Carnet

1. Le problème

   J’avais besoin d’un outil de pilotage pour la conformité NIS2 et l’état de l’art de l’ANSSI.

2. Ma réflexion

   La GRC était pour moi une découverte complète. Je n’y avais jamais été confronté.

   La prise en main a été déroutante, par le vocabulaire d’abord, par la façon de penser ensuite. En infrastructure, je pars de la technique. Ici, il faut partir de l’activité et des risques.

   Pour avancer, je me suis appuyé sur la documentation de l’outil.

3. La solution

   J’avais repéré CISO Assistant au cours de ma veille. Quand le besoin s’est présenté, c’est vers lui que je me suis tourné.

   J’y ai chargé le guide d’hygiène de l’ANSSI, en 42 points. Le ReCyF 2.5 n’existait pas dans l’outil. Je l’ai créé à partir de la version à jour publiée par l’ANSSI, en m’aidant d’une IA. J’ai ensuite contrôlé le résultat en le comparant au document d’origine, sur plus de 150 points.

   J’ai aussi repris chaque point pour qu’il présente un titre, le détail et l’action à mener. Quelqu’un d’autre peut ainsi prendre le relais.

   J’ai ensuite lancé un premier audit. Il a montré qu’il restait du travail.

4. Ce que j'en retiens

   La GRC demande de changer de point de départ : l’activité à protéger d’abord, la technique ensuite.