La cybersécurité n’est plus un sujet exclusivement IT. Pour un ComEx, la question n’est plus « sommes-nous sécurisés ? » mais « combien de temps pouvons-nous encaisser une crise et reprendre ? ».
Résilience ≠ absence d’incident
Aucun SI n’est invulnérable. La résilience se mesure à votre capacité à :
- détecter suffisamment tôt
- contenir la propagation
- protéger les sauvegardes et données critiques
- décider vite sous incertitude
- restaurer les métiers prioritaires
Un antivirus à jour ne remplace pas un plan de crise exercé.
Les 5 questions que le ComEx doit poser
- Quels sont nos 5 services métier critiques et leur dépendance SI réelle ?
- Quel est notre RTO / RPO par service, et sont-ils testés ?
- Qui décide quoi pendant une crise ransomware (payer, communiquer, couper) ?
- En combien de temps pouvons-nous isoler un domaine / un tenant cloud compromis ?
- Quelles preuves avons-nous que nos sauvegardes sont restaurables et non chiffrables ?
Si ces réponses sont floues, le risque n’est pas technique : il est de gouvernance.
Indicateurs utiles (et trompeurs)
Peu utiles seuls :
- nombre de vulnérabilités scannées
- volume d’alertes SOC
- score « compliance » annuel
Plus utiles pour piloter :
- délai moyen de détection / confinement sur incidents majeurs
- taux de restauration réussie des sauvegardes critiques
- couverture MFA / privilèges / EDR sur assets sensibles
- fréquence et résultats des exercices IR
- dettes de remédiation ouvertes > 90 jours sur risques élevés
Décisions que seul le ComEx peut trancher
- niveau de risque accepté vs investissement
- budget retainer IR / cyber-assurance
- arbitrage continuité vs préservation forensique
- politique de communication externe
- priorisation des programmes (IAM, backup, segmentation, détection)
La technique exécute ; le ComEx oriente.
Faire simple, mais sérieux
Un bon rituel ComEx cyber tient en 30 minutes mensuelles :
- top risques évolutifs
- incidents marquants et apprentissages
- état des contrôles critiques
- décisions demandées
Pas de jargon gratuit. Des options, des impacts euros / jours d’arrêt / réputation.
Conclusion
La cyber-résilience est une compétence de direction. Les organisations les plus matures ne promettent pas zéro incident : elles démontrent qu’elles peuvent encaisser, décider et reprendre. C’est exactement ce que les clients, régulateurs et assureurs regardent de plus en plus.
Retour au blog