Créer et paramétrer son profil de défense – Citalid

Définition : Un profil de défense décrit le niveau de mise en place des mesures de sécurité d’un périmètre (cadre de référence, contrôles, niveau de maturité). Il sert d’intrant principal pour contextualiser le calcul de susceptibilité et, plus largement, l’analyse de risque (scénarios, résultats et recommandations).

Cas d’usage : Je souhaite évaluer la maturité défensive de mon périmètre.

Par défaut, deux profils de défense co-existent automatiquement par périmètre modélisé :

Un profil dit de “Risque Brut”, pour lequel tous les contrôles sont évalués au degré 0. Ce profil n’est pas modifiable, et représente un état de l’organisation sans mesure défensive, sans aucune maturité de sécurité. Il permet notamment d’appréhender un état du risque brut.

Un profil de défense appelé “Aujourd’hui”, ayant pour vocation de représenter l’état actuel de la maturité défensive du périmètre sélectionné. Il constitue le profil de défense “principal”, celui sur lequel repose l’analyse. Par défaut, il n’est pas configuré (maturité défensive à 0) et constitue donc le profil à renseigner en priorité.

Pour accéder à ces deux profils, il suffit de cliquer le menu “Roll-down”, pour faire apparaître la liste des profils de défense.

En sélectionnant directement le profil de défense, l’interface évoluera pour faire apparaître un ensemble d’indicateurs, dont le détail sera traité dans d’autres sections de ce guide : link.

En cliquant sur l’icône d’édition ( 🖊️ ), vous pourrez accéder à la page de paramétrage du profil de défense. Cette interface se décompose en deux onglets. Le premier onglet offre trois possibilités :

Décrire le profil de défense via un champ textuel libre (il est par exemple possible de renseigner le rationnel derrière certains choix) ;

Copier la maturité défensive depuis un autre profil déjà existant via un bouton ;

Valider le rattachement du profil de défense au périmètre adéquat

Évaluation (étape 2)

L'étape Evaluation permet de définir un niveau de maturité sur un ou plusieurs biens supports, préalablement modélisés lors de l’étape de configuration du périmètre.

En sélectionnant l’un des biens supports du graphe, une interface déroulante de paramétrage apparaît.

Évaluer plusieurs assets en une fois

Il est possible d’évaluer les biens supports individuellement ou collectivement. Pour n’évaluer qu’un seul bien support à la fois, sur un référentiel donné, il convient de ne sélectionner que le bien support souhaité dans le champ “Appliquer aux biens supports”.

Pour industrialiser l’évaluation ou la mise à jour :

sélectionner plusieurs assets dans le sélecteur,

appliquer un niveau en masse (simplifié ou détaillé),

contrôler que les modifications n’impactent pas les assets non sélectionnés.

Sélectionner un framework/référentiel de sécurité

Le référentiel structure les contrôles et conditionne :

les écrans de saisie (catégories, contrôles, niveaux),

la qualification des différents contrôles et des différentes catégories de contrôle ;

la lecture des résultats (comparaison, recommandations, trajectoires).

Ainsi, il existe plusieurs référentiels de sécurité disponibles dans la plateforme Citalid, chacun d’eux pouvant être dédié à un cas d’usage spécifique.

Le choix du référentiel de sécurité peut relever de plusieurs critères :

Sa couverture : les catégories de contrôle présentes sont exhaustives et complètes ;

Son universalisme : de nombreuses autres organisations utilisent ce référentiel pour s’évaluer, facilitant les capacités de “benchmark” ;

Sa spécificité : certains référentiels sont particulièrement adaptés à certains contextes géographiques ou sectoriels ;

Son accessibilité : certains référentiels sont plus simples à initialiser. Par ailleurs, certains utilisateurs retrouveront des référentiels dont l’évaluation a déjà été réalisée par une entité tierce dans le cadre d’un audit. Il peut donc sembler intéressant de repartir de cette évaluation existante pour paramétrer rapidement l’interface Citalid ;

Évaluer sa maturité

Une fois le référentiel de sécurité sélectionné, la liste des contrôles associés à ce référentiel apparaît. Il est dès lors possible de saisir la maturité souhaitée pour chaque contrôle. L’évaluation, sous a forme la plus simple, est réalisée par le positionnement d’un curseur sur une jauge allant de 0 à 100. La méthode d’évaluation suggérée par Citalid repose sur le référentiel CMMI, lequel définit 5 niveaux de maturité :

10% : Initial

Le processus est caractérisé comme étant ad hoc et parfois même chaotique. Peu de processus sont définis et le succès dépend des efforts individuels.

30% : Discipliné

Le processus est planifié et exécuté conformément à une politique; il emploie des personnes qualifiées qui ont des ressources adéquates pour produire des résultats contrôlés; il implique les tiers concernés; il est surveillé, contrôlé et revu; et il est évalué pour son adhérence à la description du processus.

50% : Ajusté

Le processus est caractérisé par un ensemble de processus standard définis et documentés, établis et améliorés au fil du temps. Ces processus standard sont utilisés pour établir la cohérence à travers l'organisation.

