Ce que contient une entrée utilisable
Un scénario écrit comme « une menace exploite une vulnérabilité sur un actif et provoque un impact » plutôt qu’un nom de catégorie ; les activités métier touchées ; la vraisemblance et l’impact selon la méthode de l’organisation, qui donnent un score inhérent ; les contrôles applicables et leur statut vérifié, qui donnent un score résiduel ; le score cible une fois le plan de traitement réalisé ; le responsable ; la décision de traitement (réduire, transférer, éviter, accepter) ; et les actions datées. Moins que cela est une liste d’inquiétudes, pas un registre.
Pourquoi les registres meurent, et comment ils survivent
Les registres tenus dans des tableurs meurent de trois causes : des scores qui sont des opinions sans lien avec les contrôles, une revue annuelle pour laquelle personne n’a le temps, et une structure de groupe qui produit un registre par entité avec des échelles incompatibles. Un registre vivant relie chaque risque aux contrôles et aux preuves qui justifient son score résiduel, se réévalue quand un contrôle échoue ou qu’un fournisseur se dégrade, et impose une méthode unique entre entités pour qu’une image groupe se consolide au lieu de se réconcilier.
Le registre que lit le régulateur
NIS2 exige des politiques d’analyse des risques et un organe de direction qui approuve les mesures qu’elles entraînent ; DORA exige des entités financières qu’elles identifient, classent et documentent les fonctions supportées par les TIC et les risques qui pèsent sur elles, et qu’elles revoient le cadre de risque au moins une fois par an. Un registre avec des responsables, des décisions datées et des scores adossés à des preuves est l’artefact que les deux superviseurs attendent, et celui qu’un conseil peut défendre ligne à ligne.