Gouvernance, risque et conformité (GRC)

Piloter par le risque, et savoir le démontrer.

Risque à ne pas faire

  • Risques jamais formalisés : les efforts de sécurité sont dispersés plutôt que priorisés par l’enjeu réel.
  • Audits et certifications coûteux ou échoués, faute de preuves organisées et à jour.
  • Non-conformité réglementaire (NIS 2, RGPD) entraînant sanctions et perte de marchés.
  • Plans d’action sans suivi : les décisions prises après un incident ne sont jamais appliquées.

Pourquoi ce domaine compte

La technique ne suffit pas : encore faut-il savoir quels risques on court, lesquels on accepte sciemment, et pouvoir le montrer. C’est le rôle de la GRC — cartographier, choisir un référentiel, suivre les plans d’action, produire les preuves qu’attendent la direction, les clients et les auditeurs. C’est aussi ce qui permet de défendre une ligne budgétaire autrement qu’à l’intuition. Sur ce terrain, l’outil libre évite les deux extrêmes habituels : le tableur devenu illisible et la plateforme facturée cinq chiffres par an.

Les solutions gratuites du domaine

CISO Assistant

Licence : GNU AGPL v3 (édition communautaire)

Plateforme GRC libre : gestion des risques, audits et conformité à plus de 160 référentiels (ISO 27001, NIS 2, SOC 2, RGPD), avec plans d'action.

CIS Benchmarks

Licence : Référentiel gratuit (CIS Benchmarks Terms of Use)

Référentiels de durcissement reconnus, élaborés par consensus, pour plus de cent technologies (OS, navigateurs, bases, cloud, conteneurs). Guides téléchargeables gratuitement.

OpenSCAP

Licence : GNU LGPL v2.1

Boîte à outils de conformité SCAP permettant d'évaluer et d'appliquer des référentiels (CIS, DISA STIG...). Génère des rapports d'audit exploitables et automatisables.