Si vous êtes un responsable de la sécurité des systèmes d'information (RSSI) et que vous pensez que votre rôle est de prévenir les violations, vous feriez mieux de commencer à changer d'état d'esprit. Vous devriez vous considérer comme un gestionnaire des risques et un « pont de traduction » vers la direction générale.
C'est ce qu'affirme Joseph Karpenko (à droite), RSSI chez Stratascale, une entreprise de services en cybersécurité basée en Caroline du Nord. À mesure que le paysage des menaces devient plus complexe, dit-il, les responsables de la cybersécurité doivent penser comme des dirigeants d'entreprise qui gèrent les risques juridiques, protègent les flux de revenus et renforcent la résilience en cas de violation.
Karpenko, chez Stratascale depuis 2021, possède près de trois décennies d'expérience dans l'avancement des initiatives de cybersécurité et le renforcement des infrastructures critiques au sein de diverses organisations, générant un parcours aussi prodigieux que sa barbe (qui, reconnaît-il, a pris moins de temps à développer – il la laisse pousser depuis quelques années).
Ayant débuté en tant qu'ingénieur en matériel et en sécurité, Karpenko a occupé des postes chez Cisco, le géant de la paie ADP, l'organisation intergouvernementale Packet Clearing House, le Center for Applied Internet Data Analysis, l'Information Technology Information Sharing and Analysis Center (IT-ISAC), et bien d'autres.
Nous nous sommes entretenus avec lui sur l'évolution du rôle du RSSI, la manière de faire évoluer le discours du centre de coûts vers le levier de valeur, et pourquoi la sécurité proactive est bien plus qu'un simple mot à la mode. Dans l'année à venir, dit-il, les RSSI ont une opportunité unique de conduire un véritable changement au sein de leurs organisations.
Commençons par le rôle du RSSI. Vous dites qu'elle est en cours de transformation ?
Je le vois davantage comme une évolution des responsabilités qu'ils ont assumées. Les RSSI ont évolué de ce qui était principalement un rôle super technique vers une prise en compte des risques commerciaux, des risques opérationnels, des risques stratégiques, des risques de réputation, et des risques juridiques.
"Les RSSI doivent mieux communiquer avec la direction générale et le conseil d'administration sur la maturité du programme [de sécurité]... Vous devez être ce pont de traduction."
En d'autres termes, comment sécuriser, protéger et défendre mon environnement ainsi que celui de mon partenaire commercial ?
Et à quoi ressemble cette évolution, passant d'un rôle technique à celui de partenaire stratégique d'affaires ? Quel est le nouvel ensemble de compétences ?
Ce sont les compétences dont les RSSI ont besoin pour mieux communiquer avec la direction générale et le conseil d'administration sur la maturité du programme, sur les domaines nécessitant des investissements, et pour démontrer ce qui est fait afin d'aider la direction générale à comprendre comment ils protègent et défendent cet environnement. Pour moi, vous devez être ce pont de traduction.
Les RSSI auront toujours besoin d'avoir ces conversations vers le bas avec leur équipe technique, mais c'est vers le haut que les défis ont existé. L'une des compétences clés dont les RSSI ont besoin à mesure que nous avançons est définitivement les compétences non techniques – les compétences personnelles, la sphère d'influence. C'est connaître leur public, comment comprendre quels sont leurs désirs et leurs besoins pour l'entreprise, quels sont ces processus et systèmes métier critiques qui font fonctionner et tourner leur entreprise, et comment s'assurer qu'ils peuvent réellement continuer à exploiter une entreprise minimalement viable (essentiellement les opérations et systèmes de base nécessaires pour fonctionner et servir les clients) même en cas de perturbation.
Alors, à mesure que les RSSI s'intègrent davantage dans les conversations stratégiques, que peuvent-ils faire pour faire évoluer la cybersécurité, qui est principalement perçue comme un centre de coûts, vers une reconnaissance en tant que levier de revenus ?
L'un des éléments clés consiste à se concentrer sur les risques juridiques et contractuels. De nombreux contrats exigent désormais un certain niveau de maturité en matière de cybersécurité. Si vous n'êtes pas aux normes, vous risquez de perdre des contrats, et si vous perdez des contrats, vous perdez essentiellement des revenus et des recettes. D'un autre côté, un programme mature peut vous aider à remporter de nouveaux contrats et à maintenir les relations existantes.
