Deux directeurs cette semaine. Même question de ma part : parlez-moi de votre dernière revue de direction.
Le premier : « La quoi ? »
Le second : « Je crois que j'ai signé quelque chose en mars. »
Mon équipe chez Cresco Cybersecurity, membre du groupe Integrity360, accompagne ces deux organisations jusqu'à la certification ISO/IEC 27001. Les deux passent en Phase 2 dans le mois. Les deux SMSI sont en bon état. Périmètre rédigé, analyse de risques réalisée, DdA justifié ligne par ligne, audit interne clôturé et actions suivies. Neuf mois de travail sérieux par des gens qui savaient ce qu'ils faisaient.
Et les deux étaient sur le point de faire entrer leur dirigeant le plus haut placé dans une salle avec un auditeur, sans aucune préparation.
Personne ne prévient le directeur qu'il est au programme
Regardez votre plan d'audit. La direction générale a un créneau. Il est généralement en début de journée, souvent avant que l'auditeur ait examiné quoi que ce soit d'autre, et il existe parce que ISO/IEC 17021-1 exige que la Phase 2 évalue la responsabilité de la direction. On n'évalue pas la responsabilité de la direction en lisant une politique. On doit parler à la direction.
Ainsi, la première vraie impression de votre SMSI vient de la seule personne dans le bâtiment qui n'a jamais lu une clause de la norme.
Et voici le calcul que personne ne fait. Un contrôle manquant vous vaut un écart mineur. Un responsable manquant vous vaut une observation sur la Clause 5. L'un se clôture avec une capture d'écran. L'autre signifie que l'ensemble du système n'appartient à personne, et cela change la façon dont l'auditeur lit chaque élément de preuve pour le reste de la semaine.
Votre directeur n'a pas besoin de savoir ce qu'est TLS. S'il commence à l'expliquer, c'est pire, pas mieux. Il doit répondre à six questions.
Les six questions
« Quel est le périmètre de votre SMSI ? »
La réponse qui tue : « tout ce que nous faisons. » La deuxième qui tue : le silence, puis un regard vers le responsable sécurité. Tout le monde dans la salle voit ce regard.
Clause 4.3. Le périmètre, en langage métier. Quels services, quelles équipes, quels sites. Et un élément délibérément exclu, avec la raison.
Cette dernière partie compte plus que le reste. N'importe qui peut réciter ce qui est inclus. Seule une personne qui a participé à la discussion sait ce qui a été laissé de côté.
« Quels sont vos objectifs de sécurité de l'information ? »
« Ne pas se faire pirater. » C'est ce que j'ai obtenu cette semaine. C'est honnête. Cela indique aussi à l'auditeur que personne n'a jamais rien mesuré.
Clause 6.2. Deux ou trois objectifs, grosso modo, avec une direction d'amélioration. Personne n'attend d'un directeur qu'il cite des chiffres. On attend en revanche qu'il sache ce que l'entreprise a décidé d'améliorer, et si ça fonctionne.
« Quels sont vos principaux risques ? »
Observez bien. Neuf fois sur dix, le directeur répète ce que l'IT lui a dit, et ce que l'IT lui a dit est une liste de contrôles manquants. Pas de MFA. Retard dans les correctifs. Pas de test de reprise depuis l'année dernière.
Ce ne sont pas des risques. Ce sont des lacunes. Un auditeur qui entend cela sait exactement ce qui s'est passé : l'analyse de risques a été réalisée par un seul technicien, dans un tableur, seul, et elle n'a jamais quitté l'équipe sécurité.
« Quelles ressources avez-vous allouées ? »
C'est celle-là qui les prend de court. À chaque fois.
« Nous soutenons pleinement le programme. » C'est une phrase, pas une ressource. Les Clauses 5.1 et 7.1 veulent quelque chose de quantifiable. Une ligne budgétaire. Un recrutement. Un outil acheté. Des jours libérés pour que quelqu'un puisse effectivement conduire l'audit interne. Une formation validée.
Si votre directeur n'en cite aucune, confrontez-vous à la version inconfortable : lui avez-vous jamais rien demandé ? Un directeur à qui on n'a jamais rien demandé n'est pas peu impliqué. Il n'est pas informé. Et ça, c'est votre responsabilité.
