Gouvernance de la sécurité numérique : orientation, déploiement et pilotage
Le rapport récemment publié par le Cigref, en collaboration avec l’ANSSI, souligne l’importance croissante de la cybersécurité en tant que levier de résilience, essentiel à la performance et à la compétitivité des organisations. Ce document, intitulé « Gouvernance de la sécurité numérique : orientation, déploiement et pilotage », met en lumière la nécessité d’une approche intégrée de la cybersécurité, dépassant la simple gestion technique.
Depuis 2020, la menace cybernétique a évolué, devenant plus complexe et difficile à suivre. Les organisations doivent désormais adopter une gouvernance de la sécurité numérique qui leur permet d’anticiper, d’absorber et de surmonter diverses perturbations. Mathieu Weill, Secrétaire général adjoint chargé du numérique au ministère de l’Intérieur, affirme que cette gouvernance est devenue un impératif de résilience pour les organisations et un enjeu de souveraineté pour l’État.
Le rapport propose une structure de gouvernance basée sur trois vecteurs d’action :
- Définition de la Politique de Sécurité Numérique (PSN) : Évaluer l’exposition des actifs numériques et établir des ambitions en fonction de l’appétence au risque.
- Application au quotidien : Assurer la sécurité tout au long du cycle de vie des produits et sensibiliser les parties prenantes.
- Pilotage par les métriques et communication : Évaluer la sécurité effective et la performance des remédiations, tout en communiquant clairement avec les instances dirigeantes.
Quatre archétypes de gouvernance ont été identifiés pour s’adapter aux spécificités de chaque organisation :
- Expert et partenaire : Focalisé sur les besoins métiers et l’innovation.
- Conformité et affaires publiques : Axé sur la gestion des risques et la conformité.
- Plateformisation et gouvernance : Promouvant une expansion autonome de la sécurité numérique.
- Sécurité intégrée : Englobant la gestion du continuum de la menace.
Le rapport insiste également sur le rôle crucial des dirigeants, renforcé par la directive européenne NIS 2. Les conseils d’administration doivent orienter et évaluer les trajectoires, tandis que les directions générales doivent impulser des actions alignées avec les impératifs métiers.
Ce document restitue les travaux du groupe de travail « Gouvernance de la sécurité numérique » menés au Cigref sur l’année 2024-2025, pilotés par Mathieu Weill, et s’appuie sur les retours d’expérience d’une trentaine d’organisations membres, en collaboration avec l’ANSSI.
Source : Cigref et ANSSI
