De votre IT à vos risques : l'ordre des étapes

1. Environnement IT : ce que vous avez, et ce qui compte

Sous Environnement IT, vous passez par trois étapes. Intégrations récupère vos appareils et comptes depuis des outils comme Microsoft 365. Inventaire montre tout ce qui est arrivé, plus ce que vous ajoutez vous-même. Envergure demande combien d'appareils, de comptes, d'applications et de fournisseurs vous avez vraiment, et le compare à l'inventaire pour que vous voyiez ce qui manque encore.

Sur Envergure, vous trouvez aussi Hors NIS2. Ce que vous y placez n'est évalué nulle part. Vous donnez toujours une raison, et votre auditeur la lit. Vous pouvez mettre trois choses hors NIS2 :

• Groupes entiers, par exemple les centraux téléphoniques que vous hébergez pour des clients. Cliquez sur Mettre un groupe hors NIS2, choisissez le groupe et donnez la raison. Avant de confirmer, vous voyez combien d'éléments sortent.
• Appareils et autres éléments isolés, comme un vieux portable dans une armoire. Un élément d'un groupe hors NIS2 peut quand même être repris à part.
• Règles, définies par votre partenaire IT. Seul votre partenaire IT les modifie.

Reprendre annule l'opération.

2. Groupes de sécurité : les parties qui ont droit à un regard à part

Un groupe de sécurité est un ensemble d'appareils ou de personnes qui ont besoin d'une autre protection, avec la raison. Vous en avez besoin parce qu'un risque ne pèse pas partout autant. Un rançongiciel sur les portables de bureau arrête le travail. Sur un ordinateur kiosque, les dégâts sont sans doute bien moindres : là, vous choisirez peut-être simplement d'accepter le risque, tout en le réduisant sur les portables. Sans groupe « Ordinateurs kiosque », ce risque reçoit un seul score pour les deux. Des groupes typiques : les serveurs, les ordinateurs kiosque et les machines qui font tourner le logiciel d'un fournisseur. Comment en créer un : voir Créer des groupes.

Chaque groupe est évalué séparément ou non :

• Cochez Évaluer séparément sur un groupe. Il passe dans Évalués séparément, dans cet ordre.
• Un groupe que vous ne cochez pas reste dans Candidats, relèvent de Tout le reste. Ses éléments sont évalués avec tout le reste.
• Tout le reste est toujours en dernier et contient tout ce qu'aucun groupe ne contient. Il est fixe : vous ne pouvez ni le supprimer ni l'évaluer séparément, car il est évalué de toute façon. Un groupe Hors NIS2 ne peut pas non plus être évalué séparément.
• Les groupes sans contenu se replient sous Groupes vides.

L'ordre compte. Un élément appartient au premier groupe de la liste auquel il correspond. Ce groupe en est propriétaire. Un portable qui est à la fois portable de bureau et machine fournisseur compte une seule fois, pour le groupe qui vient en premier. Chaque groupe montre ce qu'il possède et ce à quoi il correspond, par exemple « possède 12, correspond à 17 ». Déplacez un groupe avec les flèches. Avant que rien ne change, vous voyez quels éléments changeraient de groupe.

Cocher Évaluer séparément demande une confirmation. Chaque risque que le groupe touche reçoit une ligne À faire. Les lignes qui lui cèdent des éléments passent à À revoir : ce score tient-il encore sans ce groupe ? Si vous décochez, les évaluations de ce groupe ne comptent plus. Vous les voyez encore.

3. Évaluations : une par groupe

La barre en haut de Groupes de sécurité indique la suite, par exemple « Prochaine étape : évaluer Tout le reste. », avec Démarrer l'évaluation. Ou cliquez sur Nouvelle évaluation dans Évaluations.

1. Répondez à Sur quelle partie de l'entreprise porte cette évaluation ? Vous choisissez un groupe évalué séparément, ou Tout le reste. Un groupe candidat n'a pas d'évaluation propre : cochez d'abord Évaluer séparément.
2. Choisissez Tous les constats (recommandé) pour recevoir chaque risque connu à confirmer ou écarter, ou Vierge pour les ajouter vous-même.
3. Ce groupe a déjà une évaluation ? La plus récente évaluation d'un groupe est celle qui compte. L'ancienne est encore dans la liste ? Archivez-la quand vous n'en avez plus besoin.

Chaque carte d'évaluation a Hub pour parcourir les risques un par un, Wiki pour la page elle-même, et Archiver.

• Archiver retire une évaluation de la liste active. Vous la retrouvez sous Archivées, et Restaurer la ramène. Le texte sous Archivées indique si une évaluation archivée compte encore dans votre registre.
• Vous voulez la supprimer pour de bon ? Ouvrez sa page wiki et supprimez-la là. Il n'y a volontairement pas de bouton de suppression dans la liste.
• Seuls les membres qui peuvent modifier l'organisation voient Archiver et Restaurer. Quelqu'un qui ne peut que lire voit la liste sans ces boutons.

4. Registre : chaque risque, par groupe

Le registre range les risques comme vos groupes sont rangés. Concerne tout le monde contient les risques qui valent pour toute l'entreprise. En dessous, chaque groupe évalué séparément a sa propre branche, et Tout le reste vient en dernier.

• Ouvrez un risque pour voir la probabilité, l'impact et le score, et S'applique à. Choisir des groupes limite le risque à certains groupes.
• Le risque pèse autrement dans un groupe ? Ajouter un groupe donne à ce groupe sa propre probabilité, son impact, son responsable et son traitement. Pour le rançongiciel, vous ajoutez « Ordinateurs kiosque », donnez un impact plus faible et mettez le traitement sur Accepter, avec une raison et une date de révision. Ne s'applique pas à ce groupe retire un groupe, avec une raison que votre auditeur voit. Plus sur Risques (en anglais).
• Validation par la direction est l'endroit où la direction approuve les risques acceptés et la feuille de route.
• Exporter en CSV vous donne le registre sous forme de tableur.

Là où votre registre montre une ligne par groupe, chaque ligne a un état : À faire (pas encore évaluée), Évalué, ou À revoir (quelque chose a changé, vérifiez le score). Les évaluations plus anciennes du même groupe apparaissent comme Remplacé, et celles d'un groupe que vous n'évaluez plus séparément comme Caduc. Aucune des deux ne compte.

5. Feuille de route : le travail qui réduit les risques

La feuille de route contient les actions qui réduisent vos risques confirmés, comme activer la MFA ou tester les sauvegardes. Planifiez-les par sprint et glissez-les vers Terminé une fois faites.

Quand quelque chose change plus tard

• Un nouveau portable rejoint un groupe tout seul s'il correspond à la règle du groupe. Rien à faire.
• Vous évaluez un nouveau groupe séparément : ses risques reçoivent des lignes À faire, et les lignes qui ont perdu des éléments passent à À revoir.
• Vous réévaluez un groupe : la nouvelle évaluation prend le relais de l'ancienne. L'ancienne est encore dans la liste ? Archivez-la quand vous n'en avez plus besoin.