🔦 Chapitre 1 : Le Gap Analysis

Réduire l’écart entre l’existant et les objectifs de sécurité

L’analyse des écarts (gap analysis) consiste à comparer la posture de sécurité actuelle d’une organisation aux normes, réglementations et meilleures pratiques qui lui sont pertinentes. En identifiant clairement les différences entre l’état actuel et l’état cible, il devient possible de proposer des actions correctrices efficaces.

1

Étape 1 : Comprendre le secteur et les exigences réglementaires

Avant toute chose, il est essentiel de cerner le contexte du client. Quel est son secteur d’activité ? Quelles lois ou normes lui sont applicables ? L’objectif est d’intégrer les impératifs légaux, qu’il s’agisse du RGPD en Europe, de la loi HIPAA pour le secteur de la santé aux États-Unis, ou d’autres référentiels sectoriels. Cette compréhension précise assure que les recommandations en cybersécurité ne seront pas déconnectées des réalités juridiques et sectorielles du client.

2

Étape 2 : Aligner les besoins sur un cadre de cybersécurité approprié

Une fois les obligations légales et les objectifs commerciaux établis, il s’agit de sélectionner un cadre de référence pour la cybersécurité. Plusieurs modèles sont couramment utilisés :

• NIS 2, pour se conformer à cette directive européenne, qui concerne des centaines de milliers d’entreprise.

• ISO/IEC 27001, pour mettre en place un Système de Gestion de la Sécurité de l’Information (SGSI) certifiable, garantissant une reconnaissance internationale.

• Guide d’hygiène de l’ANSSI, idéal pour un renforcement rapide de la sécurité, en se focalisant sur les mesures essentielles face aux menaces les plus courantes.

L’enjeu est de choisir un référentiel qui résonne avec les priorités stratégiques du client, son niveau de maturité et les réglementations auxquelles il est soumis.

3

Étape 3 : Évaluer les ressources nécessaires

Combler les écarts identifiés requiert souvent des ressources spécifiques. Cela peut impliquer de renforcer les équipes, d’acquérir de nouveaux outils technologiques, ou d’améliorer les processus internes. Il s’agit ici de mesurer les moyens humains, techniques et financiers indispensables pour passer de l’état actuel à l’état cible, et de prévoir comment ces investissements se justifieront en termes de réduction du risque et de conformité.

4

Étape 4 : Communiquer les résultats aux parties prenantes

Les conclusions de la gap analysis n’ont de valeur que si elles sont bien comprises et acceptées par l’ensemble des intervenants. Il faut donc présenter les risques, les priorités et les plans d’action de façon claire et accessible, en adaptant le discours aux différents publics (direction, équipes métiers, responsables techniques). Cette transparence et cette pédagogie faciliteront l’adhésion et la coopération de tous, conditions nécessaires à une mise en œuvre réussie