Gouvernance de la cybersécurité et gestion des risques : le guide complet du RSSI

La gouvernance de la cybersécurité et la gestion des risques de l'information en entreprise constituent le cadre décisionnel qui alloue les responsabilités, fixe l'appétit au risque et organise la surveillance continue des menaces numériques. Elle vise à protéger la confidentialité, l'intégrité et la disponibilité des actifs informationnels tout en maintenant une conscience de la situation face aux cybercrimes et aux menaces persistantes avancées (APTs). S'appuyant sur des référentiels reconnus, ISO 27001, ISO 27005, CRISC, CMMI et la famille NIST, cette gouvernance ne prescrit pas une méthode unique mais exige un processus formel adapté au contexte et au secteur de l'organisation.

En bref

La cybersécurité repose sur quatre objectifs : confidentialité, intégrité, disponibilité et conscience de la situation (situational awareness).

La gouvernance définit l'appétit au risque, les niveaux d'acceptation et désigne des propriétaires de risques responsables du suivi.

ISO 27001 impose un processus d'évaluation formel ; ISO 27005 fournit des lignes directrices sans imposer de méthodologie spécifique.

La surveillance continue porte sur les menaces, incidents, logs, évolutions métier, réglementaires et humaines.

Les cadres NIST (SP 800-30, 800-39, 800-171A) et CMMI viennent structurer l'évaluation technique et les contrôles opérationnels.

Qu'est-ce que la gouvernance de la cybersécurité et ses fondations réglementaires

La gouvernance de la sécurité de l'information désigne l'ensemble des mécanismes de direction, de contrôle et de responsabilisation mis en place pour sécuriser les actifs numériques. Contrairement à la sécurité de l'information prise isolément, la cybersécurité intègre la dimension des menaces adverses via des systèmes interconnectés, notamment les cybercrimes et les APTs.

Selon le modèle CMMI, la cybersécurité fixe des objectifs précis pour :

Confidentialité : protection contre l'accès ou la divulgation non autorisés.

Intégrité : protection contre la modification non autorisée.

Disponibilité : protection contre les interruptions d'accès.

Conscience de la situation (situational awareness) : capacité à rester informé et flexible pour identifier et gérer efficacement les nouvelles méthodes de cybercriminalité et les menaces persistantes avancées.

Appétit au risque, propriétaires et processus formels

La norme ISO/IEC 27001:2013 impose à l'organisation de définir et d'appliquer un processus d'évaluation des risques qui identifie les risques associés à la perte de confidentialité, d'intégrité et de disponibilité des informations, ainsi que leurs propriétaires. Ces propriétaires de risques sont les interlocuteurs décisionnels chargés de veiller au traitement et au suivi des risques qui leur sont assignés.

Parallèlement, ISO/IEC 27005:2018 fournit des lignes directrices pour la gestion des risques de sécurité de l'information au sein d'une organisation. Cette norme soutient les exigences d'un système de management de la sécurité de l'information (ISMS) conformément à ISO 27001, sans toutefois proposer de méthodologie spécifique. C'est à l'organisation qu'il revient de définir son approche en fonction de la portée de l'ISMS, du contexte de gestion des risques et du secteur d'activité.

Les piliers opérationnels : surveillance continue et cadres de référence

Une gouvernance efficace ne se limite pas à l'établissement d'une politique de sécurité : elle repose sur une surveillance continue et une intégration métier. Selon le référentiel CRISC, les domaines de monitoring incluent :

les changements de priorités business, d'actifs, de services et d'opérations ;

les niveaux d'acceptation du risque (risk acceptance levels) ;

les nouvelles menaces et vulnérabilités, internes comme externes ;

l'agrégation des menaces et vulnérabilités pouvant accroître le risque global ;

les incidents, les logs et autres sources de données ;

les facteurs humains et le moral des équipes ;

les évolutions réglementaires et légales ;

la chaîne d'approvisionnement et les actions des concurrents.

Comparaison des cadres structurants

Critère	ISO 27001 / ISO 27005	NIST SP 800-30, 800-39, 800-171A	CRISC / CMMI
Focus principal	Système de management et lignes directrices de gestion des risques	Évaluation (800-30) et gestion organisationnelle (800-39) ; exigences CUI (800-171A)	Gouvernance, surveillance continue et conscience de la situation
Méthodologie	Non prescrite ; adaptée au contexte, au scope et au secteur	Processus structuré d'évaluation et de gestion du risque	Cadre de revue et de contrôle intégré au métier
Objectifs couverts	Confidentialité, intégrité, disponibilité	Confidentialité, intégrité, disponibilité	CIA + situational awareness (menaces, APTs, cybercrimes)
Propriétaires de risques	Obligatoires (identification explicite)	Implicites dans la chaîne de responsabilité	Explicites dans la gouvernance
Surveillance continue	Via le cycle d'amélioration de l'ISMS	Via le monitoring des systèmes et missions	Élargie aux facteurs humains, à la supply chain et au benchmark concurrentiel

Ce tableau montre que ces référentiels sont complémentaires. L'ISMS ISO 27001 fournit l'ossature, les publications NIST apportent la granularité technique et opérationnelle, tandis que CRISC et CMMI structurent la gouvernance et la conscience stratégique du risque.

