# Quand le travail de sécurité existe, mais pas la confiance dans la sécurité > Der Beitrag von SwissGRC® erklärt, warum viele ISMS in der Praxis scheitern: Sicherheitsarbeit findet statt, ist aber nicht nachweisbar. Er richtet sich an Organisationen und zeigt, wie ein ISMS Sicherheit dauerhaft beobachtbar und steuerbar macht. - URL: https://swissgrc.com/fr/travail-securite-sans-confiance-securite__trashed/ - Éditeur: SwissGRC® - Publié: 2026-05-05 - Dernière mise à jour: 2026-09-17 ## Points clés - Viele Organisationen führen Asset-Inventare, Schwachstellenanalysen, Zugriffsprüfungen und Richtlinien, können aber nicht belegen, dass etwas im letzten Quartal beherrscht war. - Der Beitrag nennt die fehlende Kontinuität als eigentliches Problem: Sicherheit ist laufend, die Dokumentation dagegen periodisch. - Bei Audits, Vorfällen oder Kundenfragebögen rekonstruieren Teams die Sicherheit, statt sie zu prüfen, weil E-Mails, Risikoregister in Tabellen, Kontrolldokumente und Verantwortlichkeiten verstreut sind. - Ein operatives ISMS verknüpft nach dem Beitrag Assets, Risiken, Kontrollen und Verantwortlichkeiten, sodass die Auswirkung einer Schwachstelle sofort sichtbar ist. - Nachweise sollen als Nebenprodukt der Arbeit entstehen: Prüfungen, Freigaben, Risikobewertungen und Kontrollprüfungen hinterlassen automatisch eine Spur. - Laut SwissGRC® macht ein wirksames ISMS ein Unternehmen nicht über Nacht sicherer, sondern macht die Sicherheit beobachtbar und damit steuerbar. Aujourd’hui, la plupart des organisations *pratiquent* déjà la sécurité de l’information. Elles tiennent à jour des inventaires d’actifs. Elles réalisent des analyses de vulnérabilités. Elles revoient les droits d’accès. Elles rédigent des politiques. Pourtant, le moment inconfortable se produit encore : « Pouvons-nous prouver que cela était maîtrisé le trimestre dernier ? » Silence. Non pas parce que le travail n’a pas été fait, mais parce qu’il est dispersé entre différents endroits. Les échanges de courriels sur la sécurité restent dans les boîtes de réception. Les registres des risques dans des tableurs. Les contrôles dans des documents. Les responsabilités dans la tête des collaborateurs. Ainsi, lorsqu’un audit, un incident ou un questionnaire client se présente, les équipes ne vérifient pas la sécurité : elles la **reconstituent.** C’est dans cet écart entre faire de la sécurité et la démontrer que de nombreux systèmes de management de la sécurité de l’information (SMSI) échouent en pratique. Le véritable problème n’est pas l’absence de contrôles C’est l’absence de continuité En théorie, un SMSI est simple : identifier les actifs, évaluer les risques, appliquer des contrôles, réexaminer régulièrement. La sécurité est continue, alors que la documentation est périodique. Les équipes évaluent les risques au lancement des projets, mais pas lorsque les environnements évoluent. Les actifs sont recensés lors de leur mise en service, mais pas au fil de la prolifération du shadow IT. Les contrôles sont définis, mais leur fonctionnement n’est pas visible dans la durée. L’organisation devient donc conforme ponctuellement, mais pas sécurisée dans la durée. Un logiciel de SMSI n’est utile que s’il transforme la manière dont le travail de sécurité s’effectue au quotidien, et pas seulement pendant les audits. Ce qu’un SMSI devrait réellement permettre **1. La sécurité doit suivre l’actif, pas le tableur** Lorsqu’une vulnérabilité apparaît, les questions essentielles sont toujours opérationnelles : - Quel système est concerné ? - Qui en est le propriétaire ? - Quelles données traite-t-il ? - Quel risque en découle ? Si les réponses exigent trois réunions et deux exports, le SMSI relève de la documentation, non du pilotage. Un SMSI opérationnel relie les actifs, les risques, les contrôles et les responsabilités, de sorte que l’impact soit visible immédiatement, et non reconstitué après coup. **2. Les preuves doivent être un sous-produit du travail** Les équipes sécurité consacrent souvent plus de temps à prouver leurs actions qu’à les réaliser. Une approche mature du SMSI signifie ceci : vous ne préparez pas les preuves. Elles s’accumulent automatiquement au fil du travail. Les revues, les validations, les évaluations