Cybersécurité gérée : qui fait quoi dans votre entreprise ?

Votre entreprise utilise peut-être un fournisseur TI, plusieurs logiciels infonuagiques et des ordinateurs administrés de différentes façons. Avant de répartir les rôles, placez ces éléments sur une même liste. Indiquez les comptes, appareils et applications concernés, mais aussi les environnements laissés hors mandat. Une liste de produits achetés ne dit pas encore qui les suit.

Le Centre canadien pour la cybersécurité recommande de préciser les systèmes inclus dans le périmètre et de documenter les responsabilités de réponse aux incidents. Ces repères aident à préparer la discussion avec vos intervenants. La fiche proposée ci-dessous est un outil de travail éditorial, à adapter à votre entente, et non une certification du service.

Baseline cyber security controls for small and medium organizations

Nous proposons de séparer trois questions lors du cadrage : qui réalise la tâche, qui peut autoriser son effet sur le travail et qui constate sa clôture ? Une même personne peut remplir plusieurs rôles, mais la répartition doit rester explicite. Un prestataire peut proposer de bloquer un compte ; votre organisation doit avoir convenu des situations où il peut le faire directement.

Réservez également une place au responsable du logiciel ou de l’activité. Une modification techniquement possible peut interrompre une opération essentielle. Cette personne apporte le contexte métier nécessaire à la décision. Évitez les formulations telles que « à coordonner avec les TI » sans interlocuteur, canal ni suppléant identifié.

Choisissez une tâche récurrente et remplissez les champs suivants avec votre équipe et le prestataire. Commencez par un cas concret plutôt que par une liste exhaustive de risques. Si deux réponses se contredisent, laissez la question ouverte jusqu’à un arbitrage explicite.

• Tâche et périmètre : quelle action, sur quels comptes ou appareils ?
• Exécution : quel intervenant reçoit la demande et réalise le travail ?
• Autorisation : quelle personne décide, et quelles actions sont déjà permises ?
• Couverture : quels horaires, canaux et conditions de prise en charge sont convenus ?
• Escalade : qui reçoit un blocage ou une situation hors mandat, avec quel suppléant ?
• Clôture : quelle preuve confirme le résultat et qui la vérifie ?

Une petite entreprise fictive reçoit un signalement concernant le compte d’une responsable des ventes. Le prestataire peut examiner les informations prévues au mandat. Le fournisseur TI administre le compte, tandis que la direction commerciale connaît les opérations qui dépendent de son accès. Sans répartition préalable, chacun pourrait attendre une décision de l’autre.

Dans cet exemple de préparation, les trois intervenants rédigent une fiche indiquant qui examine le signalement, qui peut suspendre l’accès dans les conditions convenues et qui informe la personne concernée. Ils consignent aussi la procédure applicable lorsqu’un responsable est absent. Aucun délai ni résultat réel n’est représenté ici : le scénario sert à découvrir les questions manquantes avant une situation concrète.

Pendant une revue de service, sélectionnez une action terminée et une action en attente. Pour chacune, demandez ce qui a été observé, ce qui a été décidé, par qui et ce qui manque encore. Le nombre de notifications reçues ne répond pas à ces questions. Une liste courte de décisions ouvertes peut être plus utile qu’un rapport volumineux sans destinataire.

Refaites cet exercice lorsqu’un nouveau logiciel entre en service ou qu’un fournisseur change. La fiche initiale reste un point de départ : elle doit suivre votre organisation. Pour préparer cette répartition avec Loupe Technologies, le cadrage de cybersécurité gérée permet d’examiner le périmètre et les conditions d’intervention à convenir.