La GRC (Gouvernance, Risques et Conformité) est un cadre essentiel en cybersécurité qui permet d’adresser la cybersécurité efficacement, pas uniquement sous le prisme “solutions techniques” (qui sont nécessaires mais pas suffisantes), mais avec une approche par les risques. Elle se compose de trois éléments clés : la gouvernance pour superviser la sécurité, la gestion des risques pour identifier, évaluer et traiter les risques, et la conformité pour respecter les réglementations et normes en vigueur. La GRC aide les organisations à protéger leur patrimoine immatériel et à assurer la résilience de leur système d’information face aux cybermenaces.
Pourquoi avoir une cellule GRC chez un intégrateur ?
Faire de la GRC chez un intégrateur offre un double avantage pour nos clients : c’est à la fois une approche pragmatique et une approche technique.
Chez Nomios, nous mettons à profit notre expertise métier pour évaluer la situation en fonction des réglementations (directives, normes etc...) mais aussi de l'infrastructure technique spécifique de chaque organisation. Cela nous permet d'identifier les écarts entre les exigences de sécurité et l'état actuel des systèmes et processus. Une fois ces écarts identifiés, nous pouvons expliquer et prioriser de manière claire et précise comment les combler pour renforcer la cybersécurité de l'organisation.
Nous définissons ensuite un plan de traitement du risque adapté aux besoins de chaque client, incluant des mesures à la fois organisationnelles, telles que des actions de gouvernance et de gestion des processus internes, et des mesures techniques comme des solutions de protection des données ou des outils de sécurisation des données.
En accompagnant nos clients dans la mise en œuvre de ces mesures organisationnelles et techniques, nous assurons une gestion des risques en cybersécurité efficace et durable, en renforçant la sécurité tout en optimisant les opérations.
La gouvernance en cybersécurité
Une déclinaison de la gouvernance cybersécurité chez Nomios consiste, par exemple, à externaliser la fonction de RSSI (Responsable de la Sécurité des Systèmes d'Information), permettant ainsi à une organisation de bénéficier d'une expertise spécialisée dans la gestion des risques de cybersécurité et la protection des actifs sensibles. Cela garantit une approche structurée pour sécuriser les systèmes d'information tout en répondant aux exigences de conformité en cybersécurité.
Les actions d’un RSSI peuvent s’articuler autour de trois activités principales :
- Cela inclut la mise en place de processus, procédures, documents de référence et bonnes pratiques pour garantir la sécurité des infrastructures. Un exemple concret, qui nous a animé en 2024, a été la préparation de gestion de crise, permettant à l’entreprise de réagir efficacement en cas d’incident de sécurité (processus, politiques, procédures et exercices).
- Le RSSI réalise des audits de cybersécurité pour vérifier l’efficacité des mesures de sécurité en place. Ces audits peuvent être techniques, comme les tests d'intrusion (pentests en boîte noire, boîte grise ou boîte blanche), ou de gouvernance, pour s’assurer, par exemple, que la politique de sécurité respecte les normes et les exigences réglementaires comme ISO27001 ou NIS
- Le RSSI joue également un rôle crucial dans la communication, tant en interne qu'avec l’extérieur. Cela peut inclure la sensibilisation à la cybersécurité auprès des employés à travers des outils dédiés, ou la communication avec la direction pour présenter les risques, les incidents et les stratégies de sécurité. C’est également l’interlocuteur privilégié des autorités.
Concevoir
Contrôler
Communiquer
Définition des Risques
Le risque cyber est devenu un enjeu stratégique majeur pour toutes les organisations, et chez Nomios, nous avons fait le choix d’adopter une approche par les risques pour répondre efficacement aux défis de sécurité auxquels les entreprises sont confrontées. La gestion des risques de la GRC (Gouvernance, Risques et Conformité) permet d’identifier, d’évaluer et de gérer les risques de manière proactive et structurée, assurant ainsi la résilience des entreprises face aux menaces.
Selon l’Anssi “ On estime que seul un tiers des TPE et PME est considéré comme correctement paré. Pourtant les conséquences d’une cyberattaque sont dramatiques : le risque de défaillance de l’entreprise augmente d’environ 50 % dans les 6 mois qui suivent l’annonce de l’incident, selon la récente étude d'un assureur.”
