Avant de rejoindre Honeywell, Sheila Jordan explique que les données essentielles de l'entreprise — concernant les clients, les salariés et les expériences des partenaires — étaient dispersées dans des silos répartis dans différentes parties de ce conglomérat tentaculaire. Cet arrangement improvisé rend les données non seulement difficiles d'accès, mais aussi difficiles à sécuriser.
Pour y remédier, Jordan, le directeur des technologies numériques de l'entreprise, a embauché 700 personnes. Ensemble, ils ont harmonisé l'ensemble de ces données grâce à 40 projets de transformation numérique menés par . Résultat : des données harmonisées qui permettent désormais d'améliorer l'expérience des clients, des collaborateurs et des partenaires.
« Il ne s’agit pas d’une communication entre les fonctions », explique Jordan. « Il s’agit de laisser les données parler d’elles-mêmes et de nous révéler des choses que nous ne verrions pas autrement. »
Selon Jordan, parmi les aspects que les organisations négligent souvent — ou ne prennent pas en compte — lorsqu’elles se lancent dans une transformation numérique, figurent la vulnérabilité des données et leur visibilité. La transformation numérique modifie sans cesse l'architecture technologique. Ce qui était autrefois des périmètres sécurisés et contrôlés de manière centralisée, des terminaux fournis par l'entreprise et une infrastructure gérée sur site a évolué pour devenir un vaste réseau de services logiciels, d'infrastructures cloud et de services applicatifs décentralisés.
Selon Jordan, une véritable transformation intervient lorsque les entreprises mettent en place des expériences numériques « horizontales » et sécurisées : celles qui impliquent tous les silos opérationnels nécessaires à l'obtention de résultats et qui intègrent ainsi tous les aspects de l'activité, y compris la cybersécurité.
«Il s’agit de laisser les données parler d’elles-mêmes et de nous révéler des choses que nous ne verrions pas autrement. »Sheila Jordan, directrice des technologies numériques chez Honeywell
Honeywell a adopté une « approche horizontale » pour créer des services sécurisés tels que , Honeywell , et Forge. Il s'agit d'une plateforme dédiée à l'Internet des objets (IoT) capable d'intégrer les opérations informatiques d'une entreprise à ses technologies d'exploitation des bâtiments (OT), qui gèrent des systèmes tels que l'éclairage, le chauffage, la ventilation et la climatisation (CVC) ainsi que les cartes d'accès électroniques. « Je peux analyser les données issues des systèmes informatiques (IT) et des systèmes opérationnels (OT) pour obtenir des informations sur un bâtiment, même s’il se trouve à plusieurs milliers de miles de là », explique Jordan. « Cela n'était historiquement pas accessible » aux organisations.
La question qui se pose aux autres dirigeants du monde des affaires et des technologies qui envisagent des projets de transformation numérique est la suivante : comment y parvenir avec succès tout en garantissant la sécurité ?
La sécurité en tant que partenaire commercial
En intégrant la technologie dans tous les aspects du modèle opérationnel d'une entreprise, la transformation numérique peut aider les entreprises à se développer, à mettre au point de nouveaux produits et services, à créer de nouveaux marchés, à améliorer l'expérience client et celle des collaborateurs, ainsi qu'à gérer les risques. « La technologie transforme le mode de fonctionnement des entreprises », déclare Oliver Yao, doyen adjoint de la faculté de commerce de l'université de Lehigh.
«Les choses peuvent très mal tourner si vous ne respectez pas ces consignes. »Sandeep Kharidhi, directeur général des plateformes de données et d'analyse et directeur des produits chez Deluxe
Pour mener à bien la transformation numérique, la sécurité de l' doit faire partie intégrante de cette démarche dès le départ, en mettant l'accent sur la vulnérabilité des données. « Notre activité repose sur les données ; par conséquent, des aspects tels que la sécurité, l’éthique, la confidentialité et la conformité sont au cœur de nos préoccupations », explique Sandeep Kharidhi, directeur général des plateformes de données et d’analyse et directeur des produits chez Deluxe, la société de services financiers surtout connue pour la fabrication de chèques personnels et d’entreprise. « Les choses peuvent très mal tourner si vous ne procédez pas correctement. »
Chez Deluxe, les responsables de la sécurité de l'information travaillent en étroite collaboration avec les développeurs d'applications et les ingénieurs. « Les spécialistes de la sécurité résistent à la tentation d'approuver sans autre forme de procès un changement d'architecture », explique M. Kharidhi. Ils constituent ainsi un partenaire essentiel pour l'équipe de développement de l'application.
