Modèle GDN — Lecture GDN
L'Indice de Capital de Maîtrise (ICM) : mesurer ce qu'une organisation est réellement capable de reprendre en main
La gouvernance ne commence pas lorsque survient un incident. Elle se construit en amont, dans la capacité — vérifiée, pas seulement déclarée — à reprendre la main sur ce que l'organisation a délégué. C'est cette idée que formalise l'Indice de Capital de Maîtrise (ICM), l'un des outils du Modèle GDN — Gouvernance des Dépendances Numériques.
Une question mal posée
La plupart des discussions sur la dépendance numérique posent la mauvaise question. Elles cherchent à mesurer à quel point une organisation dépend d'un fournisseur, d'une technologie ou d'un hébergeur — comme si la dépendance elle-même était le problème. Or toute organisation dépend de tiers : c'est la nature même de la sous-traitance, de l'infogérance ou du SaaS.
La vraie question n'est pas « sommes-nous dépendants ? », mais : « que gardons-nous comme capacité d'agir, malgré cette dépendance ? »
Existant n'est pas mobilisable
Le piège classique des dispositifs de gouvernance est de confondre l'existence d'une capacité avec sa disponibilité réelle. Une compétence documentée mais jamais pratiquée en dehors d'une seule personne. Une clause de réversibilité inscrite au contrat mais jamais simulée. Un plan de reprise d'activité qui n'a jamais été testé en conditions dégradées.
Tout cela apparaît, sur un tableau de conformité, comme acquis. Leur caractère mobilisable reste à démontrer tant que l'organisation n'a pas vérifié qu'elle pouvait les activer.
C'est cet écart — entre ce qui existe sur le papier et ce qui est réellement mobilisable — que l'ICM cherche à rendre visible et mesurable dans le temps, au même titre qu'un indicateur financier ou RH serait suivi par une direction générale.
Un indicateur de gouvernance, pas un audit de plus
L'ICM n'a pas vocation à se substituer à un audit de sécurité, à une cartographie applicative ou à une clause contractuelle. Il se positionne différemment : comme un indicateur de pilotage, destiné à une direction, permettant de suivre dans le temps l'évolution du capital de maîtrise de l'organisation face à ses choix numériques critiques — et d'anticiper son érosion avant qu'elle ne se révèle au moment d'une rupture.
Cette approche s'inscrit dans le Modèle GDN, le cadre que je développe depuis plusieurs mois pour donner aux DSI et aux directions générales des outils concrets de pilotage de leurs dépendances numériques — au-delà du seul critère de localisation des données, qui occupe aujourd'hui l'essentiel du débat public sur la souveraineté numérique.
Déclaré, mobilisable, vérifié
Un dispositif peut être conforme et ne pas tenir le jour de l'incident. « Existant n'est pas mobilisable » n'est que la moitié du chemin. Un dispositif mobilisable peut lui-même rester invisible : personne ne sait dire s'il couvre le risque considéré. L'ICM pose donc trois questions à chaque dimension évaluée.
| Niveau | Question |
|---|---|
| Déclaré | Qu'est-ce qui existe dans les procédures, les outils, la gouvernance et l'architecture cible ? |
| Mobilisable | Qu'est-ce qui peut réellement être activé en situation dégradée, dans les délais nécessaires ? |
| Vérifié | Quelle preuve observable établit que ce dispositif couvre le risque, ou permet de constater son échec ? |
Trois types d'écart
- Contrôle absent : le risque est connu, aucune mesure n'existe sur le périmètre concerné.
- Contrôle insuffisant : la mesure existe, mais son niveau de résistance est inadapté au scénario.
- Contrôle non démontré : la mesure existe, mais rien n'établit ce qu'elle couvre réellement.
Un cas d'école : l'incident DGFiP
Le rapport de l'ANSSI du 23 septembre 2026 sur les intrusions à la DGFiP (mai-août 2026) fait apparaître des contrôles absents et des contrôles insuffisants. Il précise que la compromission ne résulte pas d'une attaque sophistiquée et qu'aucune des exfiltrations n'a été détectée, ni par la DGFiP ni par l'ANSSI.
| Dimension | Ce que dit le rapport | Écart |
|---|---|---|
| Identité | Pas d'authentification multifacteur sur le portail PIGP (comptes agents) ni sur ADER. | Absent |
| Identité | Sur APEX, le code à usage unique envoyé par email a été contourné à partir du poste compromis d'un géomètre-expert. | Insuffisant |
| Détection | Le portail ADER n'était pas supervisé par le SOC ; 11 Go en juin, puis 3 Go en juillet, ont circulé sans alerte. | Absent |
| Révocation | Le mot de passe est réinitialisé, mais la session ADER reste ouverte et l'exfiltration se poursuit jusqu'au lendemain. | Insuffisant |
| Réponse à compromission | Compte tenu du volume de comptes compromis, l'analyse systématique de leur activité « ne peut être assurée de manière exhaustive ». | Insuffisant |
Le classement est une lecture de l'ICM, pas une qualification du rapport. La question qui en découle est simple : qu'est-ce qui me dirait que ce contrôle a échoué ?
Source : ANSSI, Rapport d'incident – Septembre 2026, n° 3033/ANSSI/SDO/NP, 23 septembre 2026, TLP:CLEAR.
Et maintenant
Cet article en présente le principe ; la méthode complète constitue un instrument de terrain destiné aux organisations qui souhaitent mesurer concrètement leur capacité de reprise en main.
La gouvernance ne commence pas lorsque survient un incident.
Cette mesure s'inscrit dans le cadre plus large du Modèle GDN.
Jacky Galicher — consultant en gouvernance IT et souveraineté numérique, ancien DSI de l'académie de Normandie.