L'indice NSD — Niveau de Sécurité des Données

Une méthode écrite oblige le cabinet à définir ses critères avant de connaître le dossier qu'il devra juger. Elle limite la part d'interprétation, rend les conclusions contrôlables et permet au dirigeant de savoir sur quelle base chaque note est attribuée. L'expertise reste nécessaire pour examiner les faits ; elle ne doit pas permettre de changer la règle selon le client.

Une grille écrite avant la mission

La grille de l'indice NSD existe avant l'ouverture de la mission. Elle décrit les éléments attendus pour chacun des sept domaines : Cartographie, Accès, Résilience, Traçabilité, Exposition, Conformité, Dépendance et réversibilité. Elle précise ce qui doit être observé, vérifié ou exécuté pour atteindre chaque niveau. Le cabinet ne construit donc pas son barème après avoir découvert l'entreprise, et ne déplace pas le seuil pour rendre un résultat plus favorable ou plus sévère.

Cette grille est publique. Le dirigeant peut la lire avant l'étude, puis reprendre le rapport ligne par ligne pour comprendre l'origine de chaque note. Lors d'une mesure ultérieure, les mêmes critères permettent de constater ce qui a réellement progressé, ce qui reste inchangé et ce qui s'est dégradé. La comparaison porte sur des faits examinés selon une règle stable, pas sur l'impression laissée à deux dates différentes.

Un plafond, pas une moyenne

Le rapport ne livre jamais un chiffre isolé. Il présente le profil de l'entreprise, avec une note pour chacun des sept domaines — Cartographie, Accès, Résilience, Traçabilité, Exposition, Conformité, Dépendance et réversibilité — ainsi que le plafond qui en découle. Ce plafond est déterminé par la note la plus faible et le domaine qui le fixe est nommé explicitement. Il ne qualifie pas la valeur de l'entreprise : il indique le niveau jusqu'auquel sa maîtrise a été effectivement constatée pendant l'étude.

Une faiblesse majeure suffit à interrompre l'activité, à exposer une donnée ou à empêcher sa récupération. Une bonne maîtrise dans les autres domaines ne compense pas ce risque. Six domaines excellents ne compensent pas une sauvegarde qui ne se restaure pas : dans ce cas, la note de Résilience devient le plafond.

La progression reste lisible domaine par domaine, même lorsque le plafond ne se relève pas encore. Celui-ci ne progresse qu'après traitement du point faible qui le fixe. Il indique ainsi où porter l'effort en premier, plutôt que de disperser le budget entre des sujets déjà mieux maîtrisés.

Trois épreuves de vérité

Une réponse déclarative décrit ce qui devrait exister : une sauvegarde quotidienne, des droits limités, un inventaire tenu à jour. Une épreuve exécutée montre ce qui fonctionne réellement, dans les conditions observées pendant l'étude. L'indice NSD s'appuie sur cette démonstration dès qu'elle est matériellement possible.

• Une sauvegarde réelle est restaurée sur un environnement neuf, chronomètre en main, jusqu'à l'obtention de données effectivement utilisables.

• Une donnée sensible réelle est suivie de bout en bout, dans la base, les sauvegardes, les exports, les messages, les tableurs et les copies détenues par des tiers.

• Un compte réel de chaque profil est utilisé pour tenter d'atteindre les données qui devraient lui être interdites, puis le résultat est comparé aux droits annoncés.

Ce qui n'est pas une étude Lock.Ness

• Ce n'est pas un test d'intrusion destiné à chercher une voie d'entrée dans le système d'information.

• Ce n'est pas un scan automatisé produisant une liste d'alertes sans examiner la valeur, le parcours et l'usage des données.

• Ce n'est pas une attestation de conformité, ni la délivrance d'un label ou d'une certification.

• Ce n'est pas un prétexte pour vendre ensuite les corrections : le cabinet ne propose aucune remédiation à l'issue de l'étude.

• Ce n'est pas un rapport accumulant des constats sans décision : chaque faiblesse retenue est expliquée, hiérarchisée et reliée à une action que l'entreprise peut confier à l'intervenant de son choix.