Dans sa fonction d’auditeur, le RSSI externalisé, joue un rôle clé en challengeant les processus internes de l'entreprise, apportant un point de vue extérieur et donc objectif. Ce regard extérieur est essentiel pour une analyse approfondie des vulnérabilités et pour recommander des solutions adaptées. Pour structurer cette approche, Nomios s’appuie sur des méthodes reconnues comme EBIOS RM et ISO 27005, garantissant une gestion des risques conforme aux meilleures pratiques et normes du secteur.
On sécurise ce que l’on connaît
Une autre étape cruciale, dans le processus de gestion des risques, est la réalisation d’un BIA (Business Impact Analysis). Sur cette base, il est donc primordial de connaitre en détail son système d'information, et les différents niveaux de criticité des briques qui le composent. C'est à cela que sert un BIA, qui est l'une des premières choses qu'un RSSI réalise lors de la prise de poste. Le BIA est le processus qui permet de travailler avec les métiers pour identifier les différents niveaux de criticité de leurs applications, et de voir si le système d'information est aligné avec les besoins des métiers.
Pourquoi se conformer aux normes cybersécurité est essentiel ?
La conformité en cybersécurité consiste à se mettre en adéquation avec les différents référentiels, règlements et normes, auxquels les organisations sont assujetties, tels que NIS2, DORA, TISAX, SOLVENCY 2, REC, CRA etc... L'objectif est d'identifier les risques, de les traiter de manière proactive et d’accepter un niveau de risque résiduel. Les normes sont conçues pour protéger l’organisation et renforcer son niveau global de cybersécurité. Elles ne sont pas uniquement une contrainte légale, mais un moyen d’adapter la protection aux risques réels auxquels l'entreprise fait face et donc d’augmenter le niveau de global cybersécurité.
Conformité
En se conformant à ces normes, l’organisation se protège efficacement contre les cybermenaces et réduit les risques liés à la sécurité de l'information. La conformité est également un levier pour réduire le coût de l’assurance cyber. En effet, une entreprise bien conforme aux normes montre un engagement solide en matière de cybersécurité, ce qui peut entraîner des réductions de primes d'assurance. De plus, la gestion des risques et la GRC (Gouvernance, Risques et Conformité) permettent de fournir des preuves tangibles de conformité, ce qui est essentiel pour garantir la sécurité et la résilience de l'organisation face aux menaces.
- La directive Européenne NIS 2, en cours de transposition de droit national, renforce la cybersécurité des infrastructures critiques et hautement critiques, en définissant deux types d’entités : les entités importantes et les entités essentielles. Elle impose des mesures de gestion des risques, de notification d'incidents et de coopération entre les États membres. Les sanctions sont volontairement très dissuasives. Les organisations ne respectant pas la directive peuvent se voir infliger des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
- Le règlement DORA (Digital Operational Resilience Act) vise à renforcer la résilience opérationnelle numérique des entités financières de l'UE. Il impose des exigences strictes en matière de gestion des risques numériques, de continuité des services et de gestion des incidents. Les organisations doivent assurer la sécurité de leurs systèmes d'information, en particulier face aux cybermenaces. En cas de non-respect du réglement, des sanctions financières peuvent être appliquées, incluant des amendes importantes.
- Contrairement aux deux réglementations précédentes (NIS 2 et DORA), la norme ISO 27001 n’a pas un caractère obligatoire mais représente un avantage concurrentiel pour les organisations qui sont titulaires de la certification. Elle définit les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de la sécurité de l'information (SMSI). Elle permet aux organisations de protéger efficacement leurs informations sensibles contre les cybermenaces en identifiant, évaluant et traitant les risques. Le non-respect de la norme peut entraîner une perte de certification, affectant la réputation et la confiance des partenaires.
- La norme IEC 62443 définit des exigences de sécurité pour les systèmes d'automatisation et de contrôle industriel (IACS). Elle vise à garantir la protection des infrastructures critiques contre les cybermenaces en fournissant des directives pour la gestion des risques, la conception sécurisée des systèmes et la maintenance continue de la sécurité. Le non-respect de cette norme peut exposer les entreprises à des vulnérabilités et des risques accrus, ainsi qu'à des impacts sur leur réputation et leur conformité réglementaire.
NIS 2
DORA
ISO27001
IEC 62443
Contactez nos experts en sécurité
Notre équipe est disponible pour un appel rapide ou une réunion vidéo. Établissons le contact et discutons de vos défis en matière de sécurité, plongeons dans les rapports de comparaison entre fournisseurs, ou parlons de vos projets informatiques à venir. Nous sommes là pour vous aider.
