Que fait l’espace de travail Operate dans Acuna GRC ?

Mettre un programme en place est un projet. Le faire vivre est une routine, et les normes la décrivent. ISO/IEC 27001:2022 demande d’apprécier les risques de sécurité de l’information (article 6.1.2) et de les traiter (article 6.1.3), de fixer des objectifs de sécurité de l’information et de planifier leur atteinte (article 6.2), de réaliser les appréciations des risques à intervalles planifiés ou lors de changements significatifs (article 8.2), de mettre en œuvre le plan de traitement des risques (article 8.3) et de maîtriser les informations documentées (article 7.5).

Concrètement, ce sont des registres qui changent chaque semaine : risques revus et approuvés, plans de traitement menés à bien, objectifs suivis, tâches faites à temps, politiques approuvées, publiées et revues. Operate est l’endroit où ces registres vivent dans Acuna GRC.

Chaque risque porte un impact, une vraisemblance, une valeur de risque calculée, une stratégie de traitement (Mitigate, Accept, Transfer ou Avoid) et des valeurs cibles après traitement : risque inhérent et risque résiduel se lisent côte à côte. Le registre offre quatre vues : Register, Table avec édition en ligne, une Matrix croisant impact et vraisemblance, colorée selon votre appétence au risque avec une bascule Actual ou Target, et Categories.

Les risques suivent un workflow d’approbation : In progress, Approval required, Approved, To be reviewed, Archived. Seuls le responsable ou un administrateur peuvent approuver. L’approbation fixe une prochaine date de revue un an plus tard, et le responsable reçoit un rappel 30 jours avant, 3 jours avant et une fois en cas de retard.

Les menaces recensent les sources susceptibles de déclencher un risque, classées par type de source, sous-type et applicabilité (confidentialité, intégrité, disponibilité, traçabilité), avec un catalogue prêt dès le premier jour. Les plans de traitement relient un risque aux contrôles, mesures, tâches, documents et enregistrements qui le portent, et la santé calculée du plan remonte dans le risque. Voir comment fonctionne la gestion des risques d’entreprise et ce qu’est un plan de traitement des risques.

Le BIA Overview liste chaque processus inclus dans l’analyse d’impact sur l’activité (AIA), avec son appréciation d’impact, son RTO et les colonnes du premier impact. Pour chaque processus, vous fixez RTO, RPO et DMTA à partir d’une liste de seuils de temps (Time Threshold) tenue par votre administrateur, décrivez des scénarios d’impact à mesure que l’interruption se prolonge, et consignez les actifs, le personnel, les tiers et les actifs critiques dont il dépend. Les fournisseurs reçoivent une criticité pour ce processus, suggérée à partir de leur exposition au risque et de leur niveau.

L’analyse SPOF liste les actifs qui soutiennent plusieurs processus critiques, au-delà d’un seuil que vous fixez, pour prioriser la redondance, la polyvalence des équipes et la diversification des fournisseurs. Voir l’analyse d’impact sur l’activité dans Acuna GRC.

• Les tâches ont une vue Table et une vue Board. Les tâches récurrentes reviennent selon leur calendrier, et en terminer une consigne qui l’a faite et permet de joindre un enregistrement. Les modèles de tâches du catalogue, filtrés selon vos référentiels, arrivent déjà reliés aux exigences qu’ils satisfont. Voir comment fonctionnent les tâches récurrentes.
• Les documents sont rédigés dans Acuna GRC, déposés sous forme de fichier ou reliés depuis un autre système. Ils passent par Draft, Pending Approval, Approved, Published, In Review et Retired, avec un ou plusieurs approbateurs, une révision numérotée pour chaque modification et une revue annuelle avec rappels.
• Les objectifs portent un responsable, une date cible et un statut de Draft à Completed ou Cancelled, et sont reliés aux exigences, contrôles et KPI qui les soutiennent.
• Le plan annuel (Annual Plan) présente l’année sur une grille de 12 mois : tâches récurrentes, contrôles planifiés et revue annuelle de chaque risque approuvé et de chaque document publié. Voir ce qu’est un calendrier de conformité.

Voir l’espace de travail Operate.