Le diagnostic
Un cap de sécurité que votre direction arbitre et peut défendre, fondé sur l’écart entre ce qu’elle attend, ce qui est exigé et ce que vos équipes déclarent en place.
ÉcartsMesurés, puis cotés par impact métier et par risque.
CapArbitré par la direction : trois à cinq priorités, une échéance.
Derrière le déclaratif, la maîtrise réelle reste inconnue. Les attentes de la direction, les exigences applicables et la sécurité en place sont décrites par des acteurs différents, dans des documents différents, et rarement confrontées.
NIS2 rend la direction responsable : elle approuve les mesures de gestion des risques et en supervise la mise en œuvre (article 20). Le diagnostic évalue, mesure par mesure, l’écart entre ce que l’article 21 exige de vous et votre réalité opérationnelle, et donne à la direction un cap qu’elle peut défendre devant l’autorité de contrôle.
Que tout le monde parte du même état des lieux, du COMEX jusqu’aux auditeurs, et que la direction sache ce qu’elle a décidé et pourquoi : la cible, l’ordre des priorités, l’échéance et l’enveloppe en ordre de grandeur.
« Fixer le cap à partir de la réalité et de ses écarts. »
Quatre temps, dans cet ordre : formaliser les attentes de la direction, recenser les exigences applicables dans un registre unique, établir la réalité opérationnelle telle qu’elle est déclarée, puis mesurer les écarts et les faire arbitrer par le sponsor.
| Livrable | Pour qui |
|---|---|
| Rapport d’orientation : synthèse managériale, priorités arbitrées, résultats et réserves, restitué au sponsor | Direction, COMEX |
| Registre unifié des exigences applicables, une exigence par ligne, rattachée à tous ses référentiels | Conformité, RSSI |
| Score de maturité par domaine et plan d’actions priorisé | RSSI, DSI |
| Matrice d’écarts détaillée, chaque constat au statut « déclaré, à prouver » | Conformité, auditeurs |
Ce n’est pas un audit : aucune vérification technique n’a lieu à cette étape. Le diagnostic repose sur le déclaré, qui est prouvé ensuite sur le réel, à l’étape Orchestrer de la méthode O³.
Des missions où cette offre a joué un rôle, seule ou avec d’autres.
Trois défis du plan stratégique 2024 d’une institution financière publique : Blooo a fait émerger 40 usages des architectures décentralisées sécurisées avec tous les pôles métier, et mené les analyses d’impact sur la connaissance client et l’authentification.
Rôle de l’offre : Les analyses d’impact sur la connaissance client, suivies d’un pilote mis en œuvre.
Après un audit de son superviseur et en vue de DORA : un programme de formation cybersécurité pour plus de 130 personnes de la DSI d’une institution financière publique, conçu, piloté puis transféré au client.
Rôle de l’offre : Un diagnostic des besoins de formation, avant la conception du programme.
40 % du programme de trois ans déployé dès la première année
Au sein du pôle architecture d’un grand opérateur de transport public, Blooo évalue, conçoit et fait vivre la sécurité des applications aux exigences de cybersécurité les plus fortes.
Rôle de l’offre : Un diagnostic de l’existant, avant la conception de l’architecture de sécurité de chaque application.
Parlez-nous de votre contexte : un expert vous répond.
ou écrivez directement à trust@blooo.io
Votre e-mail part de votre propre messagerie : le site blooo.io ne stocke rien. Vos coordonnées servent uniquement à vous répondre. Politique de confidentialité.
La gouvernance vivante
Transforme le diagnostic en gouvernance vivante (politiques, risques, indicateurs) : une conformité exploitable, pas déclarative.