L’essentiel du temps d’une évaluation ne se passe pas sur site, et ne se passe pas à décider si un contrôle est en place. Il se passe à ouvrir des fichiers. Un premier Report on Compliance pour une société de paiement a produit, dans ses quatre derniers jours, six versions d’un standard et cinq de deux autres, et c’est des notes de revue de cette mission que viennent ces règles.
Respectez l’intitulé
Chaque demande de preuve dit quel type de chose elle attend : un export de configuration, un compte rendu de revue daté, une capture d’un réglage précis, une politique. Quand la case contient ce type de fichier, nous le revoyons en quelques minutes. Quand elle contient quelque chose d’approchant, une page de garde, une diapositive, un courriel disant que la chose existe, nous l’ouvrons, constatons que ce n’est pas ce qui était demandé, et rédigeons une note pour redemander. Lisez la demande avant de choisir le fichier.
Une seule version, la version en vigueur
Soumettez une version d’un document, celle qui est en vigueur, avec une date et un numéro de version. Six versions d’un standard réseau en quatre jours ne montrent pas de la diligence. Elles montrent que le document était en cours de rédaction pendant l’évaluation, et c’est en soi un constat, parce qu’un standard qui n’existait pas pendant l’essentiel de la période ne peut pas avoir été suivi pendant l’essentiel de la période.
Annotez les exports bruts
Un export de règles de pare-feu de quatre cents lignes ne prouve rien tant que personne ne désigne les lignes qui comptent. Surlignez les règles qui servent l’exigence. Ajoutez une phrase : ces trois règles restreignent le trafic entrant vers l’environnement des données de cartes à ces sources. L’évaluateur peut vérifier une affirmation. Il ne peut pas deviner ce que vous vouliez affirmer.
L’évaluateur peut vérifier une affirmation. Il ne peut pas deviner ce que vous vouliez affirmer.
Dites-le quand vous ne l’avez pas
Si vous n’avez pas ce qui est demandé, dites-le. Un écart déclaré est plus rapide pour nous deux qu’un fichier que nous devons ouvrir pour l’écarter. C’est aussi, curieusement, mieux pour vous. Un écart que vous avez nommé est un écart avec un responsable et un plan. Un écart que vous avez recouvert d’un document sans rapport est un écart que nous trouvons quand même, deux semaines plus tard, avec moins de temps pour le fermer.
Soumettez une fois par exigence
Rassemblez les preuves d’une exigence, vérifiez-les par rapport à la demande, puis soumettez-les une fois. Une exigence qui reçoit cinq envois partiels en trois semaines est revue cinq fois, et chaque revue commence par comprendre ce qui a changé depuis la précédente. Un envoi complet est revu une fois.
Un responsable nommé par constat
Chaque constat ouvert a besoin d’une personne dont le nom figure à côté, qui sait ce qui le fermerait et qui fait le travail. Les constats portés par une équipe, un service ou « l’informatique » restent ouverts. Les constats portés par Marie se ferment.
Ce que l’on fait de travers
On classe pour l’exhaustivité plutôt que pour la pertinence. Sous pression, l’instinct est d’envoyer tout ce qui pourrait aider. L’effet est d’enterrer le seul fichier qui aide.
On croit que le document est le contrôle. La preuve qu’un contrôle est défini est la moitié facile. La preuve qu’il a fonctionné, pendant la période, sur les systèmes du périmètre, est ce que l’exigence demande, et c’est généralement un journal, un ticket ou un enregistrement daté, pas une politique.
On corrige et on documente la même semaine. Un contrôle activé la veille de la collecte des preuves n’a pas d’historique. Activez-le, laissez-le tourner, puis collectez les preuves qu’il a produites.