"De nombreux contrats exigent désormais un certain niveau de maturité en matière de cybersécurité. Si vous n'êtes pas à la hauteur des normes, vous risquez de perdre des contrats.«
Il y a ensuite le risque opérationnel – s'associer avec les DSI et les directeurs techniques pour comprendre les systèmes critiques signifie que vous pouvez vous rétablir rapidement en cas de perturbation. Cette résilience permet d'éviter des temps d'arrêt coûteux. Il y a aussi l'aspect opérationnel – combien de temps faites-vous passer aux gens sur des tâches inutiles ? Cela coûte beaucoup d'argent. Comment pouvez-vous automatiser ces processus ? Tout cela renforce la confiance avec le conseil d'administration, les partenaires et les clients.
Existe-t-il certains secteurs qui pourraient bénéficier d'un lien entre la sécurité et la valeur commerciale plus tôt que tard ? Vous avez travaillé chez ADP – est-ce quelque chose qui pourrait être utile au secteur financier ?
Je pense donc que tout le monde peut s'améliorer, mais j'ai l'impression que les services financiers s'en sortent plutôt bien. Ils ont accordé une très bonne attention à la cybersécurité depuis un certain temps et ils sont très bien organisés et coordonnés en ce qui concerne leurs programmes de sécurité. Je dirais que la fabrication et la santé sont deux secteurs clés à examiner.
Ces deux secteurs ont été extrêmement touchés à chaque fois qu'une perturbation cybernétique survient. Si vous mettez la fabrication hors ligne, les responsables d'usine savent presque à la seconde près combien cela coûte. Et nous avons vu les perturbations que les incidents cybernétiques ont causées dans le secteur de la santé, où des hôpitaux ont dû fermer leurs portes. Vous devez déplacer des chirurgies, il y a un impact sur les patients, et il est possible que ces perturbations puissent coûter des vies.
Et dans ces cas, la résilience est essentielle. Pourquoi est-il si important d'être proactif plutôt que réactif en matière de sécurité ?
C'est une excellente question. Si vous réagissez, vous ne faites que répondre et éteindre des incendies. Personne n'aime être réactif. C'est épuisant et on se retrouve à bout et fatigué.
"Si vous réagissez, vous ne faites que répondre et éteindre des incendies... Lorsque vous adoptez une approche proactive, vous recherchez des lacunes, des éléments à corriger et ce que vous pouvez améliorer.«
Mais lorsque vous adoptez une approche proactive et mesurée, vous recherchez des lacunes, des éléments à corriger et ce que vous pouvez améliorer. En faisant cela, vous réfléchissez aux processus clés que vous devez sécuriser, protéger et défendre, et vous le faites aux côtés du CTO et du CIO.
Alors, comment les organisations peuvent-elles opérer cette transition vers une approche plus proactive ?
Vous devez disposer de plans de réponse aux incidents collaboratifs appropriés avec l'entreprise – continuité des activités, reprise après sinistre, puis réponse aux incidents. Les avoir est crucial. Vous devez organiser des exercices de simulation pour le personnel technique et la direction générale avec la direction exécutive. Les impliquer les aide à comprendre que la technologie est intimement liée à ce que nous faisons, et qu'ils doivent en être un élément clé et comprendre que nous sommes là pour les aider et les accompagner. En même temps, vous devez permettre à nous de vous soutenir dans l'entreprise.
Ainsi, pour moi, l'aspect proactif de la cybersécurité, associé à la résilience, continuera d'être un axe prioritaire. Il s'agit vraiment de savoir à quelle vitesse je peux me rétablir et remettre l'entreprise en marche.
POUR EN SAVOIR PLUS
Découvrez d'autres interviews exclusives avec des responsables de la sécurité dans notre série « Success Stories ».
- L'« évangéliste de la confidentialité » de Lowenstein Sandler, Ken Fishkin, sur…
LA FORMATION ENNUYEUSE EN CYBERSÉCURITÉ - Mike Wilkes, le « super-héros » Marvel, sur…
L'UTILISATION DE L'IA POUR LUTTER CONTRE LA CYBERCRIMINALITÉ - Ash Hunt du Groupe Apex sur…
PRÉDIRE LE RISQUE CYBER (AVEC PRÉCISION) GRÂCE À CETTE FORMULE - Jeff Aguilar du Comté de LA sur…
COMMENT IL FORME (ET REFORME) LES EMPLOYÉS POUR LUTTER CONTRE LE PHISHING - Dennis Leber d'Honest Medical Group sur…
POURQUOI IL NE PARLE PAS (BEAUCOUP) DE CYBERSÉCURITÉ AVEC LE CONSEIL D'ADMINISTRATION - Stephen Held de Leo A Daly sur…
L'AUTRE FACE DU RISQUE LIÉ AUX TIERS - Michael Adams de Zoom sur…
ATTEINDRE LA CYBERSÉCURITÉ 2,0 GRÂCE AU SCORING DU RISQUE CYBER