Comment mettre en œuvre la gouvernance et la gestion des risques en pratique

Formaliser la politique de sécurité et l'appétit au risque. La direction doit traduire la stratégie en niveaux d'acceptation du risque compréhensibles et mesurables pour l'ensemble de l'entreprise.

Délimiter le périmètre et le contexte. Comme le préconise ISO 27005, la portée de l'ISMS, le contexte métier et le secteur d'activité conditionnent l'approche retenue.

Identifier les risques et nommer les propriétaires. Conformément à ISO 27001, il s'agit d'appliquer le processus d'évaluation pour détecter les risques sur la perte de CIA et de désigner des propriétaires explicites.

Évaluer et traiter les risques. Utiliser les guides NIST SP 800-30 pour structurer l'évaluation qualitative et quantitative, et 800-39 pour ancrer la gestion du risque au niveau organisationnel et missionnel.

Implémenter les contrôles et vérifier la conformité. Pour les informations non classifiées contrôlées (CUI), s'appuyer sur NIST SP 800-171A pour évaluer l'application effective des exigences de sécurité.

Instaurer une surveillance continue. Suivre les menaces, incidents, logs, évolutions de la chaîne d'approvisionnement et changements réglementaires, en intégrant les facteurs humains et le moral des équipes.

Réviser périodiquement. L'appétit au risque, les priorités business et le panorama des menaces évoluent ; la gouvernance et les contrôles doivent être réévalués régulièrement pour rester pertinents.

Points clés à retenir

La cybersécurité exige une conscience de la situation (situational awareness) qui dépasse la simple protection CIA pour anticiper les cybercrimes et les APTs.

ISO 27001 oblige à un processus d'évaluation des risques avec propriétaires désignés ; ISO 27005 guide sans standardiser la méthode à appliquer.

L'appétit au risque et les niveaux d'acceptation sont des décisions de gouvernance qui orientent l'ensemble des traitements et des investissements.

La surveillance CRISC couvre les dimensions techniques (logs, incidents) mais aussi organisationnelles (moral, supply chain, régulations, concurrents).

Les cadres NIST et CMMI complètent l'ISMS par des approches respectivement techniques et matures de gestion des risques.

Une gouvernance durable intègre la gestion des risques aux cycles décisionnels métier plutôt que de la cantonner à une fonction IT isolée.

Questions fréquentes

Quelle différence entre cybersécurité et sécurité de l'information ?

La sécurité de l'information protège les données contre toute compromission. La cybersécurité, telle que définie par CMMI, ajoute la gestion des menaces adverses via des systèmes interconnectés, cybercrimes et APTs, et impose une conscience de la situation continue pour détecter les nouvelles méthodes d'attaque.

ISO 27001 impose-t-elle une méthode d'évaluation des risques précise ?

Non. ISO 27001:2013 exige un processus formel identifiant les risques liés à la perte de confidentialité, d'intégrité et de disponibilité, ainsi que leurs propriétaires. ISO 27005:2018 fournit des lignes directrices, mais l'organisation définit sa propre approche selon la portée de son ISMS, son contexte et son secteur.

Que doit surveiller un programme de gouvernance des risques de cybersécurité ?

Selon CRISC, la surveillance doit couvrir les menaces et vulnérabilités internes/externes, les incidents et logs, l'agrégation des risques, les changements de priorités business, les évolutions réglementaires, le moral des équipes, la chaîne d'approvisionnement et les actions des concurrents.

Quel rôle joue le RSSI dans cette gouvernance ?

Le RSSI traduit l'appétit au risque de la direction en politique de sécurité opérationnelle. Il pilote le processus d'évaluation, garantit l'alignement sur les référentiels applicables (ISO 27001, NIST) et supervise la surveillance continue de l'ensemble du périmètre de risque.

Comment intégrer les publications NIST à une démarche ISO 27001 ?

NIST SP 800-30 guide l'évaluation des risques, SP 800-39 structure la gestion au niveau organisationnel et missionnel, et SP 800-171A permet d'évaluer les exigences pour les informations non classifiées contrôlées. Elles enrichissent l'ISMS sans le remplacer.

Qu'est-ce que l'agrégation des menaces et vulnérabilités ?

C'est la possibilité que le risque global augmente par l'accumulation ou l'interaction de plusieurs menaces et vulnérabilités. Ce phénomène constitue un critère de surveillance essentiel dans un cadre de gouvernance CRISC.

Conclusion

La gouvernance et la gestion des risques de cybersécurité en entreprise ne se résument pas à une checklist technique : c'est un système vivant de décision, de responsabilisation et de surveillance continue. En structurant votre approche autour des exigences ISO 27001, des lignes directrices ISO 27005 et des cadres opérationnels NIST, CRISC et CMMI, vous créez une défense alignée sur le métier et adaptable aux évolutions de la menace. Pour évaluer votre maturité actuelle et obtenir un plan d'action personnalisé validé par un expert, faites le diagnostic gratuit MaturaScore.