La gouvernance cybersécurité désigne la manière dont une organisation organise, décide et pilote la maîtrise de son risque numérique. Elle ne se limite pas aux solutions techniques : elle concerne les responsabilités, les priorités, les budgets, la continuité d’activité, le suivi des risques et les décisions de la direction. Son objectif est d’intégrer le risque cyber aux décisions de l’entreprise plutôt que de le traiter uniquement comme un sujet informatique.
Pourquoi le risque cyber est-il devenu un sujet de gouvernance ?
Pendant longtemps, les sujets de sécurité informatique étaient principalement traités par les équipes techniques. Lorsqu'un problème apparaissait, le réflexe consistait souvent à rechercher une solution informatique : corriger, sécuriser, restaurer ou remplacer.
Cette approche devient insuffisante lorsque le système d'information intervient directement dans la production, la relation client, la gestion financière ou les processus internes.
Une indisponibilité informatique peut par exemple empêcher une entreprise de facturer, de produire, d'accéder à ses données ou de servir ses clients. Une compromission de messagerie peut également avoir des conséquences financières ou organisationnelles qui dépassent largement le périmètre du service informatique.
La gouvernance du risque cyber consiste justement à intégrer ces conséquences dans les décisions de l'entreprise. L'ANSSI décrit cette gouvernance comme une démarche continue destinée notamment à anticiper la menace, suivre le niveau de sécurité et renforcer un dispositif adapté aux risques de l'organisation.
Du risque informatique au risque stratégique
Le risque numérique devient un sujet de direction lorsqu'il peut affecter directement une activité essentielle.
Pour une PME, la question n'est donc pas seulement :
« Sommes-nous suffisamment protégés ? »
Elle devient :
« Quelles activités devons-nous absolument préserver, quel niveau d'interruption pouvons-nous accepter et quelles décisions devons-nous prendre pour réduire les risques les plus importants ? »
Cette évolution change la manière de piloter le sujet. Les investissements informatiques doivent être rapprochés des enjeux métier et non décidés uniquement en fonction des technologies disponibles.
Des conséquences qui dépassent le service informatique
Le risque cyber peut concerner simultanément plusieurs fonctions de l'entreprise :
- direction générale
- informatique
- finance
- juridique
- ressources humaines
- opérations
- relation clients
- fournisseurs et partenaires
La gouvernance consiste donc à créer un cadre permettant à ces fonctions de partager une même vision des risques et des priorités.
Quel rôle la direction doit-elle jouer ?
La direction n'a pas vocation à devenir experte des technologies de sécurité. En revanche, elle doit être en mesure de prendre les décisions qui relèvent de sa responsabilité : niveau de risque acceptable, priorités, ressources, continuité d'activité et organisation en cas d'incident.
L'ANSSI souligne que la gouvernance du risque numérique doit trouver sa place dans le fonctionnement habituel de l'organisation et s'appuyer sur une connaissance actualisée des risques pesant sur ses activités.
Définir le niveau de risque acceptable
Aucune organisation ne peut nécessairement éliminer tous les risques numériques. La question de gouvernance consiste donc à déterminer ceux qui doivent être réduits en priorité et ceux qui peuvent être acceptés, transférés ou suivis.
Ce choix doit être relié aux conséquences possibles pour l'activité.
Par exemple, une interruption de quelques heures d'un outil secondaire n'aura pas nécessairement le même impact qu'une indisponibilité prolongée du système utilisé pour traiter les commandes ou accéder aux données clients.
Arbitrer les priorités et les investissements
La direction doit pouvoir arbitrer entre différentes actions lorsque les ressources sont limitées.
Un budget de sécurité peut être consacré à plusieurs priorités : réduction d'un risque identifié, amélioration de la résilience, accompagnement des utilisateurs, renforcement de la gouvernance ou évolution de l'infrastructure.
L'enjeu n'est donc pas de disposer du plus grand nombre de solutions, mais de consacrer les ressources disponibles aux risques qui présentent le plus d'enjeux pour l'organisation.
Attribuer les responsabilités
Une gouvernance efficace doit également déterminer qui décide, qui met en œuvre et qui suit les actions.
La CNIL recommande notamment de ne pas définir un plan d'action sans attribuer à chaque mesure une échéance et un responsable de mise en œuvre. Elle souligne également que la sécurité ne doit pas être considérée comme une responsabilité entièrement déléguée à un fournisseur.
Quelles décisions la direction doit-elle prendre ?
La gouvernance devient concrète lorsqu'elle débouche sur des décisions.
Pour une PME, les principales questions peuvent être regroupées autour de cinq sujets.
Quels actifs et activités sont réellement critiques ?
Toutes les ressources informatiques n'ont pas la même importance.
