Jérémy Chieppa
J’aide les DSI de PME/ETI à reprendre le contrôle de leur cybersécurité | Gouvernance claire | Alignement DG | Sans techno imposée | Membre CLUSIR ARA | Référencé MonAideCyber (ANSSI)
Follow me
August 21, 2025
Si tu veux être pris au sérieux par ta DG,
arrête de parler “firewall”.
Et commence à parler risque résiduel.
Oui, je sais. Ce n’est pas sexy.
Mais c’est stratégique.
Parce que pendant que tu parles MFA, VPN, EDR,
👉 la direction pense exposition, continuité, responsabilité.
Et ce qu’elle veut comprendre, c’est simple :
➡️ “Qu’est-ce qu’il reste comme risque réel, une fois qu’on a tout mis en place ?”
C’est ça, le risque résiduel.
C’est ce qui reste quand t’as tout donné.
Tu veux te rendre audible au Codir ?
💡 Commence par poser cet indicateur.
Et là, tu verras une chose magique :
🧠 les DG comprennent tout de suite.
💬 les questions changent de niveau.
📈 ton discours devient pilotable.
Et toi, tu ne parles plus juste sécurité.
Tu parles stratégie d’entreprise.
—
C’est ce que je fais avec les DSI/RSI/RSSI que j’accompagne.
Pas des tableaux Excel.
Des mots que la DG comprend.
Et une gouvernance qui tient.
---
En cybersécurité, il ne s'agit pas d'être parfait. Il s'agit d'être prêt.
PS : Si tu veux du contenu stratégique sur la cybersécurité pensée comme un actif business, follow + cloche. On monte le niveau ici.
52 Likes
August 21, 2025
Discussion about this post
Mickael Lavroff
2 months ago
J'améliore la tech et la sécurité des cabinets comptables avec une formule all-inclusive | Co-Fondateur de Nebiatek
Cette lecture devrait t'intéresser Jérémy Chieppa, puisqu'il est directement sujet de la notion de "risque résiduel" : https://www.akant.fr/post/analyse-risques-cyber-guide-critique
Voici un extrait :
"Le vocabulaire varie d’un référentiel à l’autre, la lecture des matrices prête à interprétation, et la notion de “risque résiduel” finit par créer une zone de confort dangereuse. On croit piloter la sécurité alors qu’on ne fait que valider un processus administratif.
C’est cette distorsion entre l’outil et la réalité que je veux explorer. Non pour condamner l’analyse de risques en elle-même, mais pour montrer comment certaines pratiques, et en particulier l’usage du risque résiduel, entretiennent une illusion de maîtrise qui peut coûter cher."
Thierry Picquet
2 months ago
CEO – CSFaaS (CyberSecurity Framework as a Service) | CISSP, CCSP, CISM, CRISC, CCSK, CCZT, AWS Cloud Practitioner Certified.
Tout à fait d’accord. Cela d'autant que la technique n’est qu’un levier parmi d’autres pour protéger l’entreprise.
ISO 27001 le rappelle avec ses quatre catégories de contrôles :
🏢 organisationnels,
👥 humains,
🏗️ physiques,
💻 technologiques.
Se limiter à parler firewall ou MFA 🔒, c’est oublier l’essentiel :
📊 la gouvernance ,
🧠 la culture
⚖️ et surtout la compréhension du risque résiduel .
Et après l’analyse qualitative du risque résiduel, il est souvent stratégique d’aller plus loin avec une approche semi-quantitative, qui donne des chiffres parlants au Codir :
📉 SLE (Single Loss Expectancy) = perte financière estimée pour un seul incident
🔄 ARO (Annual Rate of Occurrence) = fréquence estimée d’occurrence par an
💸 ALE (Annual Loss Expectancy) = perte annuelle attendue (SLE × ARO)
👉 Ces indicateurs traduisent le risque en langage financier, beaucoup plus concret pour une direction.
❓ Petite curiosité : SLE, ARO, ALE, vous les utilisez au quotidien, ou seulement ponctuellement ?
Alexandra BARBERIS
2 months ago
Avocate | IA, cybersecu & data | Gestion des actifs immatériels | Cofondatrice @LEX AVOCATS | Speaker TEDx | Empowerment & stratégie
Je suis d’accord 💯
