Ce que fait vraiment la GRC de seconde ligne

Le modèle des trois lignes de défense est limpide sur une diapositive. La première ligne porte le risque parce qu'elle porte les opérations ; la deuxième construit les référentiels et challenge la première ; la troisième audite tout le monde. Ce que la diapositive ne montre pas, c'est que la deuxième ligne ne produit presque rien qui ait de la valeur en soi. Une analyse de risques, une politique, une évaluation fournisseur : aucun de ces livrables ne protège quoi que ce soit. Ils ne comptent que s'ils changent une décision quelque part en première ligne. Le vrai métier, la plupart des jours, c'est donc de la traduction : transformer une exigence de contrôle en une phrase qu'un responsable d'exploitation peut appliquer, et transformer ce qui se passe réellement sur un site logistique en une preuve qu'un référentiel sait reconnaître.

Rien ne rend cela plus concret qu'un atelier EBIOS RM. La méthode est française, structurée, discrètement brillante, mais ses livrables ne valent que ce que valent les gens autour de la table. Demandez à un chef de site d'énumérer ses événements redoutés : silence. Demandez-lui ce qui empêcherait les camions de partir demain matin : impossible de l'arrêter. Le travail méthodologique tient dans la cartographie, c'est-à-dire ramener cette réponse à travers les biens supports, les sources de menace et les chemins d'attaque, jusqu'à en faire un scénario que l'organisation peut hiérarchiser et traiter. L'enseignement n'est jamais dans la matrice. Il est dans la conversation que la matrice vous a obligé à avoir.

La gestion des vulnérabilités, vue de la deuxième ligne, est une discipline d'arithmétique sous désaccord. Un score CVSS débarque en annonçant 9,8 ; le propriétaire de l'actif jure que le système est injoignable depuis Internet ; le chrono du SLA tourne déjà. La tentation, c'est d'arbitrer par l'autorité. La voie utile, c'est d'arbitrer par le contexte : que devient ce score une fois pris en compte l'exposition, les contrôles compensatoires, ce que l'actif traite réellement ? Certaines criticités se dégonflent en maintenance planifiée. Certaines vulnérabilités moyennes, posées sur le mauvais segment réseau à côté de la mauvaise base de données, deviennent la vraie urgence de la semaine. Un outil de suivi qui reflète ce raisonnement vaut plus qu'un tableau de bord de scores bruts que personne n'assume devant un auditeur.

Et puis il y a la partie que personne ne romantise : les visites de site. Arpenter un entrepôt logistique avec une check-list, c'est l'endroit où le papier rencontre le béton, parfois au sens propre : le lecteur de badge calé en position ouverte à cause de la chaleur, le registre des visiteurs plus rempli depuis mars, le local serveur qui sert aussi de réserve à film plastique. Rien de tout cela ne remonte dans un outil. Tout cela constitue pourtant la posture de sécurité réelle. Une GRC de seconde ligne qui ne quitte jamais le bureau converge vers un univers parallèle magnifiquement documenté ; la discipline consiste à garder la documentation arrimée au bâtiment. Une politique sans réalité opérationnelle n'est qu'un pari. Et je continue de constater que le plus court chemin entre les deux reste une paire de chaussures.