La gouvernance, la gestion des risques et la conformité (GRC) en matière de sécurité de l’information constituent la discipline qui définit la manière dont une organisation protège ses informations, vérifie l’efficacité de cette protection et en apporte la preuve à des tiers. Une équipe GRC ne configure généralement pas de pare-feu et ne rédige pas de code ; elle définit des orientations, évalue les menaces et rassemble des preuves.
Cette discipline est essentielle, car les outils de sécurité ne suffisent pas à instaurer la confiance. Les clients exigent des preuves, les régulateurs attendent de la rigueur et les dirigeants doivent savoir quels risques justifient un investissement. La GRC transforme le travail technique en décisions et en documents de référence fiables.
Chaque lettre de l’acronyme GRC correspond à une question spécifique :
Ensemble, ces composantes génèrent de l’assurance, c’est-à-dire une confiance fondée sur la certitude que des mesures de contrôle existent et fonctionnent efficacement. Associons chaque domaine aux livrables qu’il produit généralement :
La fonction GRC ne prend que rarement en charge l’exécution directe des tâches qu’elle supervise. Elle dépend d’autres équipes pour leur réalisation ; les relations interpersonnelles sont donc au cœur de ce métier.
Prenons l’exemple des revues d’accès, au cours desquelles les managers confirment quels utilisateurs ont encore besoin d’accéder à quels systèmes. La GRC définit les exigences et suit l’avancement du processus. L’équipe informatique gère la procédure et extrait les listes d’utilisateurs. Les équipes d’ingénierie ajustent les accès dans leurs propres systèmes. Les services juridique et de protection des données (Privacy) conseillent sur les obligations relatives aux données. L’audit interne vérifie ultérieurement que l’opération a bien été effectuée. Le service des achats fait intervenir des prestataires soumis aux mêmes exigences de contrôle. Voici comment se répartissent les responsabilités pour ce contrôle spécifique :