Glossaire
Les termes de la GRC et de la résilience, expliqués
Des définitions courtes et claires des termes rencontrés en gouvernance, gestion des risques, conformité, continuité d'activité et gestion des incidents, y compris le vocabulaire de DORA et NIS2.
Termes
A
- Appétence au risque
- Le niveau et le type de risque qu'une organisation est prête à prendre ou à accepter pour atteindre ses objectifs, fixés par l'organe de direction et traduits en limites et en tolérances.
- Attestation
- Confirmation formelle, par une personne responsable, qu'un fait est avéré ou qu'une action a été réalisée : par exemple qu'elle a lu une politique, ou qu'un contrôle a fonctionné comme prévu au cours d'une période.
B
- BIAAnalyse d'impact sur l'activité
- Analyse de la manière dont une interruption de chaque processus ou service affecterait l'organisation dans le temps. Elle fixe les priorités et les objectifs de reprise, tels que le RTO, le RPO et la MTPD, et cartographie les dépendances de chaque processus.
C
- CAPAActions correctives et préventives
- Actions qui éliminent la cause d'un problème constaté (corrective) ou d'un problème potentiel (préventive), généralement issues de constats d'audit, d'incidents ou d'exercices, et suivies jusqu'à leur clôture.
- Cellule de crise
- Espace de commandement de crise dédié, physique ou virtuel, où les personnes qui gèrent un incident majeur coordonnent en un seul lieu les décisions, la communication et les tâches.
- Constat
- Problème relevé lors d'un audit, d'une évaluation ou d'une revue, généralement coté selon sa gravité et confié à un responsable. Les constats donnent lieu à des actions convenues, souvent des CAPA, et sont suivis jusqu'à leur clôture.
- Contrôle
- Mesure qui modifie un risque : politique, procédure, protection technique ou vérification conçue pour prévenir, détecter ou corriger un événement indésirable. Les contrôles sont liés aux risques et aux obligations qu'ils couvrent, et leur conception comme leur efficacité sont testées.
- CSIRTCentre de réponse aux incidents de sécurité informatique
- Équipe chargée de traiter les incidents de cybersécurité. En vertu de NIS2, chaque État membre désigne des CSIRT nationaux, qui reçoivent les notifications d'incidents et aident les entités à les gérer.
D
- Dérogation
- Écart approuvé et documenté par rapport à une politique, une norme ou un contrôle, enregistré avec sa justification, le risque accepté, un responsable et, en général, une date d'expiration ou de révision.
- DORARèglement sur la résilience opérationnelle numérique
- Règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025 aux entités financières de l'UE. Il couvre la gestion des risques liés aux TIC, la notification des incidents liés aux TIC, les tests de résilience opérationnelle numérique, les risques liés aux prestataires tiers de services TIC et le partage d'informations.
E
- Entités essentielles et importantes
- Les deux catégories d'organisations relevant du champ d'application de NIS2, déterminées principalement par le secteur et la taille. Toutes deux doivent prendre des mesures de gestion des risques de cybersécurité et notifier les incidents importants ; les entités essentielles font l'objet d'une supervision proactive, les entités importantes principalement d'une supervision a posteriori.
- Exercice
- Activité planifiée qui met à l'épreuve les plans, les personnes et les systèmes face à un scénario, de la simulation sur table au basculement technique complet. Les résultats sont comparés aux objectifs et traduits en actions d'amélioration.
F
- Fonction critique ou importante
- Au sens de DORA, fonction dont la perturbation nuirait sensiblement aux performances financières d'une entité financière, à la solidité ou à la continuité de ses services, ou au respect continu des conditions de son agrément et de ses obligations légales. Les accords TIC qui soutiennent ces fonctions sont soumis à des exigences plus strictes.
I
- Incident important
- Au sens de NIS2, incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières pour l'entité, ou des dommages considérables à des tiers. Les incidents importants sont notifiés en plusieurs étapes : alerte précoce, notification d'incident et rapport final.
K
- KRIIndicateur clé de risque
- Indicateur qui signale une évolution du niveau d'un risque, avec des seuils qui déclenchent une attention ou une action avant que le risque ne se matérialise.
M
- MTPDDurée maximale d'interruption admissible
- Délai au-delà duquel l'impact de la non-reprise d'un processus devient inacceptable. Le RTO doit être inférieur à la MTPD.
