Gouvernance et gestion des risques on Plan R

Ce que les mots engagent — lexique de la résilience opérationnelle

Sun, 27 Sep 2026 00:00:00 +0200

Les mots de la résilience ne sont pas neutres. Dire « nous sommes résilients », c’est affirmer un état ; dire « nous avons arbitré », c’est assumer un choix. Ce lexique prend parti : il définit cinquante-sept termes tels que Plan R les emploie depuis 2025, dit ce que chacun refuse, et les confronte aux référentiels.

Avant-propos

Il existe d’excellents glossaires de la cybersécurité et de la continuité d’activité. Celui-ci n’en est pas un de plus. Il ne cherche pas à dire ce que les mots signifient pour tout le monde, mais ce qu’ils engagent pour ceux qui les emploient.

Construire une stratégie de sauvegarde : la méthode et le modèle

Sat, 26 Sep 2026 00:00:00 +0200

Avoir des sauvegardes ne dit rien de la capacité à restaurer. Entre les deux se trouve une stratégie : des engagements fixés par ceux qui subiront l’interruption, des scénarios qui séparent la panne de l’attaque, des preuves produites avant le jour où l’on en a besoin. Voici la méthode, et le modèle de document qui l’accompagne, à télécharger et à adapter.

Introduction

Posez la question dans n’importe quelle DSI : « Avez-vous des sauvegardes ? » La réponse sera oui. Posez ensuite celle-ci : « Si l’ensemble de vos serveurs était chiffré cette nuit, à quelle heure, et dans quel état, vos données métier seraient-elles de nouveau disponibles ? » La réponse devient une discussion. Et c’est dans cette discussion que se loge le risque.

Le CISO stratège, de la salle serveur au COMEX

Sat, 26 Sep 2026 00:00:00 +0200

Toute l’année l’a montré : les vrais sujets de résilience se tranchent en comité de direction. Le CISO qui n’y parle pas la langue des arbitrages n’y pèse pas, même quand il y siège.

Depuis janvier, Plan R a traité le « quoi » : dépendances, chaîne d’approvisionnement, données, souveraineté, identité. Puis le « comment » : automatisation, IA, équilibre entre l’humain et la machine. Le quatrième trimestre a déplacé le regard vers la gouvernance. Une question a été contournée : qui porte tout cela jusqu’à la table où l’on décide ?

Auditer la résilience de ses tiers sans rupture

Wed, 23 Sep 2026 00:00:00 +0200

On ne contrôle pas la solidité de ses partenaires. On contrôle ce qu’on exige d’eux, ce qu’on vérifie à leurs interfaces, et la façon dont on se prépare à leur chute.

La chronique 008 de cette saison s’arrêtait aux lignes de code : bibliothèques open source, mises à jour empoisonnées, nomenclatures logicielles. Il laissait volontairement de côté une question plus large. Le logiciel n’est qu’un maillon. Derrière lui, il y a des hébergeurs, des intégrateurs, des infogérants, des prestataires de paie, des transporteurs, des centres d’appels.

Le reporting ESG Cyber, valoriser la résilience auprès des investisseurs

Wed, 16 Sep 2026 00:00:00 +0200

La résilience a longtemps été défendue comme une dépense à justifier. Le moment est venu de la présenter pour ce qu’elle est : un actif qu’on démontre, devant un public qui ne parle pas la langue de la DSI.

L’épisode 036 se terminait sur une question restée ouverte : quand tout repose sur la preuve, qui vérifie que cette preuve dit vrai ? Une partie de la réponse ne se trouve pas dans l’organisation. Elle se trouve dehors — chez ceux qui financent, assurent, notent et achètent.

Responsabilité du dirigeant, ce que le nouveau cadre change vraiment

Wed, 09 Sep 2026 00:00:00 +0200

La question n’est plus de savoir si la cybersécurité relève du COMEX. Elle est de savoir qui, nommément, répondra d’une défaillance — et avec quelles preuves.

L’épisode 004 posait que la résilience est une décision politique : des arbitrages, des dépendances assumées, une gouvernance explicite. L’épisode 035 s’est arrêté sur la parole en crise, et s’est terminé sur une question laissée ouverte : quand tout est retombé, qui répond de ce qui a été dit, et de ce qui ne l’a pas été ?

Désinformation et cyber, quand l'attaque vise la confiance

Wed, 26 Aug 2026 00:00:00 +0200

Votre SOC surveille vos serveurs. Personne ne surveille votre crédibilité.

L’épisode 033 refermait une année de construction sur une question simple : que pouvez-vous prouver ? Preuves, documentation, posture — l’audit comme épreuve de vérité interne.

Cette semaine, la vérité change de camp. Elle n’est plus ce que vous démontrez à un contrôleur. Elle est ce que vos parties prenantes croient.