La direction doit identifier les applications, données, services et processus dont l'indisponibilité aurait une conséquence importante sur l'activité.
Cette réflexion permet ensuite de déterminer où concentrer les efforts.
Quel niveau de risque l'entreprise peut-elle accepter ?
Le risque doit être mis en relation avec l'activité.
Une entreprise qui dépend fortement d'une application métier disponible en permanence n'aura pas les mêmes priorités qu'une organisation dont les opérations peuvent être temporairement réalisées autrement.
La décision consiste donc à définir un niveau de risque compatible avec les objectifs de l'entreprise.
Quel budget consacrer à la réduction du risque ?
Le budget doit être arbitré en fonction des priorités identifiées.
Une dépense informatique peut être pertinente si elle réduit un risque important ou améliore la capacité de l'entreprise à poursuivre son activité après un incident. À l'inverse, une solution techniquement intéressante mais sans bénéfice significatif pour les risques prioritaires peut être reportée.
Que se passe-t-il en cas d'indisponibilité ?
La direction doit également s'interroger sur les conséquences d'une interruption :
- quelles activités doivent reprendre en premier ?
- combien de temps l'entreprise peut-elle fonctionner en mode dégradé ?
- quelles personnes doivent prendre les décisions ?
- quelles informations doivent rester accessibles ?
- quels fournisseurs ou partenaires doivent être mobilisés ?
Ces questions relèvent directement de la continuité d'activité.
Qui décide et qui intervient en cas d'incident ?
Une crise est rarement le bon moment pour déterminer les responsabilités.
Les rôles doivent être suffisamment clairs avant l'incident : qui alerte la direction, qui coordonne les actions, qui échange avec les prestataires, qui communique avec les parties concernées et qui valide les décisions importantes ?
Cette préparation réduit le risque de décisions improvisées lorsque la pression est forte.
Gouvernance et continuité d'activité : préparer les décisions avant la crise
La continuité d'activité constitue l'un des liens les plus directs entre gouvernance et risque numérique.
La question n'est pas uniquement de savoir comment restaurer un système, mais de déterminer comment l'entreprise continue à fonctionner lorsque certains moyens informatiques ne sont plus disponibles.
PCA et PRA : deux sujets à distinguer
Le plan de continuité d'activité (PCA) concerne l'organisation permettant de maintenir les activités prioritaires pendant une situation perturbée.
Le plan de reprise d'activité (PRA) concerne plus spécifiquement les dispositions prévues pour rétablir les ressources et services nécessaires après une interruption.
Ces dispositifs doivent être reliés aux priorités métier. Une PME ne devrait pas seulement se demander si ses données peuvent être restaurées, mais aussi quelles activités doivent reprendre en premier et avec quelles ressources.
Définir les priorités métier
Un PCA ou un PRA pertinent commence par les besoins de l'activité.
Prenons une PME qui dépend d'une application de gestion commerciale pour prendre ses commandes. Si cette application devient indisponible, la question prioritaire n'est pas uniquement technique. La direction doit savoir quelles commandes doivent être traitées, quelles solutions temporaires sont possibles et à partir de quel moment l'interruption devient critique.
Tester la capacité de reprise
Un dispositif qui n'est jamais vérifié peut présenter des écarts entre ce qui est prévu et ce qui est réellement possible.
Le pilotage doit donc intégrer un suivi des capacités de reprise et des éventuelles actions correctives.
Comment répartir les responsabilités ?
La gouvernance repose sur une répartition claire des rôles. Le responsable informatique peut apporter son expertise technique, mais les arbitrages concernant l'activité, les ressources et les priorités doivent rester alignés avec les décisions de l'organisation.
Une responsabilité qui ne se délègue pas entièrement
Externaliser certaines activités informatiques ne signifie pas transférer toute la responsabilité de la sécurité à un prestataire.
Le fournisseur peut mettre en œuvre des mesures, produire des alertes, assurer une maintenance ou accompagner la gestion d'un incident. La direction conserve cependant un rôle dans la définition des priorités, l'allocation des ressources et les décisions ayant un impact sur l'entreprise.
Cette distinction est importante pour éviter qu'une organisation considère son risque numérique comme entièrement « sous contrôle » simplement parce qu'elle dispose d'un prestataire.
Direction, IT, métiers et prestataires
Une répartition simple peut être présentée ainsi :
| Sujet | Responsable principal | Décision attendue |
|---|---|---|
| Priorités métier | Direction + métiers | Quelles activités doivent être protégées en priorité ? |
| Risques techniques | IT / prestataire | Quels risques doivent être traités et comment ? |
| Budget | Direction | Quelles actions financer en priorité ? |
| Continuité d'activité | Direction + métiers + IT | Quelles activités doivent reprendre et dans quel ordre ? |
| Actions correctives | IT / prestataire + responsable désigné | Qui met en œuvre et dans quel délai ? |
| Suivi | Direction + responsables concernés | Les risques et actions évoluent-ils dans le bon sens ? |
Cette matrice n'impose pas une organisation unique. Elle sert surtout à éviter les zones grises entre décision, exécution et suivi.
