Gouvernance, Risque et Conformité (GRC) — Sensibilisation Essentielle

Objectifs d'apprentissage

Gouvernance : les décisions qui définissent l'orientation
Risque : identifier, mesurer, accepter ou traiter
Conformité : répondre aux exigences réglementaires et contractuelles

Gouvernance : les décisions qui définissent l'orientation

La gouvernance en cybersécurité désigne l'ensemble des politiques, rôles, responsabilités et processus de prise de décision. Elle répond aux questions : qui décide des investissements sécurité ? Qui est responsable en cas d'incident ? Quels sont les seuils d'approbation des risques ? Sans gouvernance claire, la sécurité reste un effort téchnique sans ancrage stratégique.

🔔 À retenir : 🔔 La gouvernance ne signifie pas bureaucratie. Même une PME de 20 employés peut formaliser en 2 pages : qui est responsable de quoi, quand réagir, qui décide.

Risque : identifier, mesurer, accepter ou traiter

La gestion des risques en GRC suit un cycle : identification des actifs et menaces, analyse d'impact (probabilité x gravité), décision (accepter, réduire, transférer par assurance, éviter), surveillance continue. L'appétit pour le risque doit être défini par la direction, pas seulement par l'IT.

⚠ Attention : ⚠ Le risque résiduel (après contrôles) doit être formellement accepté par la direction. Une signature de la part du DG ou du conseil d'administration sur le registre des risques est une bonne pratique.

Conformité : répondre aux exigences réglementaires et contractuelles

La conformité couvre les obligations légales (Loi 25 au Québec, RGPD en Europe), sectorielles (PCI-DSS pour les paiements, HIPAA pour la santé) et contractuelles (clauses sécurité des clients). Elle ne suffit pas à elle seule : une organisation peut être conforme PCI-DSS et se faire pirater si elle n'applique pas la sécurité avec intelligence.

✓ Bonne pratique : ✓ La conformité est un plancher, pas un plafond. Utilisez-la comme point de départ et complétez avec les CIS Controls ou le NIST CSF pour une sécurité réelle.

Checklist pratique

Je peux définir la gouvernance, le risque et la conformité en termes non techniques

Je comprends pourquoi les trois doivent être alignés

Je sais ce que signifie « appétit pour le risque » et qui le définit

Votre progression est sauvegardée localement dans votre navigateur.

Points clés à retenir

Gouvernance = qui décide et est responsable. Risque = probabilité x impact. Conformité = exigences externes
L'appétit pour le risque doit être défini par la direction, formalisé et signé
La conformité est un plancher, pas un plafond de sécurité
Sans GRC, la sécurité reste réactive et sans ancrage stratégique