Sophos CISO Advantage : rôle, limites et mise en place

Sophos CISO Advantage aide à transformer les risques de sécurité en un plan d’amélioration priorisé et en rapports compréhensibles pour la direction. L’offre s’adresse aux organisations sans Chief Information Security Officer ainsi qu’aux équipes de sécurité existantes. Elle fait partie de l’offre Sophos Fusion (anciennement Sophos Central) et soutient la planification du programme de sécurité ; ce n’est ni un agent endpoint supplémentaire ni un remplacement de la gestion des incidents.

Disponibilité, vérifiée le 28 octobre 2026 : Sophos décrit toujours un déploiement dans certaines régions. Cela ne confirme pas la disponibilité en Suisse, pour une entité juridique donnée ou dans chaque tenant Fusion. Avant de planifier, faire confirmer le pays, le mode de fourniture, la prestation commandable et la date de démarrage effective. Un nom de produit visible ou une annonce générale ne suffit pas.

La région de données du tenant Fusion est déterminante pour le déploiement technique ; l’adresse de l’entreprise et la région du tenant peuvent être différentes. Avant la commande, le tenant, la région, la licence et le mode d’accès doivent être vérifiés avec le partenaire. Pour une exploitation par un partenaire, cette vérification inclut aussi la structure précise des clients et des Estates. Une annonce générale de disponibilité ne garantit pas l’activation dans chaque tenant ou structure de gestion. Si My Products > CISO Advantage manque, ces points et le rôle utilisé sont contrôlés avant de créer un deuxième tenant à l’aveugle.

Le rôle de cette offre

Sophos décrit quatre étapes liées : une évaluation initiale fondée sur les données de l’environnement et le contexte métier, des rapports pour la direction, un plan d’amélioration priorisé et un suivi répété des progrès. Le rapprochement avec des référentiels comme NIST et CIS peut structurer le travail ; il ne certifie aucune conformité normative ou juridique.

La différence pratique avec une simple vue des alertes réside dans la décision : quel risque touche quel processus métier, quelle action est prioritaire et comment démontrer ensuite une amélioration ? Une recommandation nécessite toujours un responsable interne, un budget et une mise en œuvre approuvée.

Selon Sophos, CISO Advantage peut être utilisé par une équipe interne ou avec un partenaire de services. Cela n’inclut pas automatiquement un mandat personnel de CISO, le transfert de la responsabilité de la direction ou un conseil illimité. L’assistance réellement fournie doit figurer dans la mission précise.

Distinguer les prestations voisines

Account Health Check vérifie des protections Sophos et des paramètres du tenant concrets. CISO Advantage porte sur l’évaluation et la priorisation globales du programme de sécurité. Un bon indicateur de santé ne remplace pas cette évaluation.

MDR et MDR Plus concernent la surveillance et la réponse aux menaces actives. Managed Risk recherche les vulnérabilités de la surface d’attaque convenue. Un rapport stratégique n’active ni ne fournit automatiquement ces services. De même, un Security Services Retainer constitue un modèle d’achat distinct, avec des missions à délimiter.

Clarifier les licences et le périmètre de service au préalable

Sophos propose une licence Term annuelle pour une utilisation en interne ou avec un partenaire de services, ainsi qu’un abonnement mensuel via MSP Flex. L’annonce publique de disponibilité générale décrit ces modèles. La plateforme seule n’inclut ni le produit ni des heures de conseil personnel.

Les modèles utilisent des unités de quantité différentes. Lors du MSP Summit public, Sophos présente Term sur une base utilisateur et MSP Flex par client accompagné, avec une licence mensuelle indépendante de la taille de son organisation. La politique générale de licence datée du 16 octobre 2026 répertorie CISO Advantage comme abonnement par utilisateur, sans détailler cette distinction pour Flex. Le modèle précis doit donc être consigné dans l’offre et le License Schedule. Une offre Term ne se calcule pas selon le nombre de tenants clients ; avec Flex, le nombre d’utilisateurs et l’unité client mensuelle ne doivent pas être confondus. Les prestations de conseil convenues en complément sont décrites séparément. Le contrôle général des licences dans Sophos Fusion ne remplace pas cette vérification propre au produit.

