Un emboîtement, pas une hiérarchie
Une organisation ne gouverne pas séparément sa sécurité, ses technologies, ses finances et ses ressources humaines. Elle se gouverne, et chacun de ces domaines est un volet du même exercice. ISO/IEC 27014 l'énonce sans détour : tout modèle de gouvernance est une composante de la gouvernance de l'organisation, et l'organe de direction gagne à en développer une vue intégrée.
La figure que la norme propose mérite d'être lue attentivement, parce qu'elle contredit ce que beaucoup dessinent spontanément. Elle ne montre pas trois cercles emboîtés du plus grand au plus petit, la sécurité étant un sous-ensemble des TI, lui-même sous-ensemble de l'entreprise. Elle montre la gouvernance d'entreprise qui surplombe, et deux cercles qui se recouvrent partiellement en dessous : la gouvernance des technologies de l'information et la gouvernance de la sécurité de l'information.
Le recouvrement partiel est le point de la figure. Il dit deux choses à la fois. D'abord qu'il existe un domaine commun, considérable : la sécurité d'un système d'information se décide en même temps que ce système. Ensuite, et c'est ce qu'on oublie, que chacun des deux cercles déborde de l'autre.
La gouvernance des TI déborde parce que l'essentiel de ce qu'elle traite n'est pas de la sécurité : le choix d'un progiciel, la dette technique, la capacité, le coût par utilisateur, la satisfaction des métiers.
La gouvernance de la sécurité déborde parce qu'une partie considérable de ce qu'elle protège ne passe par aucun système. Le contrat papier dans une armoire, la conversation dans un train, le prototype dans un atelier, la personne à qui l'on confie une clé d'accès physique, le fournisseur qui détient une copie de vos données sur son propre parc. ISO/IEC 27014 le dit dans son premier principe : la responsabilité de la sécurité de l'information s'étend régulièrement au-delà des frontières perçues de l'organisation.
Ce qui sépare les deux cercles du bas
La norme donne une formulation compacte de la différence, qui vaut la peine d'être retenue telle quelle. La gouvernance des technologies de l'information vise les ressources nécessaires pour acquérir, traiter, stocker et diffuser l'information. La gouvernance de la sécurité de l'information vise la confidentialité, l'intégrité et la disponibilité de cette information.
Autrement dit : l'une gouverne le moyen, l'autre gouverne une propriété de ce qui transite par le moyen. Ce n'est pas une nuance d'organigramme, cela change ce dont on parle en réunion.
Une conséquence pratique en découle, et c'est souvent la source des frictions les plus durables dans une organisation. Les deux gouvernances ne sont pas au service du même arbitrage. La gouvernance des TI optimise l'emploi d'une ressource rare, essentiellement du temps d'équipe et du budget. La gouvernance de la sécurité arbitre une exposition. Les deux sont légitimes, mais elles ne se tranchent pas au même niveau : refuser une mesure de sécurité parce qu'elle coûte trois semaines d'équipe est une décision de gouvernance des TI ; accepter l'exposition qui résulte de ce refus est une décision de gouvernance de la sécurité. La même phrase prononcée en réunion contient donc deux décisions distinctes, dont une seule est généralement assumée.
Il y a un second écart, moins visible. ISO/IEC 27014 note que les deux gouvernances s'appuient sur les mêmes processus – évaluer, diriger, surveiller – mais que la gouvernance de la sécurité en exige un de plus : communiquer. La raison est que la sécurité met en jeu des parties prenantes extérieures à l'organisation, qui ont le droit de savoir à quel niveau de sécurité elles traitent avec vous : clients, partenaires, autorités de contrôle, assureurs, personnes dont vous détenez les renseignements. Une gouvernance des TI qui ne parlerait qu'à l'intérieur reste défendable ; une gouvernance de la sécurité qui ne parlerait qu'à l'intérieur ne répond pas à ses obligations.
Le fil de la gouvernance jusqu'aux équipes
L'édition 2020 de la norme ajoute une notion qui manquait : le fil de la gouvernance dans l'organisation. L'idée est qu'entre une décision prise par l'organe de direction et un geste posé par une personne de l'exploitation, il doit exister une chaîne continue, dont chaque maillon soit traçable dans les deux sens.
Descendante, la chaîne ressemble à ceci. L'organe de direction fixe le niveau de risque acceptable et approuve la politique. La direction générale traduit la politique en directives et en objectifs de sécurité. Les responsables de domaine déclinent les directives en normes techniques et en procédures. Les équipes appliquent les procédures dans des gestes datés et enregistrés.
Montante, la même chaîne doit répondre à la question inverse : cette procédure, de quelle décision descend-elle ? C'est ce test-là qui révèle l'état réel de la gouvernance, et il est impitoyable. Prenez une exigence technique que vos équipes appliquent quotidiennement – la rotation des clés d'accès, la durée de conservation d'un journal, le délai d'application d'un correctif critique. Remontez. Dans une organisation gouvernée, vous arrivez en trois ou quatre sauts à une décision signée par quelqu'un qui en avait l'autorité. Dans la plupart des organisations, vous arrivez à une valeur par défaut d'un produit, à l'habitude d'un administrateur parti depuis, ou au modèle d'un document repris d'une autre entreprise.
Une valeur orpheline n'est pas nécessairement mauvaise : trente jours pour appliquer un correctif critique est sans doute un chiffre raisonnable. Mais personne ne l'a choisi, donc personne ne le défendra quand le métier demandera un report, et personne ne saura le réviser quand la menace changera. Une règle sans décideur est une règle sans réviseur.