Mener une analyse d'écarts entre deux référentiels, avec suivi

Chaque deuxième référentiel commence par la même question : combien de cela avons-nous déjà ? Une analyse d'écarts y répond. Mal menée, elle produit un tableur qui indique « partiellement conforme » pour tout et qu'on n'ouvre plus jamais. Bien menée, elle produit une liste chiffrée de tâches avec des responsables. Voici la méthode que nous recommandons.

Étape 1 : fixer le périmètre et le sens

Une analyse d'écarts a un sens : disposer d'un référentiel (ou de vos mesures actuelles), devoir respecter un autre. Notez les deux, avec leurs versions, ainsi que le périmètre de l'organisation : quelle entité, quels services et quels sites. Les analyses d'écarts échouent le plus souvent parce que les deux périmètres ne coïncident pas, par exemple un certificat ISO couvrant une seule gamme de produits, comparé à une obligation NIS2 portant sur l'ensemble de l'entité.

Étape 2 : générer la comparaison exigence par exigence

Partez d'une correspondance, pas d'une feuille blanche. L'analyse d'écarts de ControlMapping liste chaque exigence du référentiel dont vous avez besoin, avec sa correspondance dans celui que vous possédez :

• établie : une correspondance publiée ou notre appréciation éditoriale la relie à un élément que vous possédez.
• faiblement liés : ils ne partagent qu'un résultat avec un élément que vous possédez. Traitez-le comme un travail probablement nouveau.
• aucune correspondance dans nos données : probablement un travail nouveau, sauf si la couverture de ce référentiel est partielle.

Par exemple, pour passer d'ISO 27001 à NIS2 :

Sur les 49 points d'exigence NIS2, 49 (100%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 0 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Étape 3 : valider les correspondances face à la réalité

Une correspondance indique que deux exigences sont liées. Elle ne dit pas que votre mise en œuvre satisfait les deux. Pour chaque ligne établie, posez-vous ces questions :

1. Faisons-nous réellement ce à quoi nous avons fait la correspondance ? Une correspondance avec ISO A.8.8 n'est utile que si votre gestion des vulnérabilités fonctionne.
2. La nouvelle exigence est-elle plus précise ? Les délais, fréquences, techniques nommées et périmètres diffèrent souvent.
3. Le lien est-il éditorial ? Vérifiez la raison affichée et décidez si vous êtes d'accord.

Marquez chaque ligne satisfaite, partiellement satisfaite ou non satisfaite. Soyez honnête : une analyse d'écarts trop indulgente ne fait que reporter la découverte à l'audit.

Étape 4 : l'exporter sous forme de tableau de suivi

Appuyez sur e dans la vue des écarts (ou sur le bouton Export CSV) pour télécharger le résultat. Chaque ligne comporte l'exigence, sa section, la correspondance, la base et la raison, ainsi que quatre colonnes vides prêtes pour le travail : responsable, statut de mise en œuvre, référence de preuve et notes. Ouvrez-le dans votre tableur ou importez-le dans votre outil GRC.

Étape 5 : transformer les lignes en travaux

• Regroupez par responsable et par thème, plutôt que par numéro d'exigence : « contrats fournisseurs » est une seule tâche qui peut clore six lignes.
• Estimez chaque groupe et séquencez-les : les changements de gouvernance et de politiques débloquent généralement le travail technique.
• Renseignez la colonne des preuves au fil de l'eau, afin que le tableau devienne votre dossier d'audit.
• Relancez l'analyse lorsque l'un des deux référentiels change ; la nôtre se met à jour avec les données.

Points clés

• Fixez d'abord le périmètre et le sens : A acquis, B à respecter, avec les versions.
• Partez d'une correspondance, puis validez chaque lien par rapport à ce que vous faites réellement.
• Exportez le résultat sous forme de tableau avec colonnes responsable, statut et preuves, et transformez les lignes en travaux regroupés.

Erreurs courantes

• Comparer à une version remplacée (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1).
• Considérer « faiblement liés » comme couvert.
• Ignorer totalement les exigences hors correspondance : les obligations légales, comme les délais de notification d'incident, figurent souvent hors de tout catalogue de mesures.

Pour des exemples détaillés, voir ISO 27001 vs NIS2 point par point et les comparaisons, chacun constituant une analyse d'écarts bidirectionnelle prête à l'emploi.

Questions

Qu'est-ce qu'une analyse d'écarts de conformité ?

Une comparaison exigence par exigence entre ce que vous faites déjà (ou le référentiel que vous respectez déjà) et les exigences d'un référentiel que vous devez respecter, qui identifie ce qui est couvert, partiellement couvert et manquant.

Combien de temps prend une analyse d'écarts ?

La correspondance peut être produite en quelques minutes avec un outil comme l'analyse d'écarts de ControlMapping. La validation par rapport à vos mesures et preuves réelles constitue le vrai travail, généralement de quelques jours à quelques semaines selon le périmètre.

Que signifie « faiblement liés » dans une analyse d'écarts ?

Les deux exigences ne partagent qu'un résultat du NIST CSF 2.0 ; personne ne les a mises en correspondance directement. Considérez-les comme une piste à vérifier, et généralement comme un travail nouveau, et non comme une couverture.