01 Décision exécutive
Trois décisions à rendre pilotables avant d’élargir le chantier.
Le Diagnostic distingue ce qui est observé, déclaré mais non vérifié, absent ou non applicable. Une déclaration n’est jamais présentée comme une preuve.
02 Registre prioritaire
Statut des preuves et prochaine action
01Observé
Formaliser la capacité de récupération de l’email administrateur
Exposition : L’accès aux services critiques dépend d’un compte central sans preuve de test de récupération récente.
Action : Tester la récupération, consigner les propriétaires et conserver une preuve datée.
02Déclaré — non vérifié
Valider le périmètre des sauvegardes métiers
Exposition : La couverture et la restauration sont décrites oralement, sans journal de test fourni dans cet exemple.
Action : Obtenir l’inventaire, sélectionner un jeu critique et exécuter un test de restauration autorisé.
03Absent
Nommer un responsable de revue des accès
Exposition : Aucun responsable ni rythme de revue n’est documenté dans les éléments de cet exemple.
Action : Désigner le propriétaire, le périmètre et une première date de revue.
04Non applicable à cette revue
Notification réglementaire
Exposition : L’applicabilité juridique n’est pas déterminée par le Diagnostic.
Action : Faire qualifier séparément l’obligation par les conseils compétents si le contexte l’exige.
03 Plan 90 jours
Une trajectoire courte, avec responsables et preuves attendues.
- Jours 1–30 : propriétaires, périmètres critiques et tests minimaux autorisés.
- Jours 31–60 : décisions de traitement, responsables, échéances et preuves attendues.
- Jours 61–90 : revue direction, arbitrages résiduels et prochain cycle de contrôle.
04 Limites explicites
Ce que le pilote ne remplace pas
- Pentest, scan technique, réponse à incident ou investigation forensique.
- Certification, attestation de conformité ou avis juridique.
- Remédiation technique et notification à une autorité.
- Collecte de secrets, identifiants, données bancaires ou documents non nécessaires.
Examiner l’adéquation du pilote ↗