Une fois qu’un projet de transformation numérique a été mené à bien, en particulier s’il implique l’accès à des données sensibles concernant les collaborateurs, les clients ou les partenaires, les équipes informatiques doivent s’assurer que ces données restent hors de portée des personnes non autorisées, tant à l’extérieur qu’à l’intérieur de l’organisation. Pour ce faire, on veille au respect du principe du « droit d'accès minimal » aux données et aux droits d'administration.
[À lire également : Les stratégies « zero trust » doivent aller au-delà de l'utilisateur]
« Il doit y avoir une source unique de vérité pour les données et un nombre limité de personnes ayant accès à cette source unique de vérité », déclare Barbara Rea, directrice des opérations chez Arden Logistics Parks.
Cette société immobilière d'exploitation — qui achète, rénove et gère des parcs d'activités industrielles légères à travers tout le pays — a récemment mis en place des solutions numériques pour des activités opérationnelles d'un montant de 800 millions de dollars. Elle prévoit de porter ce montant à 2 milliards de dollars. « Nous utilisons des outils pour estimer la quantité d'électricité consommée par nos systèmes de chauffage, de ventilation et de climatisation, afin de pouvoir évaluer la durée de vie de ces équipements », explique-t-elle. Toutefois, en ce qui concerne les données et leur accès, M. Rea fait remarquer : « On ne peut pas laisser n’importe qui y accéder. »
Les RSSI et l'hygiène informatique
Selon M. Jordan, de Honeywell, la responsabilité ultime de la sécurité de la transformation numérique incombe au RSSI. « Je pense que le rôle du RSSI consiste à protéger les actifs de l’entreprise — et les données constituent un actif », déclare Jordan. « Quand on pense à une architecture [informatique], on pense à l'ensemble de l'infrastructure, à tous les appareils et à toutes les données. »
«Il doit y avoir une source unique de vérité pour les données et un nombre limité de personnes ayant accès à cette source unique de vérité. »Barbara Rea, directrice des opérations chez Arden Logistics Parks
Les évaluations régulières des vulnérabilités , la surveillance des vulnérabilités, la surveillance des vulnérabilités , la surveillance, l'application des correctifs logiciels , la mise à jour, la vérification des données externes, la recherche active et rigoureuse des menaces , la chasse aux menaces, ainsi que d'autres aspects de l'hygiène informatique doivent également figurer parmi vos priorités.
Mais le RSSI doit collaborer avec le DSI pour mettre en place des « couches de sécurité », explique M. Rea, qu'il s'agisse d'empêcher les malfaiteurs d'entrer ou de protéger les actifs à l'intérieur. « La sécurité est l'affaire de tous », déclare-t-elle. Une cybersécurité efficace passe par une formation et des tests réguliers du personnel : exercices de simulation d'hameçonnage, exercices sur table et plans de résilience aussi rigoureux que ceux mis en place en cas de catastrophe naturelle.
[À lire également : Découvrez l'homme qui peut contribuer à prévenir une catastrophe informatique]
« Il y a d’une part la sécurité liée à la classification des postes, et d’autre part la sécurité liée à la logistique », explique Jean Vixamar, spécialiste senior en gestion des vulnérabilités chez Verizon. Il affirme que la sécurité devrait être dissociée de l'informatique, notamment du point de vue de la direction, dans le cadre des projets de transformation numérique. « Vous souhaitez que les professionnels de la sécurité prennent leurs décisions en s'appuyant sur des politiques clairement définies et consignées par écrit, plutôt que de voir un professionnel de la sécurité rendre compte à un responsable informatique qui souhaite simplement faire avancer le projet. »
« La sécurité est une alliée », déclare Vixamar. « En fin de compte, vous n’empêchez pas l’entreprise de mener ses activités pour générer des bénéfices. » « Mais vous devez vous assurer que, dans le cadre de vos activités, vous agissez en toute sécurité. »
À mesure que les entreprises se transforment, elles doivent trouver un équilibre entre ces deux piliers que sont la technologie et la sécurité. Ce n'est qu'alors qu'elles auront un impact significatif.
