Un comité de direction n'arbitre pas une technologie, il arbitre une exposition et une dépense. Une présentation qui décrit des protocoles obtient de la sympathie ; une présentation qui décrit une exposition, une parade, un reste à traiter et une décision datée obtient un arbitrage. La différence ne tient pas au talent oratoire du RSSI, mais à la forme de ce qui est posé sur la table.
La trame d'une page
Un comité consacre rarement plus de dix minutes au sujet. La page suivante se lit sans commentaire, condition qui élimine d'elle-même le jargon.
| Bloc | Contenu attendu | Ce qui n'y a pas sa place |
|---|---|---|
| Objet | l'action ou le périmètre concerné, en une phrase | le nom du protocole ou du produit |
| Exposition | ce qu'un attaquant obtient s'il réussit, sur quel périmètre | la liste des vulnérabilités |
| Scénario | le chemin réaliste, en trois étapes maximum | le détail du mécanisme d'attaque |
| Parade en place | ce qui existe aujourd'hui et ce qu'elle couvre | le catalogue des outils déployés |
| Limite connue | ce que la parade ne couvre pas, nommé | le silence sur le sujet |
| Options | deux ou trois, avec coût et délai | une seule option présentée comme évidente |
| Décision demandée | la phrase exacte à valider | « pour information » |
Le bloc le plus souvent absent est la limite connue. Un dirigeant qui découvre plus tard qu'une parade présentée comme suffisante ne couvrait pas le parcours de récupération de compte retiendra surtout qu'on ne lui a pas dit. Nommer soi-même l'angle mort coûte cinq secondes en réunion et préserve la crédibilité des présentations suivantes.
Le bloc des options est le plus souvent mal rédigé : une option unique n'est pas un arbitrage, c'est une demande de validation. Ne rien changer, traiter le périmètre critique, traiter l'ensemble — trois branches laissent au comité la possibilité d'assumer le statu quo par écrit.
Les indicateurs qu'un dirigeant comprend
Le nombre de comptes couverts par une MFA n'est pas un indicateur de risque : il mesure un déploiement. Il ne dit rien des chemins qui contournent le mécanisme — parcours de réinitialisation, comptes de service, protocoles anciens encore acceptés, dérogations accordées à une équipe pressée. Et c'est un nombre qui ne peut que monter, donc un nombre qui ne peut rien signaler.
Un indicateur décidable partage trois propriétés : il peut se dégrader, il a un propriétaire nommé, et un seuil déclenche une action prévue à l'avance.
| Indicateur courant | Ce qu'il mesure réellement | Version décidable |
|---|---|---|
| Comptes couverts par une MFA | l'avancement d'un projet | part des accès aux applications critiques passant par un chemin résistant au phishing |
| Nombre d'alertes traitées | l'activité d'une équipe | délai entre la compromission supposée d'un compte et la révocation effective de ses sessions |
| Taux de réussite au module de sensibilisation | la participation à une formation | nombre de chemins d'accès recensés qui contournent la parade, et date de fermeture prévue |
| Nombre d'incidents déclarés | ce qui a été vu | date du dernier test réel du parcours de récupération de compte |
| Budget consommé | l'exécution budgétaire | opérations sensibles validées sans preuve liée à l'opération |
La colonne de droite a une propriété inconfortable et utile : elle peut afficher une mauvaise nouvelle. C'est ce qui la rend exploitable, parce qu'une valeur qui se dégrade appelle une décision, alors qu'une valeur qui progresse appelle un commentaire.
Formuler un risque sans dramatiser
La dramatisation est contre-productive pour une raison mécanique : elle déplace le débat sur la probabilité de l'événement, terrain sur lequel personne ne peut trancher en réunion. La formulation utile porte sur la conséquence et sur la réversibilité, qui se vérifient. Elle tient en quatre temps : ce qui est exposé, comment on y accède, ce que cela coûte en jours d'activité ou en obligations déclenchées, ce qu'il est proposé de faire.
