Instances de gouvernance
Quatre instances suffisent. En créer davantage dilue la responsabilité ; en créer moins fait remonter des décisions techniques au comité exécutif.
Le comité CRA
Fréquence : trimestrielle, plus une séance extraordinaire sur événement.
Composition : sponsor exécutif (président), direction juridique, RSSI, direction produit, responsable PSIRT, achats en tant que de besoin.
Ordre du jour type :
- Avancement du rétroplanning et écarts.
- Indicateurs : couverture, délais, exposition.
- Registre des risques de conformité : nouvelles lignes, risques acceptés.
- Registre de classification : produits entrants, reclassements.
- Registre des périodes de support : engagements devenus tendus.
- Veille réglementaire : ce qui a changé, ce que cela implique.
- Décisions à arbitrer.
- Retour d’expérience des incidents et exercices du trimestre.
Décisions de son niveau : priorisation du portefeuille, engagement d’un organisme notifié, budget d’outillage, acceptation d’un risque résiduel, arbitrage entre équipes.
La cellule PSIRT
Fréquence : permanente, activée sur événement.
Composition en veille : responsable PSIRT, astreinte technique, astreinte juridique. Composition en cellule : coordinateur d’incident, analyste, référent juridique, communication, ingénierie produit, direction si impact commercial.
Procédure d’activation : définie dans Procédure 24 h. Le déclencheur est la qualification d’une exploitation active ou d’un incident grave.
Moyens à garantir : accès nominatifs actifs à la plateforme de signalement, gabarits, canal d’information des utilisateurs, liste de rappel testée, salle et moyens de conférence.
La revue de mise sur le marché
Fréquence : à chaque mise sur le marché, et à chaque modification substantielle.
Composition : direction juridique (préside), RSSI, direction produit, responsable du projet.
Support : la liste de contrôle juridique et la liste de contrôle technique.
Sortie : un procès-verbal signé valant autorisation d’apposer le marquage CE, ou refus motivé avec échéances.
C’est l’instance la plus importante du dispositif, parce que c’est la seule qui bloque.
La revue de la politique de licences
Fréquence : trimestrielle.
Composition : direction juridique (préside), RSSI, un représentant des équipes de développement.
Ordre du jour : exceptions arrivant à expiration, nouvelles demandes, évolutions des listes, changements de licence constatés en amont, état du registre.
Sortie : politique mise à jour et versionnée, registre des exceptions à jour.
Le reporting au comité exécutif
Fréquence : semestrielle, ou à l’événement.
Format : une page. Trois indicateurs de couverture, trois indicateurs de risque, l’état du rétroplanning, les décisions attendues.
Ce qui ne doit pas y figurer : le détail technique, le nombre de vulnérabilités détectées — un chiffre qui augmente quand le dispositif s’améliore, et qui est donc ininterprétable hors contexte.
Le principe qui les relie
Chaque instance produit un compte rendu écrit avec des décisions nommées. Une décision sans nom n’est pas une décision ; une réunion sans compte rendu n’a pas eu lieu du point de vue d’un contrôle.