Les équipes chargées de la sécurité et les conseils d'administration sont confrontés à un problème de communication concernant les risques. Lorsque les RSSI et les équipes de sécurité partagent des indicateurs et des données avec le conseil d'administration, ils utilisent le langage de l'informatique : tentatives de phishing bloquées, systèmes mis à jour, pourcentage de terminaux équipés d'un logiciel antivirus. Le conseil d'administration est à l'écoute et attentif au langage des affaires : continuité opérationnelle, risque de pannes, répercussions sur les bénéfices et la productivité, investissements et coûts irrécupérables, ainsi que risque de sanctions réglementaires ou de mauvaise presse.
Chiffres relatifs à la sécurité : mises à jour, correctifs, temps moyen de réparation (MTTR). Le conseil d'administration aborde également les chiffres : les dollars, les effectifs, les risques d'attaque. Les deux parties finissent par parler sans se comprendre. De ce fait, on perd de vue les risques auxquels l'entreprise est confrontée. Sans une bonne compréhension des risques, l'entreprise ne peut pas agir rapidement et efficacement pour réduire les cybermenaces, telles que les fuites de données et les attaques par ransomware.
Ce n'est là qu'une des conclusions d'une récente enquête menée par Harvard Business Review Analytic Services (s'ouvre dans un nouvel onglet), parrainée par Tanium. L'étude intitulée « Les entreprises peinent à mesurer et à surveiller les risques cybernétiques » dresse un tableau clair de l'état actuel du reporting des risques dans le monde de l'entreprise. Les conclusions de ce rapport fournissent des conseils utiles à toute équipe chargée de la sécurité ou à tout conseil d'administration souhaitant mieux comprendre les risques et la manière de les gérer.
L'état actuel du reporting des risques
L'enquête menée par Harvard Business Review Analytic Services a interrogé 180 personnes occupant des postes de cadres intermédiaires, supérieurs ou dirigeants au sein d'entreprises du monde entier sur les rapports de sécurité et les risques. Les personnes interrogées ont généralement estimé que les dirigeants d'entreprise avaient besoin d'être mieux informés des risques importants auxquels les organisations sont confrontées aujourd'hui.
- 70 % se sont dits plutôt d'accord ou tout à fait d'accord pour dire que les cadres supérieurs de leur entreprise devraient accorder davantage d'importance à la cybersécurité de celle-ci.
- 68 % des personnes interrogées se sont dites plutôt d'accord ou tout à fait d'accord avec l'idée que les équipes informatiques pourraient en faire davantage pour veiller à ce que les cadres supérieurs soient mieux informés des risques cybernétiques et de la cybersécurité au sein de leur organisation.
Si des problèmes se posent concernant les rapports sur la cybersécurité, il convient de se demander à quelle fréquence ces rapports sont établis. L'enquête a révélé que :
- 33 % des équipes de sécurité informent ponctuellement les cadres supérieurs de l'entreprise des risques liés à la cybersécurité.
- 29 % des cadres sont informés chaque mois.
- 24 % des cadres supérieurs font le point chaque trimestre.
- 7 % des cadres supérieurs chaque année.
- 7 % des cadres supérieurs ne s'expriment que rarement, voire jamais.
Des rapports ponctuels, annuels ou — pire encore — sporadiques laissent les dirigeants d'entreprise dans l'ignorance quant aux risques susceptibles de causer de graves préjudices à l'organisation. On ne peut pas attendre des équipes de direction qu'elles prennent les bonnes décisions en matière de risques si elles n'en sont pas informées en temps utile.
Un autre facteur pris en compte dans l'enquête concernait la manière dont les risques étaient signalés. Les équipes de sécurité ont-elles présenté une longue liste d'indicateurs suivis au fil du temps ? Ont-ils opté pour des généralités ? Ou selon une combinaison de indicateurs et de thèmes ?
L'enquête a révélé que :
- 52 % a présenté la situation globale en matière de risques, accompagnée de certains indicateurs et de valeurs de référence.
- Le chiffre de 44 % reflétait la situation générale en matière de risques, sans référence comparative ou presque.
- 13 % a présenté une analyse exhaustive, comprenant de nombreux indicateurs et références.
Bien sûr, les généralités peuvent parfois être trop générales pour être utiles. Les indicateurs peuvent être utiles, mais uniquement s'ils sont présentés en des termes compréhensibles pour les cadres supérieurs de l'entreprise.
