4.3 Amélioration continue (ID.IM)

Objectif de la catégorie

Cette catégorie garantit que l’organisation analyse ses retours d’expérience, ses incidents et ses tests pour améliorer ses processus de cybersécurité de manière proactive et continue.

Success

L’amélioration continue est le cœur d’un système de cybersécurité mature et évolutif.

---

ID.IM-01 : Identification des améliorations via les évaluations

• Exploiter les résultats :
  • Audits internes et externes
  • Tests de conformité
  • Revue des KPI/KRI
• Générer une liste d’actions d’amélioration
• Formaliser dans un plan de progrès (revue SSI, POA&M)

---

ID.IM-02 : Tests et exercices de sécurité (internes et avec tiers)

• Réalisation périodique de :
  • Tests d’intrusion (interne/externe)
  • Scénarios de phishing
  • Exercices de gestion de crise avec les métiers et les prestataires
• Exploitation des résultats pour affiner la posture de sécurité

Example

Une simulation de ransomware avec un fournisseur critique révèle l’absence de procédure de contact d’urgence → ajout immédiat.

---

ID.IM-03 : Retours issus des opérations quotidiennes

• Inclure :
  • Tickets helpdesk récurrents
  • Remontées métiers sur les irritants de sécurité
  • Alertes des outils SIEM, EDR, IDS
• Identifier les irritants pour l’utilisateur et ajuster le niveau de contrôle en fonction du risque réel

Tip

Un contrôle de sécurité inutilement contraignant pousse à son contournement → réévaluation nécessaire.

---

ID.IM-04 : Mise à jour des plans de réponse et autres documents SSI

• Plans concernés :
  • PRA/PCA, réponse aux incidents, plans de communication de crise
• Déclencheurs :
  • Incident réel
  • Changements de contexte
  • Évolutions techniques ou juridiques
• Gestion documentaire : versioning, validation, diffusion formelle

---

Synthèse opérationnelle

Élément	Bonnes pratiques
Audits / évaluations	Génèrent POA&M + actions tracées
Tests et exercices	1/an minimum + analyse systématique des résultats
Feedback terrain	Canaux ouverts, revue régulière avec le RSSI
Plans SSI	Révisés après incident ou 1x/an minimum