Du constat au plan d’action
Les écarts apparaissent à de nombreux endroits : dans l’évaluation, lorsqu’un contrôle reçoit la réponse « aucune », lors de l’audit interne, dans la revue de direction, lors d’une découverte dans le Security Score ou à la suite de la demande d’un client. L’essentiel est que chacun de ces écarts arrive à un seul endroit et ne s’y perde plus.
Un plan d’action ne demande pas grand-chose. Un titre et une personne responsable sont obligatoires. Formulez le titre de sorte qu’il soit compréhensible sans contexte, par exemple « Mettre en place l’authentification multifacteur pour l’accès à distance » plutôt que « MFA ». Dans la description, précisez ce qu’il faut faire exactement et à quoi l’on reconnaît que c’est fait.
Liez ensuite le plan à tout ce qui s’y rattache : le contrôle du framework, le document concerné, la vulnérabilité ou la demande. Vous sélectionnez les contrôles directement dans le framework actif. Ainsi, quiconque ouvre le contrôle voit que l’écart est en cours de traitement.
Fixez une échéance, même si elle est facultative. L’expérience montre qu’un plan sans date reste en suspens. Choisissez l’échéance de façon réaliste et selon le risque : une vulnérabilité critique passe avant une formulation dans une politique.
Bonnes pratiques pour les responsabilités et les échéances
Chaque plan a exactement une personne responsable. C’est voulu. Avec plusieurs responsables, personne ne se sent concerné. La personne responsable n’a pas à mettre en œuvre la mesure seule, mais elle veille à ce qu’elle le soit et rend compte de l’avancement.
Découpez les grands projets en plusieurs plans. « Mettre en place un SMSI » n’est pas un plan d’action, mais un projet. « Revoir les droits d’accès au système comptable » en est un. Des plans courts et bien délimités se suivent et se clôturent. Cela montre des progrès et maintient l’engagement des personnes impliquées.
Passez régulièrement en revue les plans ouverts, par exemple lors d’un point mensuel avec les responsables. Ne demandez pas seulement le statut, mais aussi les obstacles. Si une échéance est reportée, ajustez-la et consignez le motif dans la description. Un report traçable ne pose pas de problème lors de l’audit, une échéance dépassée en silence, si.
Ne clôturez un plan que lorsque la mesure est efficace, et liez-en la justification comme preuve.
Ce que les auditeurs vérifient dans les actions correctives
Les normes de système de management comme l’ISO 27001 et l’ISO 9001 exigent que vous réagissiez aux non-conformités, en déterminiez la cause, preniez des mesures et en évaluiez l’efficacité. L’auditeur vérifie ce cycle à partir d’exemples.
Il choisit un constat du dernier audit externe ou interne et demande ce qu’il en est advenu. Les bonnes réponses présentent un plan avec personne responsable, échéance, historique et une preuve de mise en œuvre. Les réponses faibles se résument à affirmer qu’on en a discuté.
Les auditeurs portent une attention particulière à l’analyse des causes. N’a-t-on corrigé que le symptôme, ou a-t-on empêché que le problème se reproduise ? Indiquez brièvement dans la description du plan quelle était la cause et pourquoi la mesure agit à ce niveau.
Le journal d’activité est lui aussi instructif pour l’auditeur. Il montre quand un plan a été créé, modifié et clôturé, et par qui. Avec le rôle « Auditeur externe », il le voit lui-même. Le journal indique en outre que l’accès provient d’une personne externe.
Erreurs fréquentes
L’erreur la plus fréquente est le plan éternellement ouvert. Il a été créé il y a des mois, personne ne s’en sent responsable et l’échéance est dépassée depuis longtemps. De tels plans nuisent plus qu’ils ne servent, car ils montrent que des écarts sont connus, mais pas traités. Faites régulièrement le tri : mettre en œuvre, replanifier ou clôturer avec justification.
Une deuxième erreur consiste à clôturer sans preuve. Le statut « terminé » seul ne convainc aucun auditeur. Liez la preuve que la mesure est mise en œuvre, par exemple une politique modifiée, une capture d’écran du nouveau paramétrage ou le procès-verbal d’une formation.
Troisièmement, le lien avec le contrôle manque souvent. Un plan qui figure seulement dans une liste n’explique pas quelle exigence il satisfait. Grâce au lien avec le contrôle, le contexte reste clair des mois plus tard.
Quatrièmement, les découvertes techniques et les écarts organisationnels sont gérés séparément. Dans Sightadel, les deux convergent dans les mêmes plans d’action. La direction voit ainsi en un seul endroit ce qui reste ouvert.
