Les équipes de sécurité et les conseils d’administration connaissent une panne de communication sur les risques. Lorsque les RSSI et les équipes de sécurité partagent des mesures et des données avec le conseil d’administration, ils parlent le langage informatique : tentatives d’hameçonnage bloquées, systèmes corrigés, pourcentages d’endpoints exécutant un logiciel AV. Le conseil d’administration écoute avec ses oreilles adaptées au langage des affaires : continuité opérationnelle, risque de pannes, effets sur les bénéfices et la productivité, investissements et coûts irrécupérables, et probabilité de sanctions réglementaires ou de mauvaise presse.
Numéros des discussions de sécurité : mises à jour, correctifs, temps moyen de réparation (MTTR). Le conseil d’administration parle également de chiffres : dollars, effectifs, risques d’attaque. Les deux côtés finissent par parler les uns au-delà des autres. Par conséquent, l’histoire des risques auxquels l’entreprise est confrontée se perd. Sans une compréhension claire des risques, l’entreprise ne peut pas agir rapidement et efficacement pour réduire les cybermenaces, telles que les violations de données et les attaques de ransomware.
Ce n’est que l’une des conclusions d’une récente enquête menée par Harvard Business Review Analytic Services, parrainée par Tanium. L’enquête, Organisations s’efforcent de mesurer et de surveiller les cyber-risques, fournit une image claire de l’état des rapports de risque dans le monde des entreprises aujourd’hui. Les conclusions du rapport offrent des conseils utiles à toute équipe de sécurité ou tout conseil d’administration intéressé par une meilleure compréhension des risques et la manière de les gérer.
L’état des rapports sur les risques aujourd’hui
L’enquête Harvard Business Review Analytic Services a posé des questions à 180 personnes interrogées dans des cadres intermédiaires, seniors ou exécutifs d’entreprises du monde entier sur les rapports de sécurité et les risques. Les répondants ont généralement convenu que les cadres supérieurs ont besoin de meilleures informations sur les risques importants auxquels les organisations sont confrontées aujourd’hui.
- 70 % des dirigeants d’entreprise de leur organisation sont quelque peu ou fortement d’accord pour dire qu’ils devraient être plus préoccupés par la cybersécurité de leur organisation.
- 68 % des personnes interrogées ont un peu ou fortement convenu que les équipes informatiques pourraient faire plus pour s’assurer que les cadres supérieurs sont mieux informés sur les cyber-risques et la cybersécurité de leur organisation.
S’il y a des problèmes avec les rapports de cybersécurité, il vaut la peine de se demander à quelle fréquence ces rapports sont effectués. L’enquête a révélé que :
- 33 % des équipes de sécurité informent les cadres supérieurs des cyber-risques de manière ponctuelle.
- 29 % des cadres dirigeants briefent chaque mois.
- 24 % de cadres dirigeants briefent chaque trimestre.
- 7 % informent les cadres chaque année.
- 7 % informent rarement ou jamais les dirigeants.
Des rapports ad hoc, annuels ou, pire encore, rares laissent les dirigeants d’entreprise dans l’obscurité sur les risques qui pourraient causer de graves dommages à l’organisation. Les équipes de direction ne peuvent pas être tenues de prendre les bonnes décisions concernant les risques si elles ne sont pas informées à leur sujet en temps opportun.
Un autre facteur pris en compte dans l’enquête était la manière dont les risques ont été signalés. Les équipes de sécurité ont-elles présenté une longue liste de mesures suivies au fil du temps ? Ont-ils opté pour des généralités ? Ou pour une combinaison de mesures et de thèmes ?
L’enquête a révélé que :
- 52 % ont présenté le statut global du risque ainsi que certains indicateurs et points de référence.
- 44 % ont présenté le statut général et global des risques avec peu ou pas de références.
- 13 % ont présenté un examen complet, y compris de nombreux indicateurs et points de référence.
Les généralités, bien sûr, peuvent être trop générales pour être utiles. Les mesures peuvent être utiles, mais uniquement si elles sont formulées en termes que les cadres supérieurs de l’entreprise peuvent comprendre.
