GRC Cyber 101 - La vue d'ensemble

Ce que vous saurez faire

À la fin de ce module, vous saurez :

• Distinguer ce que recouvrent réellement la gouvernance, la gestion des risques et la conformité, et pourquoi les réunir sous un sigle ne les rend pas identiques.
• Situer une équipe GRC cyber dans le modèle des trois lignes, et repérer les cas où le modèle ne tranche rien.
• Différencier un audit de certification, une vérification interne, une évaluation de maturité et une vérification de conformité : commanditaire, finalité, référentiel, portée, méthode.
• Expliquer pourquoi la liste de risques d'un auditeur et celle d'un analyste cyber ne coïncident pas, et faire coexister les deux.
• Choisir entre une approche qualitative, semi-quantitative ou quantitative selon la décision à éclairer, et connaître les limites de chacune.
• Reconnaître une scénarisation défaillante, notamment la comparaison d'événements de menace qui ne s'excluent pas mutuellement.
• Discuter des montages organisationnels possibles pour la fonction, de leurs effets et des ordres de grandeur d'effectifs.
• Interroger une solution GRC sur la philosophie qu'elle impose, et évaluer ce que l'IA apporte et coûte à la pratique.
• Situer une organisation dans le paysage réglementaire québécois ou français, et anticiper l'effet de cette pression sur le mandat de la fonction et sur le choix de l'outillage.

À qui s'adresse ce module

Ce module est un tour d'horizon, pas un manuel de procédure. Il s'adresse à qui va travailler dans une équipe GRC cyber, la diriger, la financer, ou simplement travailler avec elle sans en faire partie.

Il assume un parti pris : la GRC est une discipline que les discours uniformes sclérosent facilement. Vous trouverez donc, à côté de l'exposé, des points de débat où deux positions défendables s'opposent, des retours de terrain sur ce qui se passe réellement en organisation, et des questions volontairement laissées ouvertes.

Le cours traite en parallèle la réalité québécoise et la réalité française, parce que l'écart entre les deux est instructif : d'un côté une pression réglementaire faible qui laisse la fonction GRC libre mais fragile, de l'autre une pression considérable qui lui donne un mandat mais lui dicte son ordre du jour. Cette asymétrie biaise le mandat des équipes, et elle biaise aussi la conception des outils qui viennent les soutenir. Vous la retrouverez tout au long du cours.

Aucun prérequis technique. Les méthodes d'analyse de risque sont ici présentées dans leurs principes et leurs tensions ; leur mise en œuvre détaillée fait l'objet des modules du parcours Risques.

Programme