Généralités
Le tout-venant, ce sont les sollicitations imprévues du RSSI, provenant de différentes
personnes et nécessitant selon les cas un traitement plus ou moins urgent. Leur arrivée est
par nature chaotique (au sens mathématique du terme), c’est-à-dire qu’on ne peut pas les
prévoir. Aussi, plusieurs semaines peuvent s’écouler sans qu’aucune demande n’arrive,
puis elles peuvent se cumuler en seulement quelques jours. Cette imprévisibilité est très
inconfortable.
Exemple
Un exemple typique de « tout-venant » est la demande d’un chef de projet d’autoriser un échange réseau
entre un serveur du SI et un serveur externe.
Ces demandes sont généralement mal perçues par le RSSI car elles sont autant de
missions à accomplir qu’il n’avait pas programmées. Il doit donc interrompre les tâches
sur lesquelles il travaille, et pour lesquelles il estime qu’il y a un enjeu, au profit de ces
petites demandes. Ainsi, en traitant le tout-venant, le RSSI n’a pas forcément
l’impression de faire progresser le niveau général de sécurité.
Si la tentation est grande de passer ces demandes non planifiées au second plan, le RSSI
doit les prendre au sérieux et les prioriser en tenant compte de plusieurs critères.
Niveau d’importance : le premier critère est naturellement le niveau d’importance de
la demande. Plus l’enjeu est grand, plus la demande sera prioritaire. Attention, nous
ne parlons pas forcément ici d’enjeu en sécurité de l’information. L’enjeu sera surtout
par rapport au projet ou au métier concerné.
Exemple
Il est clair que la gestion d’un incident de sécurité sera prioritaire sur la création d’un compte pour un
utilisateur.
Niveau d’urgence : il va sans dire qu’une demande urgente devra être traitée
rapidement et justifiera l’interruption des tâches planifiées par le RSSI. D’autres
demandes moins urgentes pourront attendre, même si elles sont importantes.
Exemple
Répondre à un auditeur est souvent plus urgent que supprimer un droit applicatif pour un utilisateur.
Pourtant, en matière de sécurité, c’est bien cette deuxième demande qui est la plus importante.
Personne sollicitant : cela peut paraître un critère très subjectif et peu important au
regard des deux précédents. Il est pourtant très important de tenir compte du
demandeur pour prioriser le traitement. Ce point sera développé plus loin dans ce
chapitre.
Le tout-venant, ce sont les sollicitations imprévues du RSSI, provenant de différentes
personnes et nécessitant selon les cas un traitement plus ou moins urgent. Leur arrivée est
par nature chaotique (au sens mathématique du terme), c’est-à-dire qu’on ne peut pas les
prévoir. Aussi, plusieurs semaines peuvent s’écouler sans qu’aucune demande n’arrive,
puis elles peuvent se cumuler en seulement quelques jours. Cette imprévisibilité est très
inconfortable.
Exemple
Un exemple typique de « tout-venant » est la demande d’un chef de projet d’autoriser un échange réseau
entre un serveur du SI et un serveur externe.
Ces demandes sont généralement mal perçues par le RSSI car elles sont autant de
missions à accomplir qu’il n’avait pas programmées. Il doit donc interrompre les tâches
sur lesquelles il travaille, et pour lesquelles il estime qu’il y a un enjeu, au profit de ces
petites demandes. Ainsi, en traitant le tout-venant, le RSSI n’a pas forcément
l’impression de faire progresser le niveau général de sécurité.
Si la tentation est grande de passer ces demandes non planifiées au second plan, le RSSI
doit les prendre au sérieux et les prioriser en tenant compte de plusieurs critères.
Niveau d’importance : le premier critère est naturellement le niveau d’importance de
la demande. Plus l’enjeu est grand, plus la demande sera prioritaire. Attention, nous
ne parlons pas forcément ici d’enjeu en sécurité de l’information. L’enjeu sera surtout
par rapport au projet ou au métier concerné.
Exemple
Il est clair que la gestion d’un incident de sécurité sera prioritaire sur la création d’un compte pour un
utilisateur.
Niveau d’urgence : il va sans dire qu’une demande urgente devra être traitée
rapidement et justifiera l’interruption des tâches planifiées par le RSSI. D’autres
demandes moins urgentes pourront attendre, même si elles sont importantes.
Exemple
Répondre à un auditeur est souvent plus urgent que supprimer un droit applicatif pour un utilisateur.
Pourtant, en matière de sécurité, c’est bien cette deuxième demande qui est la plus importante.
Personne sollicitant : cela peut paraître un critère très subjectif et peu important au
regard des deux précédents. Il est pourtant très important de tenir compte du
demandeur pour prioriser le traitement. Ce point sera développé plus loin dans ce
chapitre.