Evaluation de la Maturité Cyber CMMI

Référentiels de maturité cyber et leurs usages

Principaux référentiels de maturité cybersécurité : NIST CSF 2.0 — 6 fonctions (Govern, Identify, Protect, Detect, Respond, Recover), 106 sous-catégories, niveaux de maturité (Tiers 1 à 4 : Partiel, Informé sur les risques, Répétable, Adaptatif). CMMC (Cybersecurity Maturity Model Certification) — 3 niveaux (Foundational, Advanced, Expert) pour les contractants de défense américains (DoD) ; Advanced et Expert exigent une certification par un C3PAO (Certified Third-Party Assessor Organization). C2M2 — 10 domaines, MIL0 à MIL3 — adapté aux secteurs de l'énergie, eau, et transports (OIV français). BSIMM — 4 domaines de sécurité applicative, mesure des activités réelles pratiquées (versus visées).

ISACA CMMI pour la sécurité s'appuie sur le modèle COBIT 2019 : chaque processus COBIT est évalué sur une échelle de 1 (Initial) à 5 (Optimisé). Des organisations ISO 27001 peuvent réaliser une évaluation COBIT pour identifier les processus de gouvernance IT et sécurité les moins matures et prioriser leurs investissements d'amélioration.

Conduite d'une évaluation de maturité cyber

Une évaluation de maturité cyber se déroule en plusieurs phases : (1) Cadrage — définition du périmètre (ensemble de l'organisation ou entité spécifique), du référentiel utilisé, et des objectifs de l'évaluation ; (2) Collecte d'informations — entretiens avec les parties prenantes clés (RSSI, DSI, DPO, responsables métier), revue de la documentation (politiques, procédures, configurations), et éventuellement tests techniques ; (3) Analyse et scoring — attribution d'un niveau de maturité pour chaque domaine ou sous-catégorie selon le référentiel ; (4) Plan d'action — définition des actions d'amélioration prioritaires, avec estimation d'effort et de coût ; (5) Benchmark — comparaison du niveau de maturité avec des pairs sectoriels si des données de référence sont disponibles.

La fréquence recommandée : une évaluation complète tous les 2-3 ans, avec des évaluations ciblées annuelles sur les domaines les moins matures. Certaines réglementations imposent des évaluations périodiques : DORA impose des tests de résilience opérationnelle numérique (dont TLPT pour les entités systémiques), NIS2 impose des audits de sécurité réguliers pour les entités essentielles.

Plan d'amélioration et gouvernance de la maturité

Les résultats d'une évaluation de maturité doivent produire un plan d'amélioration concret, pas seulement un rapport de constat. Le plan doit prioriser les actions selon leur impact sur la réduction des risques et leur faisabilité : action rapide (quick wins — contrôles simples à fort impact, ex. : activer la MFA), amélioration à moyen terme (projets de 3-12 mois — ex. : déploiement d'un SIEM), et transformations à long terme (12-36 mois — ex. : refonte de l'architecture réseau, programme de gouvernance de la donnée).

La maturité cyber doit être gouvernée comme une progression continue : chaque évaluation devient une baseline à améliorer, pas un état statique. Le RSSI présente les progrès de maturité au comité de direction ou au conseil d'administration (conformément à NIS2 article 20 qui impose la responsabilité de la direction sur la cybersécurité), avec des indicateurs de maturité clairs et compréhensibles par des non-spécialistes.