujet. NIS 2 et DORA demandent une connaissance documentée des menaces pertinentes et, pour le secteur financier, des tests fondés sur la menace de type TIBER-EU. Le renseignement devient un intrant attendu du dispositif de gestion des risques et de la préparation aux crises. Une confusion fréquente subsiste : un abonnement à un flux d’indicateurs n’est pas une capacité de renseignement. Le flux est une source. Le renseignement est le travail d’analyse contextualisé qui produit une décision.
Le diagnostic de maturité ne répond pas à la question de la conformité. Il ne dit pas si la pratique est conforme ou non, puisqu’aucun organisme ne certifie une capacité CTI. Il situe chaque thématique sur une échelle progressive inspirée de la méthode CMMI, du constat d’absence à la pratique optimisée, et indique l’action qui fait passer au niveau suivant. Vous obtenez un état des lieux, une cible, et l’écart chiffré entre les deux, exploitable en comité de sécurité comme en comité d’investissement.
Le référentiel est prêt à l’emploi dans Datamensio et reste le vôtre. L’IA ajuste les thématiques, les questions et la formulation des niveaux à votre organisation, ou construit une déclinaison à partir de vos propres documents : charte CTI, procédures SOC, comptes rendus de veille. Les modèles mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.
Norme de référence : Cadre de maturité Cyber Threat Intelligence (références CTI-CMM, MITRE ATT&CK, cycle du renseignement)
Les thématiques évaluées
Gouvernance de la capacité
Mandat et rattachement de l’équipe, rôles et responsabilités, budget dédié, articulation avec le SOC, les risques et la direction, politique de partage.
Besoins de renseignement prioritaires
Identification des parties prenantes, formulation des besoins, hiérarchisation, fréquence de révision, traçabilité entre besoin exprimé et production livrée.
Sources et collecte
Cartographie des sources ouvertes, commerciales, communautaires et internes, couverture du périmètre, évaluation de la fiabilité, gestion des accès et de la légalité de la collecte.
Traitement et gestion des données
Plateforme de gestion du renseignement, normalisation des formats, déduplication, cycle de vie et péremption des indicateurs, enrichissement automatisé.
Analyse et cartographie des modes opératoires
Méthodes d’analyse, attribution raisonnée, usage de MITRE ATT&CK, suivi des acteurs et campagnes pertinents, distinction entre hypothèse et fait établi, notation de confiance.
Diffusion et productions
Formats stratégique, opérationnel et technique, cadence de publication, adaptation au destinataire, alertes à chaud, mesure de la lecture et de l’usage.
Intégration opérationnelle
Alimentation des règles de détection, du tri d’alertes et des investigations, apport à la gestion des vulnérabilités et à la chasse aux menaces, usage lors des exercices et des crises.
Surveillance de la surface externe et de la marque
Exposition internet, fuites de données et d’identifiants, usurpation de domaines et de marque, surveillance de la chaîne de sous-traitance.
Partage et coopération
Participation aux communautés sectorielles et aux CERT, échanges avec les autorités, règles de classification et de diffusion, réciprocité des contributions.
Mesure et amélioration continue
Indicateurs de pertinence et de délai, retours des destinataires, revues post-incident, actualisation des méthodes, comparaison dans le temps et entre entités.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
Le renseignement sur les cybermenaces est-il certifiable ?
Non. Il s’agit d’une capacité, sans organisme de certification dédié. Le diagnostic mesure le niveau de maturité de vos pratiques et produit la trajectoire de progression. Il peut en revanche alimenter la préparation d’un audit ISO 27001 ou la démonstration d’exigences NIS 2 et DORA.
Quelle différence entre ce diagnostic et un audit ?
Un audit vérifie la présence d’exigences et conclut par un écart ou une conformité. Le diagnostic situe chaque thématique sur une échelle progressive et indique l’action qui fait passer au niveau suivant. Le résultat est une feuille de route, pas un avis.
Combien de temps prend l’évaluation ?
La version courte se remplit en 20 à 30 minutes par un responsable qui connaît le dispositif. La version complète, en mode collaboratif, s’étale généralement sur une à deux semaines, l’essentiel du temps servant à collecter les éléments auprès du SOC, de la CTI et des métiers.
Peut-on adapter le référentiel à notre organisation ?
Oui. Thématiques, questions et formulation des niveaux sont modifiables, et l’IA peut construire une déclinaison à partir de vos procédures et de vos productions existantes. Une entité sans équipe dédiée et un groupe doté d’une cellule CTI n’évaluent pas les mêmes objets.
Faut-il une équipe CTI dédiée pour répondre ?
Non. Le diagnostic fonctionne aussi quand la veille est assurée à temps partiel ou déléguée à un prestataire. Les questions portent alors sur la façon dont vous exprimez vos besoins, exploitez les livrables et mesurez leur apport.
Comment comparer plusieurs entités du groupe ?
Le même référentiel est diffusé à chaque business unit, puis les résultats se comparent par thématique, entre entités et avec les évaluations précédentes. L’IA regroupe les écarts en une feuille de route transversale qui évite de dupliquer les mêmes actions dans plusieurs plans.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.