Comment mesurer le pilotage du risque cyber ?
Le pilotage ne consiste pas à compter le nombre d'antivirus, de pare-feu ou d'autres outils déployés.
Un indicateur utile doit permettre de répondre à une question de gouvernance : où en sommes-nous par rapport aux risques et aux actions décidées ?
Mesurer les risques plutôt que le nombre d'outils
La direction peut notamment suivre :
- les risques prioritaires identifiés ;
- leur niveau d'exposition ;
- les actions décidées ;
- les actions en retard ;
- les écarts importants restant à traiter ;
- les dépendances critiques ;
- la capacité de l'organisation à maintenir ou reprendre ses activités essentielles.
L'objectif est de disposer d'une vision suffisamment synthétique pour permettre un arbitrage.
Suivre les actions et les écarts
Un risque identifié mais sans responsable ni échéance reste difficile à piloter.
Chaque action importante devrait donc pouvoir être rattachée à un responsable, à une priorité et à une échéance adaptée.
La CNIL souligne précisément l'importance d'attribuer une échéance et un responsable aux actions d'un plan de sécurité.
Présenter des indicateurs utiles à la direction
Un tableau de bord destiné à la direction doit rester compréhensible.
Il peut par exemple présenter :
| Indicateur | Question de direction |
|---|---|
| Risques prioritaires | Quels sont nos principaux risques actuels ? |
| Actions prioritaires | Que devons-nous traiter maintenant ? |
| Actions en retard | Quels engagements nécessitent un arbitrage ? |
| Activités critiques | Sommes-nous capables de maintenir ou reprendre ces activités ? |
| Évolution du niveau de risque | La situation s'améliore-t-elle ? |
L'objectif n'est pas de produire davantage de données, mais de faciliter les décisions.
Quel rôle joue le budget dans la gouvernance ?
Le budget est un outil d'arbitrage du risque.
Une stratégie de gouvernance cohérente consiste à rapprocher les investissements des enjeux de l'entreprise. Une mesure qui réduit un risque important pour une activité critique peut être prioritaire. Une amélioration dont le bénéfice est limité peut être planifiée plus tard.
Cette logique permet également d'éviter l'accumulation de solutions techniques sans vision d'ensemble.
Arbitrer selon le risque et l'impact métier
Pour chaque investissement important, la direction peut poser trois questions :
- Quel risque cherchons-nous à réduire ?
- Quelle activité ou donnée cherchons-nous à protéger ?
- Comment saurons-nous que la mesure apporte une amélioration ?
Ces questions simples permettent de relier le budget de sécurité aux objectifs de l'entreprise.
Éviter l'accumulation de solutions
L'empilement de solutions ne constitue pas une stratégie de gouvernance.
Une organisation peut disposer de nombreux outils et conserver des faiblesses importantes dans son organisation, ses responsabilités, ses processus ou sa capacité à réagir à un incident.
La gouvernance cherche donc d'abord la cohérence entre les risques identifiés, les décisions prises et les moyens réellement disponibles.
Gouvernance, conformité et exigences réglementaires
La conformité peut faire partie de la gouvernance du risque numérique, mais elle ne doit pas être confondue avec la sécurité elle-même.
Les exigences applicables dépendent notamment du secteur d'activité, de la nature des données traitées, de la taille et du rôle de l'organisation ainsi que des textes auxquels elle est effectivement soumise.
Il est donc préférable d'éviter les affirmations générales du type « toutes les entreprises doivent respecter telle obligation ».
La CNIL rappelle par exemple que les organismes doivent mettre en œuvre des mesures de sécurité appropriées pour protéger les données personnelles, avec une approche proportionnée aux risques.
Pour la direction, l'enjeu est donc d'identifier les obligations réellement applicables et de les intégrer aux décisions de sécurité plutôt que de traiter la conformité comme une liste indépendante de cases à cocher.
Ne pas confondre conformité et sécurité
Une entreprise peut respecter certaines exigences et conserver des risques opérationnels importants.
À l'inverse, une action de réduction du risque peut être pertinente même lorsqu'elle n'est pas directement liée à une obligation réglementaire.
La gouvernance doit donc prendre en compte les deux dimensions : ce qui est obligatoire et ce qui est nécessaire pour maîtriser les risques réels de l'activité.
Comment structurer une stratégie de gouvernance cyber dans une PME ?
