Garder un risque est une décision de gestion, prise par le responsable du processus qui subirait la perte. Il la signe, chiffrée et datée ; le CISO l'éclaire, il ne la prend pas.
Chaque risque gardé a un propriétaire nommé : le responsable du processus qui subirait la perte. Il signe une ligne du registre avec le scénario, une fourchette en euros, le coût de la mesure écartée, une date de révision et ce qui rouvre la décision. Le CISO donne son avis par écrit.
Le mécanisme. Une chaîne de causes que le lecteur peut refaire dans sa tête.
Écrite telle qu'on l'entend vraiment en comité : c'est une croyance raisonnable qui a cessé d'être vraie.
"Le CISO connaît les risques mieux que nous. S'il juge celui-ci acceptable, c'est à lui de signer."
Quand un texte ou un contrat impose la mesure : il n'y a plus d'arbitrage, seulement un plan. Un risque qui touche tous les processus remonte au comité de direction, qui nomme un seul propriétaire.
Cinq vérifications observables. Chacune dit où aller regarder, et à quoi on voit que ce n'est pas respecté.
Le plus rapideLisez les signataires du registre des risques acceptés.
Un responsable métier nommé par ligne.
Le CISO partout, ou « la direction informatique ».
Cherchez la date de révision de la plus ancienne acceptation.
Une date, et une revue tenue à cette date.
Pas de date, ou une date passée sans revue.
Demandez au propriétaire ce que coûterait le risque s'il arrivait.
Une fourchette en euros, et le coût de la mesure écartée.
« Il est en orange. »
Cherchez sur la ligne ce qui rouvre la décision.
Une condition écrite : incident, changement de fournisseur, nouvelle obligation.
Rien : la décision ne bouge qu'à la date, ou jamais.
Dans la duréeSuivez le dernier incident jusqu'au registre.
Les lignes touchées sont revenues au comité suivant.
Le registre n'a pas bougé depuis l'incident.
Quatre faux amis. Ce sont eux qui font croire qu'on applique le principe en faisant l'inverse.
Ce n'est pas une acceptation sans échéance
Les deux portent une signature.
Sans date, l'acceptation devient l'état normal. Elle porte une date de révision ; ce jour-là, on la renouvelle ou on traite le risque.
Ce n'est pas la signature du CISO
Le CISO connaît les menaces et les failles mieux que personne.
Il analyse, chiffre les options et donne son avis. En général, il ne finance pas la mesure et ne porte pas la perte : la signature revient au métier.
Ce n'est pas un risque en couleur
La matrice rouge, orange, vert dit aussi qu'un risque est grave.
Une couleur ne se compare pas au coût d'une mesure. Une fourchette en euros, avec sa probabilité, se compare (fiche O-74).
Ce n'est pas désigner un coupable
Les deux mettent un nom sur un risque.
Le propriétaire répond de son choix, pas de l'incident. Si le risque arrive, on rouvre la décision sur ses chiffres (fiche P-11).
Imaginons… Un assureur garde un an de plus son outil des sinistres hors support : la migration (380 k€) est reportée.
Sans le principe Le CISO note le risque en rouge et signe. Un an après, nul ne sait ce qu'il coûterait.
Avec le principe La directrice des sinistres chiffre : arrêt de 5 à 10 jours, 225 à 450 k€ (45 k€ par jour). Elle paie 40 k€ pour isoler l'outil et préparer sa restauration, puis signe le reste : 2 à 4 jours, 90 à 180 k€.
Qui signele responsable du processus qui subirait la perte.
Ce que dit la ligneun scénario, une fourchette en euros, le coût de la mesure.
Quand on la relità la date fixée, ou dès qu'une condition se réalise.
Le CISOanalyse et donne son avis par écrit.
Qui signele CISO, ou personne.
Ce que dit la ligneune couleur.
Quand on la relità l'audit suivant, ou après l'incident.
Le CISOporte seul des risques qu'il ne finance pas.