« Qui est responsable de la sécurité de l'information ici ? »
« Notre CISO. » Faux, et c'est le chemin le plus court vers une observation sur la Clause 5.3.
La responsabilité opérationnelle se délègue. La responsabilité finale, non. La bonne réponse est « c'est moi », suivie du nom de celui qui pilote au quotidien et de la fréquence à laquelle il en rend compte.
« Parlez-moi de votre dernière revue de direction. »
La question la plus révélatrice de tout l'entretien, c'est pourquoi j'ai commencé par là.
Trois éléments, c'est le seuil. À peu près quand. Qui était dans la salle. Une décision qui en est sortie.
Une décision. C'est tout.
S'ils ne peuvent pas en nommer une, l'auditeur conclut ce que vous concluriez à sa place : la revue de direction a eu lieu sur le papier, quelques jours avant l'audit, et personne n'a pris de décision parce que personne n'était vraiment là. Ensuite il vérifie. Il a généralement raison.
Et une que personne ne voit venir. Avez-vous déterminé si le changement climatique est pertinent pour votre SMSI ? L'Amendment 1, publié en février 2024, a ajouté une phrase à la Clause 4.1 : l'organisme doit déterminer si le changement climatique est un enjeu pertinent. Les auditeurs posent la question depuis que les audits de surveillance l'ont relevé cette année-là.
« Nous l'avons examiné, il impacte la disponibilité sur notre site de Lisbonne, c'est dans l'analyse du contexte » convient parfaitement. Tout comme « nous l'avons examiné, il n'est pas pertinent pour notre SMSI, voici où nous l'avons consigné. »
Vous pouvez conclure que non. Vous ne pouvez pas ne rien conclure.
Règles pour la salle
Répondez à la question, puis arrêtez-vous. Le silence n'est pas un vide que votre directeur doit combler. C'est une technique. Les directeurs détestent le silence et le remplissent avec des détails, et chaque détail est une porte. Chaque porte est une nouvelle piste d'investigation, désormais consignée.
« Je ne sais pas, c'est [nom] qui gère ça » est une bonne réponse. Improviser ne l'est pas. Personne ne vous sanctionne parce qu'un directeur ne détient pas un détail opérationnel. Tout auditeur suit une piste issue d'une approximation qui s'avère fausse, et vous vous retrouvez avec un problème de crédibilité en plus d'un problème factuel.
Ne dites jamais « toujours » ou « jamais ». Les absolus sont une invitation à aller échantillonner. Dites « nous révoquez toujours les accès à la date de départ » et l'auditeur trouvera le cas que vous avez manqué. « Le processus prévoit X, et nous le revoyons trimestriellement » résiste à l'épreuve. Les absolus, non.
Ne répondez pas à la place des autres. « Je crois que c'est l'IT qui gère ça » est un fil, et il sera tiré. « Cela relève de [nom], qui est disponible cet après-midi » n'en est pas un.
Rien ne doit être promis pour après l'audit. Tout ce que votre directeur propose d'envoyer ultérieurement entre directement dans les notes. Si ça n'existait pas pendant l'audit, ça n'existait pas. Même piège avec « nous travaillons là-dessus. » Si le travail est déjà enregistré comme une action d'amélioration avec un responsable et une date, dites-le précisément. Sinon, votre directeur vient de déclarer une non-conformité à voix haute.
Ne vous épanchez pas. Les directeurs s'épanchent. « Je demande un budget et je n'en obtiens jamais » est une observation sur la Clause 7.1, livrée volontairement, par la seule personne dans le bâtiment dont le témoignage a le plus de poids.
Ce qui fonctionne vraiment
Envoyez trois lignes surlignées, pas le dossier complet. Quarante-huit heures avant, le compte rendu de la dernière revue de direction est transmis au directeur avec exactement trois éléments marqués : la date, les participants, une décision. Personne ne lit un dossier de douze pages la veille au soir. Tout le monde lit trois lignes surlignées.
Donnez-leur un seul chiffre. Les directeurs retiennent un chiffre. Choisissez celui qui prouve l'engagement et faites-le leur. Le montant budgétaire, les effectifs, les jours libérés pour l'audit interne. Un seul. Pas un tableau de bord.
