PK INFOSEC — CHECKLIST ARBITRAGE CYBER POUR LA DIRECTION
Version pilote — août 2026

10 questions pour préparer une décision cyber exploitable.

Mode d’emploi
Pour chaque question, noter le statut : prouvé, déclaré ou inconnu. Puis attribuer un responsable et une date cible. Un « inconnu » n’est pas un échec : c’est une décision à organiser.

01 — Décision et impact
Quel scénario cyber interromprait en premier la capacité à servir, facturer ou payer ?

02 — Responsabilité
Qui peut accepter le risque résiduel et engager le budget associé ?

03 — Preuves
Quelles mesures sont prouvées par un test, un journal, un contrat ou un rapport récent ?

04 — Identités
Les comptes à privilèges, MFA, départs et revues d’accès sont-ils maîtrisés ?

05 — Continuité
La restauration d’une donnée et d’un service critiques a-t-elle été testée récemment ?

06 — Exposition
Les actifs Internet, prestataires et dépendances critiques sont-ils inventoriés ?

07 — Détection
Qui reçoit les alertes importantes, sous quel délai et avec quelle escalade ?

08 — Incident
Les rôles, contacts, premières actions et critères de crise sont-ils définis ?

09 — Tiers
Les engagements sécurité des fournisseurs critiques sont-ils connus et vérifiables ?

10 — Arbitrage
Quelles trois actions réduisent le plus le risque dans les 90 prochains jours ?

Contrat de décision
Décision ; propriétaire ; date cible ; preuve attendue ; risque accepté jusqu’au.

Plan 30 / 60 / 90 jours
30 jours : clarifier les inconnues critiques et nommer les propriétaires.
60 jours : produire ou tester les preuves prioritaires.
90 jours : présenter les résultats, le risque résiduel et le prochain arbitrage.

Limites
Checklist de préparation, pas certification, pentest, audit d’assurance, avis juridique ou gestion d’incident. Aucun score n’est attribué sans preuve.

PK InfoSec — activité de conseil portée par Patient Kotto.