70% : Géré quantitativement

Le processus est contrôlé en utilisant des techniques statistiques et autres techniques quantitatives. Des objectifs quantitatifs pour la qualité et la performance des processus sont établis et utilisés comme critères dans la gestion du processus.

90% : En optimisation

Le processus est continuellement amélioré en se basant sur une compréhension quantitative des causes communes de variation inhérentes aux processus. L'accent est mis sur l'amélioration continue de la performance des processus par des améliorations technologiques à la fois incrémentales et innovantes.

Déterminer le bon niveau de détail / réponses détaillées

Dans une logique d’adaptation à différents cas de figure, la plateforme Citalid propose plusieurs niveaux de paramétrage de la maturité défensive. La dichotomie “Simplifiée/Détaillée” peut dès lors être retrouvée à différentes étapes du paramétrage, pour assurer une cohérence avec les besoins de l’utilisateur.

Au niveau des assets

Simplifiée : un niveau global pour l’ensemble des biens supports. Tous les biens supports sont évalués en même temps, sur le même référentiel, avec les mêmes contrôles ;

Détaillée : un niveau de maturité par bien support, tenant compte de ses spécificités propres (si elles existent) ;

Au niveau des contrôles

Simplifiée : évaluation de la maturité par catégorie de contrôle, ce qui limite le nombre d’objets à évaluer, mais diminue la précision ;

Détaillée : un niveau des contrôles directement ;

📌

Nota Bene : Les catégories et les contrôles qu’elle contient sont interdépendants. Cela sous-entend que lorsqu’une catégorie est évaluée directement (méthode simplifiée), tous les contrôles qu’elle intègre auront le même score d’évaluation. A l’inverse, dans le cas où ce sont directement les contrôles qui sont évalués (méthode détaillée), alors le score de la catégorie constituera la moyenne des scores des contrôles.

Au niveau des formats de réponse

Simplifiée : méthode d’évaluation standard par positionnement d’un curseur sur une note allant de 0 à 100 ;

Détaillée : méthode d’évaluation détaillée par évaluation, pour chaque contrôle, de 4 catégories (Politique, Mise en œuvre, Automatisation, Reporting) sur 5 niveaux possibles ;

Exclusion

Certains contrôles (ou catégories) peuvent être déclarés non applicables : ils seront dès lors exclus du calcul. Cela est possible en décochant la “checkbox” préfaçant chaque contrôle.

Utiliser un connecteur (ex : Microsoft Secure Score, Tenacy)

La plateforme Citalid propose plusieurs connecteurs avec des applications externes permettant de collecter automatiquement des scores d’évaluation en provenance d’autres outils déployés dans l’organisation des utilisateurs. Une fois le connecteur sélectionné, différentes étapes de paramétrage apparaissent à l’écran.

Cette évaluation peut constituer le profil de défense principal ou un profil de défense additionnel, agissant comme complément d’information au profil principal. Il est toutefois important de noter qu’il n’est pas possible de cumuler deux types d’évaluation pour un même bien support pour un même profil de défense.

Un connecteur permet de pré‑remplir une partie des contrôles à partir d’une source externe (posture / vulnérabilités).

Bonnes pratiques :

vérifier la couverture (tous les contrôles ne sont pas forcément alimentés),

contrôler les écarts entre “réalité terrain” et “score remonté”.

Ajouter des notes et tracer les décisions

Il est possible d’ajouter des commentaires pour documenter ou rationnaliser une évaluation, au niveau d’un contrôle exclusivement. En cliquant sur l’icône située à la fin du titre de contrôle, un champ textuel libre apparaîtra.

🧠

Il peut être utile d’utiliser les notes pour tracer :

la source (atelier, audit, outil),

la date et le responsable,

l’hypothèse si une mesure est “partiellement en place”.

Importer / exporter en CSV

La plateforme Citalid propose une capacité d’import et d’export des évaluations de maturité au format CSV.

L’import/export CSV permet :

d’alimenter rapidement un profil (initialisation),

de garder une trace de travail hors outil,

de partager un état à une équipe interne (RSSI, audit, etc.).

Processus de travail

1) Télécharger un export CSV (format attendu).

2) Remplir / compléter hors plateforme.

3) Ré‑importer le CSV.

4) Contrôler dans l’interface (notamment les non‑applicables et les notes).

Sauvegarde

Le formulaire peut proposer :

une sauvegarde automatique régulière (toutes les 2 minutes) ;

une sauvegarde manuelle en cliquant sur le bouton “Envoyer” ;

🧠

En cas de saisie détaillée longue, privilégier les sessions courtes et valider régulièrement.

Récapitulatif du processus de création de son profil de défense

1) Ouvrir le périmètre concerné puis accéder à l’espace Profils de défense.

2) Cliquer sur l’action d’édition du profil principal/courant (”Aujourd’hui”).

3)Sélectionner le ou les biens support / assets sur lesquels le profil s’applique.

4) Choisir le référentiel (benchmark) à utiliser (ex : CIS, NIST, référentiel personnalisé si disponible).

5) Renseigner le niveau de défense :

soit en mode simplifié (niveau global),

soit en mode détaillé (niveau par catégories/contrôles).

6) Enregistrer : le profil devient la référence “as‑is” pour les calculs d’analyse de risque.