Cybersécurité en entreprise : Les 7 règles d'or d'un RSSI
Le secteur de la cybersécurité est encore en pleine construction et les "sachants" dans ce domaine - aussi appelés "experts" n'ont pas forcément l'intitulé de poste qui convient !
Il n’est pas rare de croiser des “directeurs de la sécurité”, “ vice-présidents de la sécurité” ou encore “responsables de la cybersécurité”. Une chose est sûre : lorsque l’on est chargé de protéger son organisation contre les cyberattaques, l'intitulé du poste est le cadet de ses soucis.
En plus des nombreuses responsabilités, il incombe au RSSI de combler un immense fossé en matière de communication. En effet, leur travail consiste à expliquer l'importance de concepts extrêmement techniques à d'autres professionnels dont la mission est toute autre.
Il a été conseillé à de nombreux RSSI d'utiliser le langage commercial. Pour autant, le langage technique reste le plus exact, même s’il peut sembler abstrait aux équipes de direction et aux conseils d'administration, qui voient peser sur leurs épaules la responsabilité d’une bonne compréhension des problématiques cyber tout en menant un travail critique de gestion des risques.
Le simple fait d'adapter le vocabulaire n'est pas une solution en soi. En se focalisant sur la seule formulation, on passe à côté de l'essentiel. Heureusement, il existe une approche qui permet à tous les professionnels d’une entreprise d'être sur la même longueur d'onde.
Contribuer aux objectifs commerciaux
En tant que RSSI, il est possible de surmonter bien des difficultés en démontrant que la cybersécurité peut servir les objectifs commerciaux de l'entreprise. Cette idée est nouvelle pour de nombreux dirigeants qui considéraient jusque-là les équipes de sécurité comme des pompiers, payés pour répondre à d'incessantes sonneries d'alarme. Désormais, l’heure est à la cybersécurité axée sur les résultats, qui exige une nouvelle approche.
Il est désormais nécessaire de créer des documents permettant aux dirigeants une compréhension et identification instantanée des enjeux de cybersécurité, et ce dans un langage simple. Ce type de documents peut notamment permettre de répondre à des questions simples mais souvent considérées à tort comme complexes.
Miser sur une stratégie à long terme
Une stratégie d'entreprise peut viser des résultats à court terme mais elle doit aussi envisager l'avenir à plus long terme. Cela peut passer par exemple par prendre soin de sa propre protection en interne. Mettre en place une politique de sécurité stricte, des process afin de se protéger non seulement soi-même mais également les tiers. Tout cela va au-delà de toute stratégie commerciale à court terme.
Lutter contre les principales menaces
Il faut impérativement éviter toute attaque de la supply chain. Cela tombe sous le sens, mais l'envoi de malwares à des clients est catastrophique du point de vue de la crédibilité. Les fuites de données et la perte de contrôle de l'infrastructure représentent des menaces du même ordre.
Garantir une cybersécurité de bout en bout de la supply chain
Tout professionnel de la cybersécurité sait à quel point les supply chains numériques sont complexes et multi-facettes. Il est capital de responsabiliser tous les professionnels qui travaillent directement avec les différents points de contact de cette chaîne. Ils doivent acquérir un niveau de réflexion suffisant sur la cybersécurité, et ne transmettre aux clients que des logiciels sécurisés. Pour ce faire, la sécurité doit être intégrée d'emblée à l'ensemble des process, depuis l'approvisionnement jusqu'à la signature des contrats.
Intégrer la cybersécurité au bon moment
L’entreprise est peut-être en train de se numériser ou de se cloudifier. Peut-être est-ce une occasion à saisir pour atteindre les objectifs de sécurité, sans avoir à lancer directement une nouvelle initiative. Levez simplement la main et demandez : « Est-il possible d’intégrer la cybersécurité dans ce processus ? »
Optimiser les efforts grâce à des initiatives déjà en place
Il n’est pas rare de voir dans les organisations de longues listes d’audits et autres procédures de conformité en cours. Il faut toujours garder en tête qu’aller à l’essentiel permet d’analyser ce qui est déjà en place et le cas échéant de les repenser.
Plutôt que de lancer sans cesse de nouvelles initiatives à petite échelle, il peut être pertinent d’adopter ou d’améliorer une approche DevSecOps, pour optimiser les efforts en matière de sécurité.
Identifier les outils indispensables à la poursuite des objectifs
Il est essentiel d'identifier les initiatives internes et externes, c'est-à-dire l'ensemble des éléments qui
permettent d'atteindre les objectifs de sécurité de l'entreprise. Si la liste devient trop longue, il faut identifier les éventuelles solutions ou produits en double, qui ne sont plus vraiment utiles.
Cette discussion conduit naturellement à la question finale.
Investir pour permettre d’atteindre ces objectifs
Lorsqu’on évoque les coûts ici, il s'agit de coûts réels. Ils comprennent les honoraires des consultants externes, les salaires du CISO, les abonnements au MDR, la formation à la sécurité et les abonnements aux plateformes. Une fois ces chiffres analysés, il est possible de prendre des décisions rationnelles, pas uniquement guidées par des besoins immédiats.
En tant que RSSI, il est important de garder à l’esprit que l’identification et la communication sont les maîtres-mots de la réussite d’un process de cybersécurité en entreprise. Bien trop souvent, la gestion des risques est prioritaire sur l’explication des objectifs, défis et responsabilités de chacun. Or il est désormais primordial d’adopter un langage commun à tous les professionnels concernés de près ou de loin par la cybersécurité.