Ce qu’il faut saisir et comment l’IA peut aider

Le processus actuel commence par un profil d’organisation et un questionnaire. Les responsables décrivent et évaluent l’état des contrôles de sécurité, puis fournissent des preuves. CISO Advantage ne collecte actuellement pas automatiquement les preuves depuis les produits Sophos ou tiers. Un produit Fusion existant et sa télémétrie ne remplacent donc ni les réponses ni les justificatifs. Le guide d’utilisation de Sophos cite explicitement le profil, l’évaluation renseignée, les preuves et les objectifs comme étapes de travail.

L’IA peut expliquer le contenu d’un contrôle et préparer des formulations ou des évaluations. Sous Analyze conversation, une transcription VTT approuvée d’un entretien peut être analysée par rapport à une évaluation. On sélectionne l’ensemble du référentiel, certaines sections ou des questions précises, on confirme le consentement requis des participants, puis on lance Analyze. Sous Review changes, les suggestions sont vérifiées ; les scores, les notes ou les deux peuvent être repris de manière sélective et modifiés auparavant. Il s’agit d’une analyse assistée des informations fournies, pas d’un audit de sécurité autonome. Le processus documenté exige explicitement une vérification humaine.

CISO Advantage Plus, avec assurance continue, extensions de gouvernance et conformité automatisée, est annoncé pour 2027 dans l’annonce de disponibilité générale. Cela ne constitue ni une date de livraison ferme ni une validation automatique des contrôles disponible aujourd’hui. La validation porte sur les fonctions effectivement fournies et les résultats vérifiés.

Du profil à l’évaluation publiée

Une évaluation est une analyse structurée selon un référentiel choisi. Avant de commencer, il faut définir les responsabilités métier, l’organisation concernée et la période d’évaluation. Un référentiel approuvé avec quelques contrôles bien connus constitue un pilote limité et adapté. Il n’est pas nécessaire d’affaiblir délibérément une configuration de production pour cela.

Définir le profil et le modèle d’évaluation

Sous My Products > CISO Advantage, l’assistant guide la création du profil d’organisation. Organizational context décrit, par exemple, le secteur, le nombre de collaborateurs et le chiffre d’affaires. Additional context complète les objectifs métier, l’historique des risques et la dépendance à l’informatique. Les valeurs inconnues sont signalées comme telles ; une précision inventée fausserait aussi les impacts modélisés. Les deux parties du profil doivent être complètes pour les rapports ultérieurs. Un profil existant peut être actualisé sous Assessments > Update profile.

Le référentiel dépend de l’objectif réel de l’évaluation. L’aide sur les référentiels distingue trois modèles :

La version exacte et les choix disponibles doivent être vérifiés dans le tenant avant de commencer, par exemple pour CIS v8, NIST CSF 2.0 ou NIS2. Si un référentiel particulier comme AIUC-1 constitue un prérequis contractuel, sa disponibilité doit être confirmée au préalable. ISO-Aligned Assessment n’est pas une certification ISO ; Cyber Essentials ne garantit pas une certification Cyber Essentials Plus. Les scores de modèles différents ne se comparent pas comme des pourcentages identiques.

Renseigner les contrôles et fixer les objectifs

Le processus d’évaluation est documenté ainsi :

1. Ouvrir Assessments > Create Assessment. Choisir Framework, un Label univoque et Period start, par exemple Évaluation initiale octobre 2026 avec la date de début réelle de l’évaluation. Le nom est libre. Créer l’évaluation avec Create Assessment.
2. Développer une section et ouvrir un contrôle. Sous Overview, renseigner le Deployment status réel et, si nécessaire, Remediation. Pour les référentiels fondés sur la maturité, choisir un niveau de maturité démontrable.
3. Sous Overview, renseigner Owner et Target Date pour définir qui réalise l’amélioration et pour quelle échéance. Sous Additional information, expliquer la mise en œuvre et les lacunes connues. Les réponses sont enregistrées automatiquement.
4. Définir les valeurs cibles sous CISO Advantage > Targets pour chaque Framework, les appliquer avec Apply, puis enregistrer avec Save. Pour une évaluation précise, des valeurs différentes peuvent être définies dans son onglet Targets.

Un objectif doit correspondre au risque, au budget et au calendrier. Chaque contrôle n’a pas besoin d’atteindre immédiatement le niveau de maturité maximal. L’aide sur les objectifs décrit aussi les écarts par section et les priorités selon les Implementation Groups. N/A retire un contrôle du calcul du score ; ce choix doit donc être justifié par le périmètre métier et ne doit pas servir à améliorer artificiellement la valeur.

