Défendez votre budget cyber en euros
Votre conseil d'administration ne lit pas les scores techniques. Il décide sur des montants.
Nous traduisons ce qui est exploitable chez vous en un montant clair : combien un incident pourrait vous coûter, sur quels périmètres, et ce que chaque euro de correction fait baisser. Vous arrivez en réunion avec une décision chiffrée, plus avec une liste de failles.
Chaque décision se défend. Pas l'ensemble.
Chaque semaine, vous tranchez au jugement : quoi corriger, quoi financer, quoi laisser. Prise seule, chaque décision se défend. Mises bout à bout, elles ne dessinent aucune vue d'ensemble que votre direction puisse assumer devant un incident. Il vous faut un langage commun avec le conseil, et ce langage, c'est l'euro.
Ce que vous posez sur la table du conseil
Un risque chiffré
Nous chiffrons ce qu'un incident pourrait coûter, périmètre par périmètre, au lieu d'un score technique que le conseil ne peut pas interpréter.
Un langage que le conseil comprend
Le chemin d'attaque et la faille qui le commande deviennent une phrase simple : ce que l'inaction coûte, ce que la correction évite.
Un historique pour le comité d'audit
Chaque décision reste horodatée et justifiée, présentable telle quelle en comité d'audit.
À jour en permanence
Le tableau se met à jour à chaque nouvelle mesure. Vous présentez la situation réelle, pas la photo d'un audit vieux d'un an.
La liste de failles devient une décision
Au lieu d'une liste de failles, vous posez une phrase que le conseil peut trancher : telle correction évite tel montant de risque, pour tel coût. La discussion porte sur un montant, plus sur un vocabulaire technique.
Un risque chiffré en euros, pour le conseil d'administration
La sécurité présente le risque en euros, la direction décide.
« Pour la première fois, je peux vérifier le travail de notre prestataire et présenter nos priorités au conseil d'administration sans traduire. La direction comprend où va le budget, et pourquoi. »
Patrick Da FonsecaDirecteur Infrastructure et Sécurité, GaranceQuestions fréquentes
Comment présenter le risque cyber en euros au conseil ?
En partant de ce qui est réellement exploitable chez vous, pas d'une moyenne de votre secteur. Nous chiffrons ce qu'un incident coûterait, périmètre par périmètre, et le conseil décide sur un montant.
NIS2 ou DORA obligent-ils à chiffrer le risque en euros ?
NIS2, le règlement européen sur la sécurité des réseaux, demande des mesures proportionnées au risque, sans chiffrage en euros. DORA, qui vise le secteur financier, impose une estimation des pertes annuelles. Dans les deux cas, votre direction doit rendre des comptes, et un montant rend cette reddition défendable.
En quoi est-ce différent d'un outil de gestion du risque cyber ?
La gestion du risque au sens large conçoit des enveloppes de budget annuelles. Nous vous aidons à défendre l'usage de ce budget, décision par décision, sur ce qui est réellement exploitable chez vous.
Faut-il un atelier annuel pour produire ce reporting ?
Non. Le reporting se met à jour à chaque nouvelle mesure. Vous présentez au conseil une situation à jour, sans repartir d'un atelier à chaque fois.
Qui est responsable du risque cyber dans l'entreprise ?
Depuis NIS2 et DORA, c'est l'organe de direction. Le RSSI en porte la pression sans en porter la responsabilité juridique. Notre rôle est de lui donner de quoi équiper sa direction.
Chiffrez votre risque
Parlons de ce qu'un incident pourrait vous coûter, et de la façon de le présenter à votre conseil.