GRC en Belgique : pourquoi Identify est la base de la cyber-résilience

Dans de nombreuses organisations, la cybersécurité est encore perçue comme un domaine technique: quelque chose qui relève de l’IT, piloté par des outils et traité uniquement lorsque nécessaire. Avec NIS2, cette approche ne suffit désormais plus.

Pour rendre cela concret, nous décomposons NIS2 en six piliers clés qui définissent une stratégie de cybersécurité résiliente :

• Govern
• Identify
• Protect
• Detect
• Respond
• Recover

Chacun de ces piliers joue un rôle essentiel dans le renforcement de la résilience des organisations.

Cet article se concentre sur IDENTIFY, le pilier qui apporte la visibilité nécessaire pour rendre chaque décision de sécurité pertinente.

Au cœur de cette visibilité, un élément s’impose : l’identité. Comprendre son environnement ne consiste plus seulement à connaître ses systèmes et ses données, mais à identifier clairement qui - ou quoi - interagit avec eux.

1. Identify : transformer la complexité en clarté

Avant de pouvoir protéger, détecter ou réagir, une organisation doit d’abord comprendre son environnement.

IDENTIFY est la fonction qui transforme un environnement complexe, souvent fragmenté, en une vue structurée et exploitable.

Elle répond à des questions fondamentales telles que :

• Sur quels actifs reposons-nous ?
• Où se situent nos systèmes et processus critiques ?
• Comment les données circulent-elles dans l’organisation ?
• Quelles dépendances peuvent impacter nos opérations ?
• Qui (ou quoi) a accès à ces systèmes ?

Sans réponses claires à ces questions, la cybersécurité repose sur des hypothèses plutôt que sur des faits.

👉 On ne peut pas protéger ce que l’on ne comprend pas.

2. L’identité comme dimension centrale d’Identify

Lorsque l’on pense à IDENTIFY, on pense souvent aux actifs : serveurs, applications, données et infrastructures.

Mais une autre dimension est tout aussi essentielle : l’identité.

Chaque interaction dans votre environnement est liée à une identité :

• Des utilisateurs accédant aux systèmes
• Des administrateurs gérant les environnements
• Des applications communiquant entre elles
• Des processus automatisés exécutant des tâches

IDENTIFY ne se limite donc pas à cartographier ce qui existe, mais aussi qui - et/ou quoi - interagit avec ces éléments.

L’identité devient ainsi une couche essentielle pour construire une vision complète et fiable de l’organisation.

👉 La visibilité ne concerne pas uniquement les actifs, mais aussi les accès.

3. Élargissement du périmètre : au‑delà de l’IT et des frontières organisationnelles

L’un des changements majeurs introduits par NIS2 concerne le périmètre.

IDENTIFY ne se limite plus aux environnements IT traditionnels. Il englobe également :

• Les technologies opérationnelles (OT)
• Les processus physiques et les installations
• Les plateformes cloud et les environnements partagés
• Les fournisseurs et partenaires externes

Il dépasse aussi les frontières organisationnelles et géographiques.

Les plateformes partagées, les environnements internationaux et les services externalisés introduisent des dépendances qui doivent être identifiées et documentées.

Cela inclut notamment :

• Les systèmes et flux de données transfrontaliers
• Les plateformes d’identité partagées entre entités
• Les environnements hébergés à l’extérieur
• Les accès tiers aux systèmes critiques

Du point de vue du risque, l’impact est plus important que la propriété.

👉 Si cela peut affecter votre continuité, alors cela fait partie de votre périmètre.

4. Des hypothèses à une vision basée sur le risque

IDENTIFY ne consiste pas uniquement à dresser un inventaire. Il s’agit de transformer l’information en insight.

Cela implique :

• D'identifier les actifs et processus critiques
• De comprendre les dépendances entre systèmes
• De cartographier les flux de données et les accès
• D'évaluer les vulnérabilités et les menaces potentielles

Ici encore, l’identité joue un rôle clé.

Les risques ne sont pas seulement liés aux systèmes, mais aussi à la manière dont les accès sont accordés, utilisés et gérés.

👉 En combinant la visibilité des actifs et celle des identités, les organisations passent d’une connaissance fragmentée à une vision structurée et orientée risque.

5. Les cinq domaines d’IDENTIFY

Pour structurer cette visibilité et la rendre exploitable, IDENTIFY repose sur cinq domaines interconnectés.

Ces domaines permettent non seulement de cartographier les actifs et les risques, mais aussi de comprendre comment les identités et les accès sont gérés au sein de l’organisation.

5.1 Asset Management (ID.AM)

Les organisations doivent disposer d’un inventaire complet de leurs actifs : matériel, logiciels, données, utilisateurs, plateformes cloud, composants OT et systèmes externes.

Cela inclut également la compréhension des interactions, des dépendances et des éléments critiques.

Sans cette base, toute décision de sécurité devient approximative.

5.2 Governance (ID.GV)

IDENTIFY définit également la manière dont la cybersécurité est organisée.

Cela inclut les politiques, les responsabilités et la traduction des exigences réglementaires dans les opérations quotidiennes.

Une gouvernance claire réduit les zones d’ombre et garantit une application cohérente des mesures de sécurité.

5.3 Risk Assessment (ID.RA)

L’analyse des risques donne du sens à la visibilité.

En évaluant les menaces, les vulnérabilités, l’impact et la probabilité, les organisations identifient leurs risques réels.

Cela permet de prioriser efficacement les actions.

5.4 Risk Management Strategy (ID.RM)

Une fois les risques identifiés, il faut décider comment les gérer.

Cela inclut la définition de l’appétence au risque, la priorisation et l’intégration de décisions basées sur le risque dans l’organisation.

Une stratégie claire aligne les mesures techniques avec les objectifs business.

5.5 Supply Chain Risk Management (ID.SC)

Les organisations modernes dépendent fortement de partenaires externes.

IDENTIFY s’étend donc à l’ensemble de l’écosystème.

Car au final : Votre sécurité est aussi solide que le maillon le plus faible de votre chaîne.

6. La réalité : là où Identify montre souvent ses limites

Dans la pratique, de nombreuses organisations rencontrent des difficultés avec IDENTIFY.

Parmi les défis fréquents :

• Inventaires d’actifs incomplets ou obsolètes
• Manque de visibilité sur les accès
• Dépendances mal comprises
• Faible visibilité sur les risques liés aux tiers
• Absence de démarche structurée d’identification des risques

Ces lacunes compliquent la priorisation et augmentent les angles morts.

👉 En cybersécurité, les angles morts sont là où les risques s’accumulent.

7. Construire une base Identify efficace

Une fonction IDENTIFY solide apporte clarté, structure et direction.

Les organisations alignées avec NIS2 :

• Maintiennent un inventaire complet et à jour
• Cartographient clairement les identités et les accès
• Comprennent les dépendances IT, OT et externes
• Évaluent les risques de manière structurée
• Adaptent en continu leur vision de l’environnement

Elles construisent ainsi une base solide pour toutes les autres fonctions de cybersécurité.

👉 Lorsque la visibilité est claire, les décisions deviennent plus simples et plus pertinentes.

La clarté comme fondement de la sécurité

Comment Easi accompagne votre démarche GRC