Comme tous les autres dirigeants d'entreprise, les responsables de la sécurité des systèmes d'information (RSSI) pourraient se retrouver au chômage si un incident grave venait à se produire sous leur responsabilité.
Mais que se passerait-il si les RSSI ne parvenaient tout simplement pas à démontrer une valeur ajoutée suffisante pour l'entreprise ?
Alors qu’une récession se profile à l’horizon et que les entreprises réduisent leurs coûts, il est devenu essentiel de démontrer que les programmes de cybersécurité sont bénéfiques pour l’entreprise afin de préserver les budgets et les emplois.
C'est pourquoi l'analyse comparative des performances devient incontournable pour les responsables de la cybersécurité partout dans le monde. En effet, le cabinet d'analyse sectorielle Gartner prévoit que d'ici 2026, la moitié des cadres dirigeants verront leurs contrats de travail intégrer des objectifs de performance liés aux risques. De telles mesures incitatives ont tendance à vous faire réfléchir.
La pression s'intensifie en faveur d'une évaluation comparative de la cybersécurité
Alors que les dirigeants sont de plus en plus confrontés à des indicateurs de performance axés sur les risques, les RSSI seront très certainement soumis à une pression accrue pour quantifier le succès de leurs programmes lors des réunions et dans leurs rapports. Cela implique de sortir de leur zone de confort axée sur la technologie et d'accorder davantage d'importance aux enjeux stratégiques, tels que l'amélioration de l'innovation, les résultats des investissements et la maturité en matière de cybersécurité.
« Les responsables de la sécurité des systèmes d'information (RSSI) ont du mal à communiquer avec la direction, car ce que celle-ci souhaite savoir, c'est : « Suis-je en sécurité ? » « Suis-je en sécurité ? » déclare Frank Dickson, vice-président du groupe chargé de la sécurité et de la confiance au sein du cabinet d'études de marché IDC. « Or, les responsables de la sécurité des systèmes d'information (RSSI) ont tendance à rendre compte d'une multitude d'indicateurs liés à l'activité qui ne répondent pas à ces questions, ce qui agace les PDG. »
Selon M. Dickson, ce que les RSSI doivent mettre en avant, c'est la manière dont leurs actions permettront de réduire les risques. À cette fin, les indicateurs de performance permettent aux dirigeants de suivre les progrès réalisés en matière de réduction des risques et de montrer dans quelle mesure leurs programmes répondent aux objectifs internes ainsi qu'à ceux de leurs homologues. De plus, elles permettent aux responsables de la sécurité des systèmes d'information (RSSI) de collecter et de présenter des données pertinentes pour l'entreprise.
« Les conseils d'administration et les équipes de direction s'impliquent beaucoup davantage dans la cybersécurité de nos jours », déclare Lou Celi, PDG de ThoughtLab Group, un cabinet d'études international. « Ils veulent s'assurer de ne pas se retrouver dans une situation délicate. » « Ils ne veulent pas en faire moins que les autres. »
Il est temps de choisir une norme
De nombreux référentiels de sécurité informatique élaborés par des secteurs d'activité et des associations peuvent s'avérer utiles à des fins de comparaison, notamment : le cadre de cybersécurité de l'Institut national des normes et des technologies (NIST) , le cadre de cybersécurité, la certification du modèle de maturité en matière de cybersécurité (CMMC) du ministère de la Défense , la série de normes ISO 27000 de l’Organisation internationale de normalisation (ISO) (les normes ISO 27001 et 27002 sont couramment utilisées en matière de cybersécurité), ainsi que la norme de bonnes pratiques en matière de sécurité de l’information de l’Information Security Forum (ISF) . La plupart des organisations et des outils utilisent ce type de cadres.
«Les conseils d’administration et les équipes de direction… veulent s’assurer de ne pas se retrouver dans une situation délicate. » Ils ne veulent pas en faire moins que les autres. »Lou Celi, PDG du groupe ThoughtLab
M. Dickson estime que tous ces cadres méritent d'être examinés, mais souligne que leur applicabilité et leur utilité peuvent varier selon les secteurs d'activité. Il explique qu'il est judicieux de se renseigner et de les comparer, puis de « choisir celle qui vous convient le mieux ».
S'ils sont correctement mis en œuvre, les programmes conformes aux normes de cybersécurité peuvent réduire le risque de violations de réseau. En effet, une récente enquête menée par ThoughtLab auprès de 1 200 grandes entreprises a révélé que celles qui sont les plus avancées dans la mise en œuvre du cadre de cybersécurité du NIST obtiennent de meilleurs résultats que les autres sur des indicateurs clés tels que le délai de détection d'une violation (119 jours pour les organisations les plus avancées contre 132 jours pour les autres). Selon ce rapport, les organisations de premier plan ont également enregistré moins de manquements graves au cours de l'année.