Une PME n'a pas nécessairement besoin de mettre en place une organisation lourde. Elle peut commencer par structurer progressivement les décisions essentielles.
1. Identifier les activités critiques
Commencer par déterminer quelles activités, données et ressources sont indispensables au fonctionnement de l'entreprise.
2. Évaluer les principaux risques
Identifier les situations susceptibles d'interrompre ces activités ou de compromettre les informations importantes.
3. Définir les priorités
Classer les risques et les actions selon leur impact potentiel et les contraintes de l'entreprise.
4. Attribuer les responsabilités
Déterminer qui décide, qui réalise les actions et qui suit leur avancement.
5. Suivre les actions
Mettre à jour régulièrement les risques, les écarts et les mesures engagées.
6. Réévaluer régulièrement
Le système d'information évolue, tout comme les activités et les menaces. Le pilotage doit donc rester une démarche continue plutôt qu'un exercice réalisé une seule fois.
Quand faire appel à un accompagnement externe ?
Toutes les PME ne disposent pas d'une équipe interne capable de structurer seule l'ensemble de ces sujets.
Un accompagnement externe peut alors apporter un regard complémentaire : analyse des risques, identification des priorités, aide à la structuration du plan d'action ou accompagnement dans la mise en œuvre des décisions.
L'intérêt d'un prestataire n'est pas de se substituer à la direction, mais de lui apporter les éléments techniques et opérationnels nécessaires pour prendre des décisions éclairées.
Lorsque cet accompagnement doit se prolonger par des actions concrètes de protection, de surveillance ou de remédiation, OM Conseil présente ces services sur sa page dédiée à la cybersécurité en entreprise.
La présente page conserve toutefois un objectif différent : expliquer comment la direction peut piloter le risque numérique, et non détailler les solutions techniques proposées par un prestataire.
FAQ | Gouvernance cybersécurité pour les dirigeants
Qu'est-ce que la gouvernance cybersécurité ?
La gouvernance cybersécurité correspond à l'organisation des décisions, responsabilités et ressources permettant de maîtriser le risque numérique. Elle comprend notamment la définition des priorités, l'arbitrage des investissements, le suivi des risques, la continuité d'activité et la supervision des actions. Elle permet d'intégrer la sécurité dans les décisions de l'entreprise plutôt que de la limiter au service informatique.
Pourquoi la cybersécurité concerne-t-elle la direction ?
La cybersécurité concerne la direction lorsque ses conséquences peuvent affecter l'activité, les finances, les clients, les données ou la continuité de l'entreprise. La direction n'a pas besoin de maîtriser les détails techniques, mais elle doit pouvoir arbitrer les priorités, définir les ressources, comprendre les principaux risques et s'assurer que les responsabilités sont clairement attribuées.
Qui est responsable du risque cyber dans une entreprise ?
La responsabilité est généralement répartie entre plusieurs acteurs selon l'organisation de l'entreprise. La direction intervient dans les décisions stratégiques et l'allocation des ressources, tandis que les équipes informatiques, métiers et prestataires peuvent avoir des responsabilités opérationnelles. Externaliser certaines tâches informatiques ne signifie pas que toute la responsabilité du risque est transférée au fournisseur.
Quels indicateurs suivre pour piloter le risque cyber ?
Un tableau de bord de direction peut suivre les risques prioritaires, les actions décidées, les actions en retard, les écarts importants et la capacité de l'entreprise à maintenir ou reprendre ses activités critiques. Le nombre d'outils déployés est généralement moins pertinent qu'une vision de l'évolution des risques et des actions réellement engagées.
Quel est le rôle du budget dans la gouvernance cybersécurité ?
Le budget permet de transformer les priorités de risque en décisions concrètes. La direction peut comparer le coût d'une mesure avec le risque qu'elle cherche à réduire et l'importance de l'activité concernée. Cette approche permet de concentrer les ressources disponibles sur les risques les plus significatifs plutôt que de multiplier les investissements techniques sans vision globale.
Un PCA ou un PRA est-il obligatoire pour toutes les entreprises ?
Il n'existe pas une obligation générale et identique de disposer d'un PCA ou d'un PRA pour toutes les entreprises. Les obligations dépendent notamment du secteur, de l'activité et des textes applicables. Indépendamment d'une obligation particulière, réfléchir à la continuité et à la reprise permet à une organisation d'anticiper les conséquences d'une indisponibilité de ses ressources numériques.
Une PME peut-elle structurer sa gouvernance cyber sans RSSI ?
Oui. Une PME peut commencer par attribuer clairement les responsabilités, identifier ses activités critiques, évaluer ses principaux risques, définir ses priorités et suivre les actions engagées. Selon sa taille et la complexité de son système d'information, elle peut ensuite compléter cette organisation avec des compétences internes ou un accompagnement externe.
