Introduction à la gouvernance cyber

Ce que vous saurez faire

À la fin de ce cours, vous saurez :

• Distinguer gouverner de gérer, et reconnaître les deux pathologies que la confusion produit : un organe de direction qui gère, et une organisation où personne ne gouverne.
• Nommer correctement l'organe de direction et la direction générale, et dire ce que chacun doit faire dans chacun des processus de gouvernance.
• Situer la gouvernance de la sécurité par rapport à la gouvernance d'entreprise et à celle des technologies, et expliquer pourquoi les deux dernières se recouvrent sans se contenir.
• Énoncer les trois objectifs et les quatre résultats attendus de la gouvernance de la sécurité, et chercher la preuve de chacun.
• Distinguer responsabilité et imputabilité, et expliquer pourquoi l'externalisation ne transfère pas la seconde.
• Dérouler le modèle évaluer, diriger, surveiller, communiquer, assurer, et dire ce que chaque processus interdit.
• Reconnaître une direction qui n'engage personne, et écrire une exigence qui désigne un acteur, une fréquence et une conséquence.
• Juger la qualité d'une mesure de performance, et connaître la limite rétrospective de l'indicateur clé.
• Formuler un énoncé d'appétit pour le risque qui se vérifie, et connaître les trois zones intolérable, tolérable, acceptable.
• Nommer les limites d'une matrice de risque et les compenser sans l'abandonner.
• Énoncer les six principes d'ISO/IEC 27014 et, pour chacun, la question qu'il oblige l'organe de direction à trancher.
• Citer la norme avec son millésime, et savoir ce que change l'édition 2020.

À qui s'adresse ce module

La gouvernance est le mot le plus employé et le moins défini du métier. Il désigne, selon les organisations, un comité, un tableau de bord, une politique en attente de signature, ou l'ensemble de ce qui n'est ni technique ni opérationnel. Ce cours lui rend un sens précis et vérifiable.

Le fil conducteur est celui d'une question unique, posée sous six formes : qui décide quoi, sur quelle base, et comment la décision redescend jusqu'à un geste. On commence par séparer deux verbes que le français confond – gouverner et gérer – et par nommer les deux groupes que la norme distingue au sein de la haute direction. On installe ensuite le modèle de processus qui structure toute la matière : évaluer, diriger, surveiller, auxquels la sécurité de l'information ajoute communiquer et assurer. On met enfin à l'épreuve les six principes sur lesquels un organe de direction doit avoir une position explicite, depuis l'étendue réelle du périmètre jusqu'à la mesure de la performance par ses effets d'affaires.

La matière de référence est ISO/IEC 27014, la norme consacrée à la gouvernance de la sécurité de l'information, lue dans ses deux éditions ; les articles 5 et 9.3 d'ISO/IEC 27001:2022, qui sont le point de contact entre gouvernance et système de management ; le CyBOK, pour tout ce qui touche au risque, à sa perception, à sa communication et à sa mesure ; et la doctrine d'audit des systèmes d'information, pour les instances, la hiérarchie documentaire et la reddition de comptes. Les exemples sont québécois et l'encadrement cité est celui qui s'applique ici.

Aucun prérequis technique. Le cours GRC00, GRC Cyber 101, offert, donne la vue d'ensemble dont celui-ci approfondit le premier tiers ; il peut se suivre avant ou après.

Programme

Évaluations