L'importance de bien comprendre les risques
La plupart des cadres supérieurs ne possèdent pas de solides connaissances techniques. Ils ont du mal à comprendre les indicateurs de sécurité, en partie parce qu'il n'est pas évident de voir en quoi ces indicateurs s'inscrivent dans les objectifs principaux du conseil d'administration. Ces objectifs comprennent généralement la continuité des activités, la rentabilité et le respect des obligations réglementaires.
Compte tenu de ces objectifs, comment les dirigeants d'entreprise devraient-ils réagir face à un rapport traitant des tendances en matière de ransomware, de l'accélération des délais d'intervention du service d'assistance et du nombre d'ordinateurs portables dont le système d'exploitation doit encore être mis à jour ? Les dirigeants ne peuvent pas le savoir.
Il y a une traduction essentielle qui doit être effectuée. Les équipes de sécurité devraient collecter des indicateurs sur l'état de leur infrastructure informatique. Mais ils doivent traduire ces indicateurs en termes pertinents au regard des objectifs commerciaux de l'entreprise.
Les responsables de la sécurité doivent identifier les indicateurs pertinents et importants pour les deux équipes, afin que tout le monde puisse parler le même langage. Ces indicateurs fournissent des informations sur lesquelles les conseils d'administration et les équipes de sécurité peuvent s'appuyer pour agir de concert, tout en tenant compte des personnes, des processus et des technologies.
En fin de compte, les dirigeants d'entreprise participent à ces réunions pour prendre des décisions. Ils doivent savoir dans quoi investir et quelles politiques adopter, corriger ou abandonner. Ils prendront ces décisions en fonction des objectifs généraux de l'entreprise, notamment en matière de stabilité financière et de croissance.
Des études indiquent que les indicateurs devraient être liés aux résultats financiers de l'entreprise. Pour établir ce lien, les équipes de sécurité doivent comprendre comment les personnes, les processus et les technologies soutiennent aujourd'hui l'activité de l'entreprise.
Ils doivent en comprendre les spécificités. Par exemple, si la nouvelle application mobile de l'entreprise est un moteur de croissance, de quels systèmes informatiques cette application dépend-elle ? Quels sont les serveurs et les bases de données concernés ? Quels sont les systèmes d'exploitation et les logiciels utilisés par ces systèmes ? L'un de ces systèmes d'exploitation est-il menacé en raison d'une vulnérabilité récemment révélée ?
Une fois ce contexte établi, il est plus facile pour les dirigeants de comprendre ce que représente, pour leur entreprise, un risque lié à des serveurs non mis à jour. Ces rapports leur ont permis de comprendre le lien entre un indicateur de sécurité et un résultat financier : dans cet exemple, l'indisponibilité potentielle d'une application génératrice de revenus.
Pour reprendre les termes du rapport de la HBR : « Les responsables de la sécurité des systèmes d'information (RSSI) doivent réduire le recours aux indicateurs techniques et exprimer le risque cyber en termes économiques. » Ces indicateurs et ces termes doivent rester cohérents d'un trimestre à l'autre, afin que chacun, y compris les équipes de sécurité et les dirigeants, puisse comprendre où en est l'entreprise sur cette question cruciale qu'est le risque cyber.
Pour en savoir plus sur ce rapport et ses conclusions, rendez-vous sur et inscrivez-vous à notre webinaire sur 27 avril. (s'ouvre dans un nouvel onglet) Au cours de ce webinaire interactif en direct, Alex Clemente, directeur général de Harvard Business Review Analytic Services, vous présentera les conclusions de cette enquête sur la manière dont les organisations mesurent et surveillent les risques cybernétiques.
Il abordera ensuite la question de la menace que représentent les risques cybernétiques, ainsi que les mesures que les organisations peuvent prendre pour les atténuer, en compagnie de Chris Hallenbeck, responsable de la sécurité des systèmes d'information chez Tanium. Clemente et Hallenbeck aborderont les thèmes suivants :
- Comment les organisations peuvent-elles mieux faciliter la communication sur les risques cybernétiques ?
- L'importance d'utiliser les indicateurs appropriés en matière de risques cybernétiques
- Pourquoi l'utilisation d'un trop grand nombre d'indicateurs (en particulier d'indicateurs techniques) peut être source de confusion
- Comment veiller à ce que les dirigeants restent attentifs à la cybersécurité
Si vous souhaitez connaître le niveau d'exposition aux risques informatiques de votre organisation, demandez une évaluation gratuite des risques et obtenez une vue d'ensemble de cette exposition ainsi que des mesures proactives pour protéger votre organisation.