L’importance de comprendre les risques
La plupart des cadres n’ont pas de solides antécédents technologiques. Ils ont du mal à comprendre les mesures de sécurité, en partie parce qu’il n’est pas clair comment les mesures sont alignées sur les objectifs principaux du conseil d’administration. Ces objectifs comprennent généralement la continuité des activités, les bénéfices et le maintien de la conformité réglementaire.
En gardant ces objectifs à l’esprit, comment les dirigeants d’entreprise doivent-ils répondre à un rapport sur les tendances des rançongiciels, les temps de réponse plus rapides au centre de service et le nombre d’ordinateurs portables qui doivent encore faire mettre à niveau leurs systèmes d’exploitation ? Les dirigeants ne le savent pas.
Il y a une traduction cruciale qui doit avoir lieu. Les équipes de sécurité doivent collecter des mesures sur l’état de leur infrastructure informatique. Mais ils doivent traduire ces indicateurs en termes qui sont significatifs pour les objectifs commerciaux de l’entreprise.
Les responsables de la sécurité doivent identifier les indicateurs qui ont du sens et qui comptent pour les deux équipes, afin que tout le monde puisse parler la même langue. Ces mesures produisent des informations sur lesquelles les conseils d’administration et les équipes de sécurité peuvent agir ensemble, tout en prenant en compte les personnes, les processus et la technologie.
En fin de compte, les dirigeants d’entreprise participent à ces réunions pour prendre des décisions. Ils doivent savoir dans quoi investir et quelles politiques adopter, corriger ou abandonner. Ils prendront ces décisions sur la base des objectifs plus larges de l’entreprise impliquant la stabilité et la croissance financières.
Les recherches suggèrent que les indicateurs doivent être liés aux finances de l’entreprise. Pour établir cette relation, les équipes de sécurité doivent comprendre comment les personnes, les processus et la technologie soutiennent les activités de l’entreprise aujourd’hui.
Ils doivent comprendre les spécificités. Par exemple, si la nouvelle application mobile de l’entreprise stimule la croissance, de quels systèmes informatiques cette application dépend-elle ? Quels serveurs et bases de données sont impliqués ? Quels systèmes d’exploitation et progiciels ces systèmes exécutent-ils ? L’un de ces systèmes d’exploitation est-il en danger en raison d’une vulnérabilité récemment annoncée ?
Une fois ce contexte établi, il est plus facile pour les dirigeants de comprendre ce que signifie un risque concernant les serveurs non corrigés en termes d’activité. Le reporting leur a permis de voir comment une mesure de sécurité se rapporte à un résultat financier : dans cet exemple, la panne potentielle d’une application génératrice de revenus.
Selon les termes du rapport HBR : « Les RSSI doivent réduire les mesures techniques et mettre le cyber-risque en termes économiques. » Ces indicateurs et termes doivent être cohérents d’un trimestre à l’autre, afin que tout le monde, y compris les équipes de sécurité et les chefs d’entreprise, puisse comprendre où se situe l’entreprise sur la question vitale du cyber-risque.
Pour en savoir plus sur le rapport et ses résultats, inscrivez-vous à notre webinaire sur 27 avril. Dans ce webinaire interactif en direct, Alex Clemente, directeur général de Harvard Business Review Analytic Services, partagera les informations de cette enquête sur la manière dont les organisations mesurent et surveillent les cyber-risques.
Il discutera ensuite de la menace du cyber-risque et des mesures que les organisations peuvent prendre pour l’atténuer, avec Chris Hallenbeck, directeur de la sécurité de l’information chez Tanium. Clemente et Hallenbeck discuteront de :
- Comment les organisations peuvent mieux faciliter la communication sur les cyber-risques
- L’importance d’utiliser les bons indicateurs de cyber-risque
- Pourquoi l’utilisation d’un trop grand nombre de mesures (en particulier les mesures techniques) peut causer de la confusion
- Comment garder les cadres concentrés sur la cybersécurité
Si vous souhaitez connaître la posture de risque informatique de votre organisation, demandez une évaluation des risques sans frais et recevez une vue complète de la posture de risque et des moyens proactifs de protéger votre organisation.