des risques et les vérifications des contrôles laissent une trace sans que personne n’ait à « constituer des preuves pour l’audit » de façon délibérée. **3. La sécurité est transversale, le système doit le refléter** La sécurité de l’information ne relève pas uniquement de la DSI : - les RH déclenchent les événements du cycle de vie des identités ; - les achats introduisent des risques fournisseurs ; - les métiers classifient les données ; - la direction juridique définit les obligations. Si la sécurité dépend d’un service qui collecte les mises à jour auprès des autres, elle devient périodique. Si chaque équipe travaille dans une structure partagée, elle devient continue. **4. La surveillance compte davantage que la documentation** De nombreuses organisations disposent de politiques parfaitement rédigées et connaissent malgré tout des incidents. Car la vraie question n’est pas : « Le contrôle a-t-il été conçu ? » mais : « Le contrôle fonctionnait-il mardi dernier ? » C’est la visibilité continue, et non l’exhaustivité des politiques, qui définit la maturité opérationnelle de la sécurité. Le rôle des outils comme Swiss GRC Lorsque la sécurité n’existe que sous forme de documentation, la confiance repose sur la mémoire. Lorsqu’elle existe sous forme de système, la confiance repose sur des enregistrements. Cette différence apparaît lors des : - audits ; - incidents ; - diligences menées par les clients ; - contrôles des autorités de supervision. Les organisations ne sont pas en difficulté parce qu’elles manquent de travaux de sécurité. Elles le sont parce qu’elles ne parviennent pas à les observer dans la durée. Un [SMSI efficace](https://swissgrc.com/fr/information-security-management-isms-software/) ne rend pas une entreprise « plus sûre » du jour au lendemain. Il rend la sécurité observable, et dès lors qu’une chose est observable, elle devient pilotable. C’est généralement à ce moment-là que la sécurité cesse d’être vécue comme un projet annuel pour fonctionner comme une activité quotidienne. Le résultat concret Lorsque la sécurité n’existe que sous forme de documentation, la confiance repose sur la mémoire. Lorsqu’elle existe sous forme de système, elle repose sur des enregistrements. Cette différence apparaît lors : - des audits - des incidents - des vérifications préalables menées par les clients - des examens réglementaires Si les organisations rencontrent des difficultés, ce n’est pas faute de travaux de sécurité. C’est parce qu’elles ne parviennent pas à les observer dans la durée. Un SMSI efficace ne rend pas une entreprise « plus sûre » du jour au lendemain. Il rend la sécurité observable, et dès lors qu’une chose est observable, elle devient pilotable. C’est généralement à ce moment que la sécurité cesse d’être perçue comme un projet annuel pour fonctionner comme une activité quotidienne. ## Questions fréquentes ### Warum scheitern viele ISMS in der Praxis? Nach dem Beitrag scheitern sie in der Lücke zwischen Sicherheitsarbeit und deren Nachweis. Die Arbeit ist auf E-Mails, Tabellen, Dokumente und einzelne Personen verteilt, daher fehlt die Kontinuität. ### Was sollte ein ISMS im Alltag leisten? Es sollte Assets, Risiken, Kontrollen und Verantwortlichkeiten verknüpfen und Nachweise automatisch im Arbeitsablauf sammeln. Außerdem sollen alle Fachbereiche in einer gemeinsamen Struktur arbeiten und Kontrollen laufend überwacht werden. ### Warum ist Überwachung wichtiger als Dokumentation? Gut formulierte Richtlinien verhindern Vorfälle nicht automatisch. Entscheidend ist laut Beitrag, ob eine Kontrolle zu einem bestimmten Zeitpunkt funktionierte, und diese laufende Sichtbarkeit bestimmt die operative Reife. ### Welche Bereiche sind an der Informationssicherheit beteiligt? Genannt werden HR mit den Identitäts-Lebenszyklen, der Einkauf mit Lieferantenrisiken, die Fachbereiche mit der Datenklassifizierung und die Rechtsabteilung mit den Pflichten. Die Informationssicherheit liegt also nicht nur bei der IT. ### Wann zeigt sich der Unterschied zwischen Dokumentation und System? Er zeigt sich bei Audits, Vorfällen, Sorgfaltsprüfungen von Kunden und Kontrollen von Aufsichtsbehörden. Mit einem System beruht das Vertrauen auf Aufzeichnungen statt auf Erinnerung.