Évaluer ma cyberdéfense

Une question par domaine. Être équipé ne suffit pas : ce qui compte, c’est l’usage réellement fait de l’outil en place.

Rien n’est enregistré : les réponses servent au calcul, puis disparaissent. Aucun compte, aucun courriel, aucun cookie. Répondez de mémoire — un doute vaut mieux qu’une réponse flatteuse, et « je ne sais pas à quoi sert ce domaine » est une réponse utile.

1 Inventaire et CMDB On ne protège bien que ce que l’on a inventorié.

Aucun inventaire des actifs Rien ne couvre ce domaine aujourd’hui.

Un inventaire des actifs, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un inventaire des actifs, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

2 Connaissance de la surface d’attaque Voir son exposition comme un attaquant la voit.

Aucun suivi de l’exposition externe Rien ne couvre ce domaine aujourd’hui.

Un suivi de l’exposition externe, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un suivi de l’exposition externe, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

3 Vulnérabilités Corriger avant que quelqu’un d’autre ne trouve.

Aucun scan de vulnérabilités Rien ne couvre ce domaine aujourd’hui.

Un scan de vulnérabilités, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un scan de vulnérabilités, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

4 Gestion des identités et des accès Qui accède à quoi, et comment il le prouve.

Aucun annuaire centralisé avec MFA Rien ne couvre ce domaine aujourd’hui.

Un annuaire centralisé avec MFA, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un annuaire centralisé avec MFA, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

5 Gestion des accès à privilèges (PAM) Les comptes qui peuvent tout : encadrés, tracés, temporaires.

Aucun encadrement des accès administrateurs Rien ne couvre ce domaine aujourd’hui.

Un encadrement des accès administrateurs, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un encadrement des accès administrateurs, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

6 Comptes de service et comptes génériques Reprendre le contrôle des comptes non nominatifs.

Aucun suivi des comptes de service Rien ne couvre ce domaine aujourd’hui.

Un suivi des comptes de service, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un suivi des comptes de service, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

7 Secrets et mots de passe Ne plus stocker de clés ni de mots de passe en clair.

Aucun coffre à secrets Rien ne couvre ce domaine aujourd’hui.

Un coffre à secrets, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un coffre à secrets, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

8 Chiffrement et PKI Rendre les données illisibles pour qui n’y a pas droit.

Aucun dispositif de chiffrement et de certificats Rien ne couvre ce domaine aujourd’hui.

Un dispositif de chiffrement et de certificats, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un dispositif de chiffrement et de certificats, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

9 Sécurité réseau et détection d’intrusion Filtrer, inspecter et repérer le trafic malveillant.

Aucun pare-feu avec sonde de détection Rien ne couvre ce domaine aujourd’hui.

Un pare-feu avec sonde de détection, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un pare-feu avec sonde de détection, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

10 Segmentation réseau Cloisonner pour empêcher les mouvements latéraux.

Aucun cloisonnement du réseau Rien ne couvre ce domaine aujourd’hui.

Un cloisonnement du réseau, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un cloisonnement du réseau, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

11 VPN et accès distant Relier les sites, les partenaires et les nomades sans tout ouvrir.

Aucun accès distant chiffré Rien ne couvre ce domaine aujourd’hui.

Un accès distant chiffré, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un accès distant chiffré, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

12 Filtrage web et filtrage des courriels Le courriel et le web : là où presque tout commence.

Aucun filtrage des courriels et du web Rien ne couvre ce domaine aujourd’hui.

Un filtrage des courriels et du web, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un filtrage des courriels et du web, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

13 Supervision, journalisation et SIEM Voir passer l’incident pendant qu’il a lieu.

Aucun collecte centralisée des journaux Rien ne couvre ce domaine aujourd’hui.

Un collecte centralisée des journaux, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un collecte centralisée des journaux, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

14 Sécurité des terminaux (EDR / antivirus) Détecter et bloquer les maliciels là où ils s’exécutent.

Aucun protection des postes et serveurs Rien ne couvre ce domaine aujourd’hui.

Un protection des postes et serveurs, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un protection des postes et serveurs, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

15 Sécurité applicative (AppSec) Détecter les failles dans le code et les dépendances.

Aucun analyse du code et des dépendances Rien ne couvre ce domaine aujourd’hui.

Un analyse du code et des dépendances, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un analyse du code et des dépendances, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

16 Réponse à incident et renseignement sur les menaces Investiguer vite et capitaliser sur la connaissance des attaques.

Aucun procédure de réponse à incident Rien ne couvre ce domaine aujourd’hui.

Un procédure de réponse à incident, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un procédure de réponse à incident, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

17 Durcissement et conformité Couper ce qui dépasse, et pouvoir le prouver.

Aucun durcissement des configurations Rien ne couvre ce domaine aujourd’hui.

Un durcissement des configurations, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un durcissement des configurations, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

18 Gouvernance, risque et conformité (GRC) Piloter par le risque, et savoir le démontrer.

Aucun cartographie des risques Rien ne couvre ce domaine aujourd’hui.

Un cartographie des risques, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un cartographie des risques, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

19 Sensibilisation et simulation d’hameçonnage Faire des collaborateurs des capteurs, pas des coupables.

Aucun programme de sensibilisation Rien ne couvre ce domaine aujourd’hui.

Un programme de sensibilisation, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un programme de sensibilisation, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

20 Sauvegarde et résilience Se relever d’un rançongiciel ou d’une panne majeure.

Aucun sauvegarde testée Rien ne couvre ce domaine aujourd’hui.

Un sauvegarde testée, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un sauvegarde testée, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

21 Continuité d’activité (PCA/DRP) Redémarrer, et savoir en combien de temps.

Aucun plan de continuité Rien ne couvre ce domaine aujourd’hui.

Un plan de continuité, mais peu ou pas exploité Installé puis oublié : personne ne regarde ce qu’il produit.

Un plan de continuité, utilisé régulièrement Quelqu’un le consulte, l’entretient et agit dessus.

Plusieurs outils, réellement exploités Le domaine est couvert sous plusieurs angles et suivi.

Plusieurs outils, intégrés et revus Alertes branchées, procédures écrites, revue au moins annuelle.

Je ne sais pas à quoi sert ce domaine Réponse parfaitement acceptable — le chapitre est là pour ça.

Les domaines laissés vides sont exclus du calcul plutôt que comptés à zéro.