En 007, nous avons vu que l’image et la voix d’un dirigeant pouvaient être clonées en flux direct. En 022, que la géopolitique était devenue un paramètre d’architecture. Ces deux fils se rejoignent ici, sur un terrain que la plupart des dispositifs de sécurité ne couvrent pas : le récit.

Préparation à l'audit NIS2 - preuves, documentation, posture

Wed, 19 Aug 2026 00:00:00 +0200

Un contrôle réglementaire ne se prépare pas la veille. Il se documente en continu.

Le trimestre qui s’achève nous a emmenés loin dans la machine. SOC de nouvelle génération, détection industrialisée, IA offensive, algorithmes de décision, équilibre humain-machine : le T3 a exploré ce que l’intelligence apporte - et ce qu’elle coûte - à la résilience.

Le T4 change de registre. On quitte les outils pour la gouvernance, la redevabilité et la culture. Et il commence par le sujet le plus concret qui soit : l’épreuve du contrôle.

Synthèse T3 - L'équilibre humain-machine

Wed, 12 Aug 2026 00:00:00 +0200

L’automatisation a tenu ses promesses. Le jugement, lui, ne se délègue pas. Toute la difficulté du trimestre tient dans cet écart.

Neuf semaines. Huit épisodes. Un même fil : la machine au service de la défense.

Nous avons ouvert le trimestre sur le SOC augmenté par l’IA (024), puis regardé l’adversaire s’emparer des mêmes armes (025). Nous avons industrialisé la détection et la réponse (026), organisé le test offensif permanent (027). Nous avons posé le contrepoint indispensable : que reste-t-il quand l’automatisation tombe (028) ? Nous avons vu la conformité devenir continue (029), le marché de l’assurance imposer ses standards de fait (030), et l’algorithme s’installer en prescripteur silencieux (031).

Algorithmes de décision - quand l'IA se trompe en votre nom

Wed, 05 Aug 2026 00:00:00 +0200

Un algorithme qui recommande de ne pas investiguer une alerte est un risque de résilience au même titre qu’un rançongiciel. La différence, c’est que personne ne s’en aperçoit.

Le 2 août 2026 devait être une date de bascule : l’échéance à laquelle les obligations européennes sur les systèmes d’IA à haut risque devenaient applicables. Le 27 juillet, à six jours du terme, le règlement (UE) 2026/1744 est entré en vigueur et l’a repoussée au 2 décembre 2027.

Cyber-assurance, quand le marché dicte la résilience

Wed, 29 Jul 2026 00:00:00 +0200

Ce que votre assureur refuse de couvrir en dit plus long sur votre résilience réelle que n’importe quel rapport d’audit.

Introduction

Il existe en France un acteur qui impose aujourd’hui un socle de sécurité à des dizaines de milliers d’organisations. Sans mandat public. Sans pouvoir de sanction. Sans texte de loi.

Ce n’est ni l’ANSSI, ni un régulateur sectoriel. C’est un souscripteur. Il travaille chez un assureur ou un courtier, il n’a jamais mis les pieds dans votre salle serveurs, et il détient pourtant un pouvoir que peu de RSSI possèdent : celui de dire non.

Continuous Compliance - la conformité comme code vivant

Wed, 22 Jul 2026 00:00:00 +0200

La conformité cesse d’être une photographie datée pour devenir un flux permanent. Un progrès réel - à condition de ne jamais confondre le vert d’un tableau de bord avec la solidité du réel.

En 2014, obtenir l’homologation de sécurité d’un système, c’était décrocher un tampon valable trois ans. Une photographie. On vérifiait, on signait, on rangeait le dossier. Entre deux contrôles, le système vivait sa vie - et dérivait.

Ce modèle a longtemps tenu. Il ne tient plus. Les infrastructures changent chaque jour, parfois chaque heure. Un déploiement, une dépendance mise à jour, une règle de pare-feu modifiée : la conformité d’hier n’est déjà plus celle d’aujourd’hui.

Quand l'automatisation tombe en panne : reprendre la main

Wed, 15 Jul 2026 00:00:00 +0200

La dépendance à l’automatisation est devenue une dépendance critique. La résilience ne consiste pas à automatiser toujours plus - elle consiste à savoir encore agir sans.

Depuis quatre semaines, ce trimestre chante les louanges de la machine. Le SOC augmenté par l’IA (024), l’IA offensive comme industrialisateur des attaques (025), la détection et la réponse automatisées (026), le test offensif permanent (027). Un fil cohérent : l’intelligence au service de la résilience.