- Formulation faible : « nous sommes très vulnérables au phishing. » Rien n'est décidable ; le comité peut seulement croire ou ne pas croire.
- Formulation utile : « la validation des virements repose sur un code transmis par message. Un intermédiaire capable de relayer ce code en temps réel valide l'opération à notre place. Le périmètre concerné est l'ensemble des paiements sortants. »
- Formulation excessive : « sans budget, nous serons responsables du prochain incident. » La discussion se déplace vers la responsabilité des personnes présentes, et s'arrête là.
Deux réflexes complètent la formulation. D'abord, distinguer le constaté du supposé : un chemin d'accès non protégé se constate, une intention d'attaquant se suppose. Ensuite, citer une source plutôt qu'un chiffre — les travaux publics sur les intrusions placent depuis des années les identifiants volés, réutilisés ou partagés parmi les tout premiers vecteurs, et le NIST SP 800-63B classe l'envoi d'un code par SMS ou par voix comme un usage déconseillé.
Demander une décision explicite
Une présentation sans demande formulée produit un compte rendu qui mentionne « échange sur le sujet cyber » : six mois plus tard, il ne protège personne et n'a rien engagé. Quatre types de décisions se demandent en comité, une seule à la fois.
- Un arbitrage de moyens : un budget et un mandat sur un périmètre nommé, avec une échéance.
- Une acceptation de risque : la direction assume le reste à traiter, ce qui suppose une trace écrite, datée, avec le nom du décideur et une date de réexamen.
- Une autorisation de friction : le droit d'imposer une exigence supplémentaire sur une catégorie d'opérations. C'est une décision de gouvernance, pas un réglage technique, parce que le support et les métiers en subiront les effets.
- Une délégation d'arbitrage : qui décide, et jusqu'à quel montant ou quel périmètre, lorsque l'incident survient hors réunion.
La demande doit pouvoir être recopiée telle quelle dans le relevé de décisions. « Le comité autorise l'exigence d'une preuve liée à l'opération pour tout virement sortant au-delà d'un seuil défini par la direction financière, à compter du premier trimestre » se recopie. « Le comité valide la feuille de route MFA » ne se recopie pas : périmètre, date et effet sur les métiers manquent.
Ce que la trame ne règle pas
Une trame ne compense pas l'absence de données internes. Si personne ne sait combien de parcours sensibles existent, ni lesquels reposent sur un secret réutilisable, aucune mise en forme ne rendra la présentation décidable — il faut d'abord conduire l'inventaire, même sur trois applications. Un comité accepte mieux un périmètre restreint et documenté qu'un panorama complet et approximatif.
Reste un risque que le format ne résout pas : celui d'un utilisateur légitime qui exécute lui-même l'opération sous influence. Aucun facteur de possession n'y répond, et le dire évite la promesse implicite qu'un déploiement supplémentaire suffira. C'est la question que traitent les approches fondées sur une preuve d'intention humaine consciente, et celle qui appelle une contre-mesure organisationnelle quel que soit l'outillage retenu.
FAQ
Faut-il présenter un scénario d'attaque détaillé ?
Non. Trois étapes suffisent à établir la plausibilité, et le détail déplace l'attention vers la technique. Gardez-le en annexe pour la personne qui le demandera après la réunion.
Comment répondre à « nous n'avons jamais eu d'incident » ?
En distinguant l'absence d'incident de l'absence de détection, sans mettre en cause l'interlocuteur. La question devient factuelle : quels journaux conservons-nous, sur quelle durée, et pourrions-nous reconstituer qui a validé une opération donnée il y a six mois ?
Le comité doit-il valider le choix d'une solution ?
Il valide un périmètre, un budget et un niveau d'exigence, pas un produit. Le choix du fournisseur relève d'une évaluation documentée, qui se présente ensuite comme l'exécution d'une décision déjà prise plutôt que comme une nouvelle discussion.
Aller plus loin : pilier : authentification cognitive · arbitrer entre sécurité et friction · construire un calcul de ROI défendable · estimer le coût d'une violation avec vos données