Que couvre votre périmètre ? Ce qui compte pour votre audit

Le périmètre en mots simples

Votre périmètre, c'est tout ce dont vous devez montrer la protection : appareils, comptes, collaborateurs, applications, fournisseurs et réseaux. Seul son contenu compte pour votre audit. C'est pourquoi chaque choix a une raison.

ECP remplit votre périmètre lui-même. Il lit votre registre et vos connexions, comme Microsoft 365. Vous décidez seulement là où il faut s'en écarter : ce qui est hors NIS2, quels groupes vous évaluez séparément et où une mesure ne s'applique pas à un groupe, chaque fois avec une raison.

Où vous réglez votre périmètre

Trois choix, sur trois écrans. Ils s'appliquent dans cet ordre : votre inventaire, moins ce qui est hors NIS2, réparti sur les groupes que vous évaluez séparément. Ce qui reste forme Tout le reste.

• Ce qui compte, tout simplement : ouvrez Environnement IT dans le menu et choisissez Envergure. La liste Hors NIS2 reprend chaque exclusion : groupes entiers, éléments isolés et règles, chacun avec sa raison. Les règles appliquées par votre partenaire IT y figurent aussi, avec la mention Via votre partenaire IT, et vous ne pouvez que les lire.
• Quels groupes ont leur propre évaluation : ouvrez Risques et choisissez Groupes de sécurité. Les groupes que vous choisissez sont évalués séparément, dans l'ordre. Tout autre groupe reste candidat et relève de Tout le reste. Voir Créer des groupes et De votre IT à vos risques.
• Où une mesure ne s'applique pas à un groupe : ouvrez la mesure. Sous Ce qui s'applique par groupe de sécurité, vous ajoutez une règle avec une raison et une date de fin. Voir Enregistrer une exception.

Pas de boutons ? Alors vous pouvez consulter mais pas modifier. Un propriétaire ou administrateur de votre organisation fait le changement.

La ligne « S'applique à » sur une mesure

Ouvrez une mesure, par exemple depuis Audit. La ligne S'applique à dit ce que couvre la mesure et quelle part est en ordre. Chaque partie, comme Windows ou Mac, reçoit une étiquette :

• Couvert : tout est vu ou a une preuve.
• Échoue : il manque quelque chose. Une phrase donne la cause et qui doit agir.
• Question : une connexion voit un élément hors du périmètre. Décidez s'il doit y entrer.
• À confirmer : un élément est nouveau ou n'a plus été vu depuis un moment. Confirmez-le dans le registre.
• Vide : il ne contient rien. Vide n'est jamais vert. Confirmez que c'est correct, ou marquez la mesure comme non applicable, avec une raison.
• Pas d'avis : pas encore vérifié entièrement ou récemment.
• Exclu : une exception retire cette partie. Elle ne compte pas, mais elle n'est pas en ordre non plus.

Sous la ligne, un seul bouton mène à l'étape suivante. Si votre partenaire IT doit agir, la ligne le dit.

Exemple : Bakkerij De Testoven

De Testoven, une boulangerie, connecte Microsoft 365. Les portables et les comptes entrent ainsi tous dans le périmètre. Les ingénieurs installent eux-mêmes des logiciels, ce qui ne colle pas avec une partie d'une mesure. Le gérant crée un groupe « Engineers » et note sur cette mesure qu'elle ne s'applique pas à eux pour cette seule partie, avec une raison et une date de fin. Pour tout le reste, les ingénieurs comptent toujours.