Le modèle derrière Kantyra : du signal à la preuve

Toute personne responsable de la sécurité de l'information jongle vite avec des listes éparses : un registre des risques ici, un référentiel de normes là, des politiques sur l'intranet et des preuves dispersées dans des dossiers et des boîtes mail. Chaque liste est correcte en soi, et pourtant la vue d'ensemble fait défaut. C'est pourquoi Kantyra s'appuie sur un modèle unique qui relie tout, en quatre phases : détecter, évaluer, résoudre et démontrer.

Détecter : les faits issus de la pratique

Tout commence par ce qui existe et se produit réellement. Vous cartographiez vos actifs et vos processus, vous enregistrez vos fournisseurs avec leur criticité, et vous consignez les incidents au moment où ils surviennent. Cette phase ne produit aucun jugement ; elle produit les faits sur lesquels tout jugement doit reposer.

Évaluer : savoir où vous en êtes

Les faits posés sur la table, vous pouvez peser. Vous évaluez les risques selon leur probabilité et leur impact, vous déterminez pour chaque exigence si vous y répondez, et vous consignez une justification à chaque arbitrage. Le résultat de cette phase est une image honnête : ceci est maîtrisé, ici se trouve une lacune, et cette lacune a un responsable.

Résoudre : une couverture qui tient

Chaque lacune mérite une solution que vous pouvez entretenir. Il s'agit d'une mesure de maîtrise assortie d'un test d'efficacité, d'une politique dotée d'un flux d'approbation et d'un cycle de révision, ou d'un projet pour ce qui reste à construire. Pour les risques que vous acceptez sciemment, il existe l'exception : une dérogation formellement approuvée assortie d'une date de fin, afin que l'acceptation ne devienne jamais permanente à votre insu.

Démontrer : la preuve à la demande

La dernière phase fait la différence lors de chaque audit et de chaque demande client. Parce que chaque jugement porte sa justification et chaque mesure ses preuves, la Déclaration d'applicabilité n'est plus une reconstruction annuelle mais un export. Quiconque la demande la reçoit le jour même.

Le moteur sous le modèle

Entre les phases tourne un moteur silencieux. Les tâches et la surveillance automatique maintiennent le modèle à jour, car les dates de révision, les dates de test et les dates de fin déclenchent d'elles-mêmes une alerte auprès de la bonne personne. Et les phases se nourrissent mutuellement. Un incident grave impose une réévaluation du risque associé, et un projet livré devient d'un seul clic une mesure active, avec l'ensemble de ses liens.

Ainsi, la sécurité de l'information cesse d'être un projet doté d'une date de fin pour devenir un rythme qui ne s'arrête pas. Dans les articles consacrés à chaque phase, nous approfondissons chaque élément.