SOC nouvelle génération : l'IA en co-pilote

Wed, 17 Jun 2026 00:00:00 +0200

Intégrer l’IA dans la détection ne consiste pas à déléguer le diagnostic. Cela consiste à garder la maîtrise du jugement quand la machine filtre l’essentiel du bruit.

Un analyste de SOC reçoit aujourd’hui des centaines d’alertes par jour. Il en traite une fraction. Le reste s’accumule, se périme, ou se dilue dans la masse. Ce n’est pas un défaut de compétence. C’est une question d’échelle.

Pendant ce temps, l’attaquant ne ralentit pas. Un rançongiciel chiffre un parc en quelques heures. Une compromission d’identité se propage en quelques minutes. Dans son panorama 2025, l’ENISA est sans ambiguïté : l’IA est désormais présente à chaque étape de la chaîne d’attaque, de la reconnaissance à la diffusion de la charge.

La cartographie de ce qui compte

Wed, 10 Jun 2026 00:00:00 +0200

Clôturer un trimestre, ce n’est pas archiver. C’est dessiner la carte de ses dépendances, nommer ses verrous et assumer ses arbitrages - avant que la vitesse des attaques ne décide à notre place.

Introduction

Pendant trois mois, Plan R a posé la même question, déguisée à chaque fois.

Le cloud et sa dépendance durable (épisode 002). L’open source face au propriétaire (003). Puis les données, les infrastructures critiques, la souveraineté, l’identité devenue périmètre, et la géopolitique entrée par effraction dans nos architectures.

Disponibilité vs Confidentialité, les dilemmes de crise

Wed, 20 May 2026 00:00:00 +0200

Quand il faut choisir entre remettre en ligne et protéger, la résilience n’est plus un équilibre. C’est un arbitrage.

Introduction

3h du matin. La cellule de crise est réunie. Le ransomware a chiffré une partie du SI. Des données ont probablement été exfiltrées avant le chiffrement. Le service client est à l’arrêt. Les équipes techniques ont restauré une partie des systèmes depuis les sauvegardes - mais on ne sait pas encore si le vecteur initial a été neutralisé.

DORA & NIS2, deux cadres, un enjeu de résilience

Wed, 13 May 2026 00:00:00 +0200

Aligner les processus de résilience entre les exigences du règlement financier et celles de la directive sectorielle, sans confondre la conformité avec sa destination.

Introduction — Le temps du cadrage

L’épisode précédent racontait une journée de crise vue du terrain. Aujourd’hui, retour au cadrage. Parce que cette journée-là, dans une organisation européenne en 2026, ne se déroule jamais sans deux ombres tutélaires en arrière-plan : DORA et NIS2.

Deux acronymes désormais inévitables. Deux textes cités dans presque toutes les chroniques précédentes, sans qu’on ait pris le temps de les regarder ensemble. Le moment est venu.

Anatomie d'une crise - 72 heures pour reconstruire

Wed, 06 May 2026 00:00:00 +0200

72 heures dans la vie d’une organisation qui découvre, en direct, ce qu’elle avait écrit dans ses plans.

Lundi matin. 6h12. Le téléphone vibre sur la table de chevet du RSSI.

Un opérateur du SOC, voix tendue : « On a quelque chose. Plusieurs créations de comptes à privilèges sur un contrôleur de domaine secondaire. Cette nuit. Et des connexions sortantes inhabituelles. »

À 7h00, ce qui ressemblait à un faux positif est devenu un incident. À 9h00, c’était une crise. Trois sites de production basculés en mode dégradé, un ERP inaccessible, des partages réseau partiellement chiffrés.

Souveraineté numérique, au-delà du slogan

Wed, 29 Apr 2026 00:00:00 +0200

Piloter ses dépendances technologiques vis-à-vis des acteurs extra-européens : ce que ça coûte, ce que ça implique, ce que ça change.

Introduction — Le mot le plus mal utilisé du numérique

« Souverain. »

Le mot est partout. Sur les plaquettes commerciales. Dans les discours politiques. Sur les labels. Dans les appels d’offres publics.

Plus il est utilisé, plus son sens s’affaisse.

L’épisode 002 a posé le constat : le cloud crée des dépendances structurelles, durables, souvent sous-estimées.

Cloud Act vs RGPD, le droit comme champ de bataille

Thu, 09 Apr 2026 00:00:00 +0200

Quand les juridictions s’affrontent : naviguer dans les conflits de lois pour protéger ses données sensibles.

Introduction — Le vrai périmètre d’une dépendance

Dans l’épisode 002 de Plan R, on posait une question simple : savez-vous réellement ce que votre choix cloud engage ? La réponse dépassait déjà la technique — coûts cachés, verrouillage, réversibilité incertaine. Dans l’épisode 004, on montrait que ces choix relevaient de la gouvernance, pas seulement de l’IT.