Pourquoi la diapositive des CVE échoue
La diapositive cyber la plus répandue devant un conseil est un artefact technique en costume : un grand nombre de vulnérabilités, un pourcentage de correctifs appliqués, une grille colorée et une variation trimestrielle du décompte. Cela paraît rigoureux. Cela ne gouverne rien. Un administrateur ne peut pas mettre en balance « 4 200 critiques, en baisse de 6 % » avec le coût du contrôle qui les ferait diminuer, ne peut pas l'insérer dans l'appétence au risque de l'entreprise, et ne peut pas dire si l'activité est matériellement plus sûre qu'avant.
L'échec est un échec de traduction. Le rôle du conseil est d'allouer du capital et de fixer la tolérance au risque à l'échelle de toute l'entreprise. Un décompte de CVE est libellé dans une unité qu'aucun autre risque à l'ordre du jour n'emploie. Tant que le cyber-risque n'est pas exprimé dans les mêmes termes que le risque de crédit, de marché et opérationnel — probabilité et argent —, il ne peut pas être gouverné à leurs côtés.
Les quatre questions que se pose réellement un conseil
Une fois le bruit écarté, un conseil attend quatre choses d'un rapport cyber. Sommes-nous exposés au-delà de l'appétence au risque que nous avons approuvée, et précisément où ? La tendance s'améliore-t-elle ou se dégrade-t-elle, et qu'est-ce qui la porte ? Parmi nos cyber-risques matériels, lesquels représentent la plus grande perte probable, afin de financer d'abord les leviers de réduction les plus efficaces ? Et que nous demandez-vous précisément de décider aujourd'hui ?
Chaque élément d'un bon rapport devrait se rattacher à l'une de ces questions. Si un graphique n'aide à répondre à aucune d'elles, sa place est en annexe ou sur le tableau de bord du SOC, pas sur la diapositive du conseil.
Quantifier quelques scénarios, pas chaque constat
L'ossature d'un rapport au conseil est une petite bibliothèque de scénarios de risque bien cadrés — « un rançongiciel perturbe le traitement des commandes », « compromission du magasin de données clients », « panne d'un tiers critique » — chacun quantifié en termes monétaires. Une approche comme FAIR (Factor Analysis of Information Risk) décompose chaque scénario en fréquence des événements de perte et ampleur des pertes, utilise des plages calibrées plutôt que des estimations ponctuelles faussement précises, et produit une perte annualisée attendue assortie d'intervalles de confiance.
Exprimés ainsi, les cyber-risques deviennent comparables entre eux et au coût des contrôles qui les réduisent. Le conseil peut voir si un investissement proposé de 2 M€ supprime plus de 2 M€ de perte attendue, et où le prochain euro de dépense de sécurité produit le plus d'effet. Cinq scénarios défendables en euros valent toujours mieux que cinq mille constats dans un tableau.
Hiérarchiser l'exposition par l'accessibilité, non par le décompte
Là où le détail technique a sa place, cadrez-le par l'impact métier. Plutôt qu'un décompte brut de vulnérabilités, présentez l'exposition hiérarchisée selon qu'une faiblesse est atteignable — un attaquant peut-il réellement aller d'un point d'entrée exposé sur Internet jusqu'à un actif stratégique ? — et selon qu'elle est exploitée dans la nature, à l'aide de signaux comme le catalogue des vulnérabilités activement exploitées de la CISA et l'EPSS.
Une poignée d'expositions exploitables et atteignables sur des actifs critiques donne une image du risque bien plus honnête qu'un total à cinq chiffres qui traite une faille théorique sur une machine de test comme un chemin réel vers la base de données clients. L'accessibilité transforme un chiffre effrayant en un chiffre exact.
Rendre chaque chiffre traçable — et demander une décision
Un conseil contestera les chiffres clés, et c'est son rôle. Le rapport doit y résister. Chaque nombre de la diapositive doit remonter jusqu'à la preuve qui le sous-tend — les scénarios, les expositions, l'état des contrôles — pour qu'une question incisive trouve une réponse détaillée, et non un haussement d'épaules. Cette traçabilité est aussi ce qui rend le rapport prêt pour l'auditeur et défendable a posteriori.
Enfin, terminez par la demande. Un rapport au conseil n'est pas un point d'avancement : c'est une sollicitation de gouvernance. Nommez les décisions : approuver cet investissement, accepter formellement cette exception jusqu'au correctif, réexaminer cet aspect de l'appétence au risque. Quand le récit va proprement de l'exposition à la perte, puis à la tendance et à la décision, le conseil peut faire son travail — et le RSSI obtient une réponse plutôt qu'un hochement de tête.