Rédigez la phrase sur la responsabilité avec eux, dans leurs mots. Qui est responsable, qui pilote au quotidien, à quelle fréquence ils se voient. Leur formulation, pas la vôtre. Une phrase qu'un directeur a construite lui-même résiste à la question de suivi. Une phrase que vous avez écrite pour lui s'effondre à la deuxième.
Faites la première répétition sans le responsable sécurité dans la salle. Vous découvrez très vite ce que le directeur maîtrise réellement par rapport à ce qu'on lui transmet habituellement. Faites revenir le RSI pour le deuxième passage.
Posez les documents sur la table. Politique, déclaration de périmètre, objectifs, compte rendu de la dernière revue de direction. Lire à partir d'un document n'est pas tricher, c'est précisément l'objectif. Un directeur qui dit « laissez-moi vérifier le compte rendu » et qui le consulte vient de prouver que le compte rendu est utilisé.
Demandez un créneau horaire convenable. Pas coincé entre deux appels de conseil d'administration. Un directeur pressé donne des réponses lapidaires, les réponses lapidaires donnent une impression de désengagement, et l'auditeur prolonge la session pour comprendre pourquoi. Vingt minutes tranquilles durent moins longtemps que dix minutes bâclées.
Prévenez-le que l'auditeur peut vous demander de sortir. Certains le font, et ils en ont le droit. Si le visage de votre directeur se ferme quand cela arrive, l'auditeur dispose désormais de cette information gratuitement.
Quoi que la répétition fasse remonter, consignez-le
C'est le geste que la plupart des gens ratent.
Vous faites une répétition une semaine avant et vous faites apparaître trois vraies lacunes. Le réflexe est d'aller les corriger discrètement comme si elles n'avaient jamais existé.
Faites l'inverse. Consignez-les dans le registre d'amélioration le jour même, avec un responsable et une date.
Une lacune que l'auditeur trouve et que vous aviez déjà enregistrée, attribuée et datée est la preuve que la Clause 10 fonctionne. La même lacune, non consignée, est une non-conformité. Vous choisissez ce qu'elle devient, et ce choix expire au moment où l'auditeur s'assoit.
Vous ne faites pas un briefing à votre directeur. Vous vous auditez vous-même.
Quarante-cinq minutes, une semaine avant. Je ne présente rien. Je pose les six questions à voix haute, dans l'ordre, et je les laisse répondre mal.
Ensuite nous regardons ce à quoi ils n'ont pas pu répondre, et c'est là que ça cesse d'être un briefing.
Impossible de nommer une décision issue de la revue de direction ? La revue de direction n'est pas réelle.
Impossible de nommer une ressource ? Personne ne leur en a jamais demandé une.
Impossible de décrire le périmètre ? Le périmètre appartient à celui qui l'a rédigé, et ce n'était pas eux.
Vous n'avez pas construit un mauvais SMSI. Vous l'avez construit à côté de l'entreprise plutôt qu'à l'intérieur. Les documents sont corrects. Le système ne passe simplement pas par les personnes que la norme désigne. C'est une non-conformité sur la Clause 5, et un auditeur aurait raison de la rédiger.
Mieux vaut que vous la trouviez avant eux. Une semaine suffit à la rendre réelle. C'est loin d'être suffisant pour la rendre présentable.
Si votre audit est lundi
Trois choses, dans cet ordre.
Une décision issue de la dernière revue de direction. Un chiffre prouvant une ressource. Une phrase sur la responsabilité.
Obtenez ces trois éléments et votre directeur entre avec quelque chose de concret à dire. Tout le reste de cette page est pour la prochaine fois.
Les deux entreprises avec lesquelles j'ai travaillé cette semaine ont changé quelque chose dans les jours qui ont suivi. Aucun de ces changements n'était un document.
Alors allez poser une seule question à votre directeur aujourd'hui. Citez une décision issue de la dernière revue de direction.
Quelle que soit la réponse, vous avez votre réponse.
Christophe Mazzola est Head of GRC Practice Development chez Cresco Cybersecurity, membre du groupe Integrity360, et CISO en exercice.
Nos formations ISO/IEC 27001 Lead Implementer et Lead Auditor couvrent la Clause 5 et la Clause 9.3 telles qu'elles sont auditées, pas telles qu'elles sont résumées. Cinq jours, certification PECB, 2 499 €. Vous échouez deux fois à l'examen, nous vous remboursons.