Nos deux articles précédents traitent du cadre : la loi 05-20 et ses obligations, puis les dix domaines de la DNSSI v2 et ce qu'ils changent par rapport à la v1. Celui-ci porte sur l'exécution. Comment une organisation passe d'un texte à un dossier défendable, dans quel ordre, et à quel rythme.
Commencer par un diagnostic mesuré, pas déclaré
Le premier réflexe consiste à faire remplir un questionnaire d'auto-évaluation par les équipes. Il produit un état des lieux optimiste, et l'écart apparaît à l'audit.
La méthode qui tient repose sur trois sources croisées pour chaque exigence : ce que dit la procédure, ce que montre la configuration, et ce que confirme un échantillon d'exécutions. Une exigence n'est satisfaite que si les trois concordent. Ce niveau d'exigence paraît coûteux au départ ; il évite de découvrir en fin de parcours que la moitié des mesures déclarées ne sont pas appliquées.
La sortie du diagnostic n'est pas un pourcentage global. C'est une liste d'écarts, chacun avec son exigence de rattachement, sa cause et son porteur. Un taux de conformité agrégé ne se corrige pas ; un écart nommé, si.
Séquencer par dépendance, pas par facilité
L'erreur d'ordonnancement la plus courante consiste à traiter d'abord ce qui est simple, ce qui laisse pour la fin les mesures dont tout le reste dépend.
Quatre chantiers conditionnent les autres et se traitent en premier.
L'inventaire des actifs. Aucune mesure ne se démontre sur un périmètre inconnu. Un inventaire incomplet borne mécaniquement la valeur de tout ce qui suit.
La classification. Sans elle, les exigences de protection des données et de contrôle d'accès ne sont pas évaluables, puisque rien ne dit ce qui mérite quelle protection.
La gouvernance. Le comité, ses attributions, la fréquence de ses réunions et ses traces de décision. C'est ce que l'auditeur regarde en premier, et c'est ce qui se rattrape le moins bien : on ne reconstitue pas six mois de comptes rendus.
L'organisation des responsabilités. Le responsable de la sécurité des systèmes d'information désigné, son rattachement, ses moyens. Une désignation sans rattachement ni moyens ne convainc pas.
Le reste vient ensuite : contrôle d'accès, journalisation, gestion des incidents, continuité, sécurité des développements, relations avec les tiers.
Constituer le dossier au fil de l'eau
Le dossier ne se rédige pas à la fin. Chaque mesure mise en place produit sa preuve au moment où elle est mise en place, et cette preuve porte sa date réelle.
C'est le point qui distingue les dossiers solides. Une revue d'accès trimestrielle démontrée par quatre documents créés le même jour ne démontre rien : elle prouve qu'on a produit quatre documents. La même revue avec quatre traces espacées de trois mois, portant des décisions différentes, se défend seule.
Trois familles de preuves sont demandées à chaque fois. Les documents d'organisation : politique, procédures, désignations, comptes rendus de comité. Les preuves de configuration : extraits d'état des systèmes concernés. Les preuves d'exécution : traces montrant que le contrôle a tourné et ce qu'il a produit, y compris quand il a détecté quelque chose.
La troisième famille est la plus rare dans les dossiers et la plus déterminante.
Préparer l'audit
Trois vérifications valent d'être faites avant, chacune ayant coulé des audits.
La cohérence entre les documents. La politique, l'analyse de risque et le plan de traitement doivent se répondre. Une mesure présente dans le plan mais absente de l'analyse de risque signale que le plan a été écrit indépendamment.
Le périmètre. Il doit correspondre à l'activité réelle au moment de l'audit. Une acquisition, une migration ou un nouveau service non intégrés au périmètre créent un écart immédiat.
Les preuves accessibles. Savoir où se trouve chaque preuve, et pouvoir la produire pendant l'audit. Un dossier complet dont les éléments sont dispersés entre quatre équipes se présente mal.
Une répétition à blanc, où quelqu'un joue l'auditeur et demande des preuves au hasard, révèle en une journée ce que six mois de préparation ont laissé passer.
Tenir la conformité après
C'est là que la plupart des organisations décrochent. Le dossier est constitué, l'audit est passé, l'équipe passe à autre chose, et l'année suivante tout est à refaire.
Trois habitudes suffisent à l'éviter. Rattacher chaque contrôle à une fréquence d'exécution et suivre la date de la dernière exécution, ce qui rend le décrochage visible avant qu'il ne soit ancien. Intégrer la revue du périmètre aux changements structurants, plutôt qu'à une échéance annuelle. Et traiter les écarts détectés en interne comme les écarts d'audit, avec porteur et échéance.
Le signal d'alerte le plus fiable est simple à surveiller : la part des contrôles dont la dernière preuve a plus de deux fois leur période d'exécution. Quand elle monte, le dispositif s'éteint, en silence.
Articulation avec les autres cadres
Une organisation marocaine travaillant avec des clients européens porte souvent plusieurs exigences en parallèle. Les domaines de la DNSSI recouvrent largement l'annexe A d'ISO 27001, et les obligations de gestion des risques et d'incidents rejoignent celles de NIS2 pour les entités qui y sont soumises par leurs activités en Europe.
Construire un référentiel de contrôles unique, rattaché à plusieurs cadres, évite d'entretenir des dossiers parallèles qui divergent au premier changement.
Ce que Zaxyr apporte
Zaxyr rattache chaque exigence de la DNSSI v2 aux contrôles qui la couvrent et collecte leurs preuves à leur rythme d'exécution, avec leur date réelle. Les contrôles dont la preuve a vieilli au-delà de leur période sont signalés avant l'audit, et un même contrôle sert simultanément la DNSSI, ISO 27001 et NIS2 sans collecte séparée.