Un profil du CSF rédigé avec l’IA
est un point de départ, pas une assurance.

Les deux pages du NIST décrivent trois cas d’usage hypothétiques. Le premier examine la politique, la stratégie et la gouvernance des risques de cybersécurité au regard des résultats du CSF 2.0. Le deuxième prépare un profil de l’état actuel de l’organisation : un document décrivant sa situation présente par rapport au cadre. Il rapproche les documents et autres éléments, dont les notes d’entretien avec le personnel, des résultats, consigne les hypothèses et relève les lacunes observées. Le troisième prépare un profil de l’état cible à partir de références internes et sectorielles. Le NIST décrit également des fichiers organisationnels simulés pour une entreprise fictive. Ils illustrent une démarche ; ce ne sont pas des constats sur une entreprise réelle.

Un profil préparé manuellement et un profil élaboré avec l’IA peuvent alimenter la même discussion de planification. Ni leur présentation ni leur apparente exhaustivité ne constituent un travail d’assurance. Une évaluation distincte cherche à déterminer ce que les éléments disponibles permettent de conclure, selon une méthode et un périmètre annoncés. Le NIST précise explicitement que ses exemples ne sont pas des méthodes prescriptives d’évaluation ou d’assurance. Les acheteurs doivent donc distinguer l’aide à la préparation des documents d’une conclusion sur les résultats de cybersécurité de l’organisation.

La distinction entre politique et trace d’exécution est un bon point de départ. Rattacher une politique à un résultat peut montrer ce que l’organisation prévoit de faire ; cela ne démontre pas sa mise en œuvre. Un entretien peut apporter du contexte sans préciser quand le travail a eu lieu ni quelles activités il couvrait. Demandez l’emplacement de la source, la version du document et le raisonnement derrière chaque correspondance proposée. Les preuves manquantes et les témoignages contradictoires doivent rester visibles, plutôt que disparaître dans une synthèse fluide. Les correspondances doivent pouvoir être modifiées et contestées. Ce sont des recommandations d’achat, et non des exigences supplémentaires attribuées au projet du NIST.

Le responsable d’un document peut expliquer le périmètre d’une politique. Un responsable opérationnel peut identifier les traces de sa mise en œuvre. La personne chargée de l’examen peut juger si ces pièces étayent l’affirmation proposée. Ces rôles ne nécessitent pas un grand comité, mais fournir les preuves, examiner les correspondances et approuver les conclusions doivent rester des actes distincts du texte généré. Avant d’introduire des documents sensibles dans le processus, déterminez qui peut accéder aux données d’entrée et de sortie, où le traitement a lieu, ce qui est conservé et comment les accès sont retirés. Aucune des deux pages citées ne vérifie les pratiques d’un fournisseur concernant les données d’entreprise. Ces questions relèvent de l’évaluation de l’acheteur, et non d’un aval supposé.

Pour chaque résultat retenu, demandez la correspondance proposée, les passages des sources qui l’étayent, les hypothèses non résolues et la décision de la personne chargée de l’examen. Demandez ensuite comment le processus traiterait un entretien qui contredit une politique, une pièce située hors de la période examinée ou un résultat sans preuve fournie. Ce sont des cas proposés pour l’évaluation, pas des tests réalisés pour cet article. Une réponse utile expose le problème au lieu de combler le manque par un texte plausible. Séparez le profil de l’état cible du profil de l’état actuel : les résultats souhaités sont des choix de planification, pas des preuves de résultats déjà atteints. Lorsqu’un projet éclaire une décision de direction, consignez les affirmations acceptées, celles qui restent en suspens et la personne ayant approuvé cette distinction. L’acceptation du travail de préparation ne doit pas devenir tacitement celle d’une conclusion d’assurance.