Associer les preuves et consigner le résultat

Une preuve doit étayer la réponse précise, par exemple un justificatif de configuration expurgé ou un compte rendu d’un test de restauration réellement effectué. Avant l’importation, il faut vérifier les accès, la confidentialité et le contenu autorisé. Les mots de passe, tokens et données personnelles inutiles n’ont pas leur place dans le fichier.

Sous My Products > CISO Advantage > Evidence > Add evidence, le justificatif reçoit un nom et une description ; le fichier est ajouté sous Attachments. Avec Add controls, on sélectionne l’évaluation et les contrôles correspondants, puis Submit evidence. Sous Actions > Assign to controls, une preuve existante peut ensuite être associée à d’autres contrôles. Elle peut aussi être ajoutée dans l’évaluation ou directement dans l’onglet Evidence d’un contrôle. L’aide sur les preuves explique ces possibilités.

Après l’association, on ouvre à nouveau le même contrôle : le fichier, sa description, sa date et la mise en œuvre réelle correspondent-ils à la réponse ? Une ancienne capture d’écran ou un test simplement prévu ne suffit pas à démontrer un effet actuel. Sous Findings de l’évaluation, on vérifie les réponses ouvertes, l’atteinte des objectifs et les comparaisons disponibles. L’évaluation n’est publiée qu’après vérification des réponses, des preuves et des objectifs. Un seul brouillon peut exister à la fois par référentiel ; une nouvelle évaluation doit donc être coordonnée avec le travail en cours.

Créer un rapport et en vérifier le contenu

L’aide sur les rapports exige les deux parties du profil et au moins une évaluation publiée. Si l’un de ces éléments manque, CISO Advantage demande de le compléter.

1. Ouvrir CISO Advantage > Reporting > Create report.
2. Sélectionner l’évaluation souhaitée, saisir le nom de son responsable et terminer l’assistant.
3. Dans la vue de personnalisation, masquer les sections inadaptées et vérifier ou modifier les textes générés par l’IA. Pour la direction, les impacts et les priorités sont importants ; l’IT a aussi besoin de lacunes concrètes et d’étapes de mise en œuvre.
4. Enregistrer avec Save report, puis générer le fichier avec Render PDF. Avant de le transmettre, vérifier les destinataires, la période, le périmètre et les informations de sécurité incluses.

Les impacts financiers modélisés sont des estimations issues des données saisies, pas des montants de dommages garantis. Une comparaison sectorielle n’est pertinente que si des données comparables appropriées existent. La feuille de route proposée doit être examinée selon le risque, les dépendances, l’effort et les responsables disponibles ; un texte rédigé automatiquement ne remplace pas cette décision.

Pour suivre les progrès, une nouvelle évaluation est réalisée ultérieurement avec un périmètre comparable et le même référentiel. Dans le rapport et sous Findings, les différences sont rapprochées des mesures réellement mises en œuvre. Un score supérieur sans nouvelle preuve ne démontre pas une amélioration technique. Si le rapport manque, on vérifie d’abord que le profil est complet et qu’une évaluation est publiée. Si les progrès attendus n’apparaissent pas, on compare la période, le référentiel, les valeurs cibles et les nouveaux justificatifs avant de modifier des réponses dans le seul but d’améliorer l’indicateur.

Préparer un démarrage utile

La préparation suivante est une recommandation Avanet, pas un parcours d’interface documenté :

1. Définir la décision attendue. Par exemple, le prochain budget doit justifier les trois améliorations de sécurité prioritaires pour un processus métier critique. Nommer la période et la direction responsable.
2. Recenser l’existant. Rassembler les services critiques, protections, risques connus, responsables et actions déjà prévues. Signaler explicitement les données manquantes ou obsolètes.
3. Délimiter la mission. Confirmer la disponibilité dans le pays, le nombre de licences, la durée, l’utilisation interne ou pilotée par un partenaire, les rapports attendus et les éventuels conseils. Définir aussi les accès aux données, destinataires et durées de conservation des rapports.
4. Rendre les résultats vérifiables. Pour chaque action prioritaire, convenir du risque, du processus concerné, du responsable, du délai, de l’effort et d’un état cible observable. Une synthèse d’IA seule ne suffit pas comme preuve.
5. Planifier le suivi. Réévaluer le même périmètre avec les mêmes critères à la date convenue. Les changements techniques sont approuvés et vérifiés selon le guide du produit concerné.

Sans disponibilité confirmée, données de référence ou livrables clairs, la commande reste en attente. Pour une attaque en cours, utiliser le processus d’incident convenu ; une évaluation stratégique n’est pas une assistance d’urgence.