N
- NIS2
- Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union. Les États membres la transposent en droit national ; elle impose aux entités essentielles et importantes des obligations de gestion des risques et de notification des incidents.
O
- Obligation
- Exigence précise qu'une organisation doit respecter, découlant d'une loi, d'une réglementation, d'une norme ou d'un contrat. Les obligations sont rattachées aux contrôles, aux politiques et aux responsables qui y répondent.
P
- Piste d'audit
- Enregistrement chronologique de qui a modifié quoi et quand, idéalement avec les valeurs avant et après la modification. Elle permet de reconstituer les décisions et de démontrer l'intégrité des enregistrements.
- Playbook
- Ensemble prédéfini d'étapes de réponse pour un type d'incident ou d'événement, avec des rôles et des tâches attribués à l'avance afin que la réponse démarre rapidement et de manière cohérente.
- Prestataire tiers de services TIC
- Au sens de DORA, entreprise qui fournit des services TIC, c'est-à-dire des services numériques et de données fournis de manière continue au moyen de systèmes de TIC, à une entité financière.
R
- Registre d'informations
- Registre que DORA impose aux entités financières de tenir pour tous les accords contractuels portant sur des services TIC fournis par des prestataires tiers de services TIC, y compris les fonctions qu'ils soutiennent et leur criticité.
- Risque de concentration
- Risque qui apparaît lorsque de nombreux services critiques dépendent d'un seul prestataire, ou d'un petit groupe de prestataires liés, de sorte qu'une seule défaillance a un impact étendu. DORA impose aux entités financières de l'évaluer pour leurs accords avec des prestataires tiers de services TIC.
- Risque inhérent
- Niveau d'un risque avant prise en compte des contrôles ou de tout autre traitement.
- Risque résiduel
- Niveau d'un risque qui subsiste après les contrôles et tout autre traitement, comparé à l'appétence au risque pour décider s'il peut être accepté.
- RPOObjectif de point de reprise
- Perte de données maximale, exprimée en temps, qu'un processus peut tolérer. Il détermine la fréquence à laquelle les données doivent être sauvegardées ou répliquées.
- RTOObjectif de délai de reprise
- Délai cible dans lequel un processus ou un système doit reprendre après une interruption, à un niveau de service minimal convenu.
S
- SMCASystème de management de la continuité d'activité
- Les politiques, rôles, processus et enregistrements qu'une organisation utilise pour planifier, mettre en œuvre, revoir et améliorer sa continuité d'activité. La norme ISO 22301 fixe les exigences applicables à un SMCA.
- SMSISystème de management de la sécurité de l'information
- Les politiques, processus, rôles et contrôles qu'une organisation utilise pour gérer de manière systématique les risques liés à la sécurité de l'information. La norme ISO/IEC 27001 fixe les exigences applicables à un SMSI.
- SoADéclaration d'applicabilité
- Document ISO/IEC 27001 qui liste les contrôles jugés nécessaires par l'organisation, la raison de leur inclusion, leur état de mise en œuvre et la justification de l'exclusion éventuelle de contrôles de l'annexe A.
- Stratégie de sortie
- Plan documenté permettant de mettre fin à un accord avec un prestataire tiers, par exemple après une défaillance ou une résiliation, sans perturbation inacceptable. DORA exige des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes.
T
- TLPTTests de pénétration fondés sur la menace
- Test contrôlé qui reproduit les tactiques d'attaquants réels, sur la base de renseignements sur les menaces, contre les systèmes de production qui soutiennent les fonctions critiques. En vertu de DORA, les entités financières désignées par leur autorité compétente doivent en réaliser un au moins tous les trois ans.
- TPRMGestion des risques liés aux tiers
- Processus d'identification, d'évaluation, de surveillance et de maîtrise des risques liés au recours à des fournisseurs et à d'autres tiers, de l'intégration et de la due diligence à la revue périodique et à la sortie.
U
- Univers d'audit
- L'ensemble des entités, processus, systèmes et thèmes auditables d'une organisation. L'audit interne s'en sert pour planifier sa couverture sur plusieurs années en fonction des risques.
Découvrez ILSERIS en action.
Une présentation ciblée, construite autour de votre paysage réglementaire et de votre modèle opérationnel.