Voilà le genre de chiffres que les responsables des tableaux de bord et les dirigeants adorent entendre. Elles indiquent qu'une organisation est moins exposée au risque d'attaque, ce qui permet de faire savoir au public qu'elle protège non seulement ses propres données, mais aussi celles de ses clients et de ses partenaires.
En étant moins exposée au risque de subir une cyberattaque grave, une entreprise gagne également en agilité et en capacité d'innovation, ce qui peut lui procurer un avantage concurrentiel.
« Si vous avez mis de l’ordre dans vos affaires et que vous faites preuve d’une certaine agilité, vous pouvez montrer aux dirigeants que vous adoptez une mentalité de « shift-left » », explique Paul Watts, analyste émérite à l’ISF. « C’est là que vous adoptez une approche proactive en matière de sécurité au sein de votre organisation, qu’il s’agisse des personnes, des processus ou des technologies. » Cela signifie que vous pouvez vous adapter et agir de manière rapide et innovante. « Vous avez la souplesse d'esprit nécessaire pour essayer de nouvelles choses. »
Les approches peuvent varier
Il n'en reste pas moins que la collecte de données pertinentes permettant de montrer dans quelle mesure une équipe de sécurité informatique respecte les normes clés peut s'avérer fastidieuse et délicate. Toutes les organisations ne s'en sortent pas particulièrement bien dans ce domaine.
Beaucoup, par exemple, continuent d'adopter une approche « faites-le vous-même ». Ils choisissent un indicateur, désignent des collaborateurs chargés de collecter les données de performance au sein de l'ensemble de l'organisation, puis saisissent ces données dans des tableurs. Le problème, c'est que la collecte de données peut prendre énormément de temps et que, une fois les résultats définitifs saisis, ceux-ci sont souvent déjà obsolètes. Par conséquent, les rapports adressés au conseil d'administration ou à la direction générale pourraient ne pas s'avérer aussi utiles pour la prise de décision au sein de l'entreprise.
Une autre approche consiste à faire appel à un consultant pour réaliser une analyse comparative en matière de cybersécurité. Cela permet de disposer immédiatement de ressources et d'une expertise dont le personnel du RSSI ne dispose pas nécessairement. Et selon toute vraisemblance, ces intervenants externes pourraient avoir une vision plus actualisée de l'évolution du paysage des cadres de cybersécurité de l' que le personnel interne. Elles peuvent donner aux entreprises une idée générale de leur niveau de sécurité, mais, à l’instar de l’approche « à faire soi-même », il s’agit d’évaluations ponctuelles qui ne fournissent pas nécessairement le contexte le plus pertinent pour les dirigeants.
Une troisième approche consiste à investir dans des outils tiers d'analyse comparative des performances, capables d'analyser l'ensemble d'une entreprise, de collecter des données pertinentes à grande échelle et de générer des rapports en temps réel. Les outils en temps réel garantissent que les résultats ne sont pas obsolètes au moment de leur livraison.
Il existe de nombreux outils d'analyse comparative. Certains fournisseurs, par exemple, ont mis sur le marché des outils intégrés à leurs produits ou vendus en complément de ceux-ci. Les meilleurs outils permettent aux organisations de comparer en temps réel leurs indicateurs de risque liés à l' informatique à ceux de leurs homologues du secteur et de résoudre immédiatement les problèmes depuis la même console. Des associations telles que l'ISF mettent également à la disposition de leurs membres des outils gratuits d'analyse comparative en matière de cybersécurité , tandis que des organismes comme la Security Industry Association (SIA) proposent des études comparatives utiles. Gartner prévoit également de proposer son propre outil d'analyse comparative « ».
Harmonisation des indicateurs
En résumé : les organisations disposent de nombreuses méthodes pour évaluer leurs performances par rapport à des références. Il peut être utile de combiner plusieurs approches. En effet, cela est recommandé, car les données issues des analyses comparatives reposent parfois sur des échantillons de petite taille et non représentatifs. Le recoupement des données internes et externes peut donc offrir une vision plus large et plus équilibrée des progrès réalisés par une organisation au regard de ses indicateurs de performance.
«Si vous avez mis de l’ordre dans vos affaires et que vous faites preuve d’une certaine agilité, vous pouvez montrer aux dirigeants que vous adoptez une mentalité de « shift-left ». »Paul Watts, éminent analyste au sein de l'Information Security Forum (ISF)
Afin de s'assurer que les indicateurs sont adaptés aux besoins de l'entreprise, les RSSI devraient entretenir un dialogue régulier avec les membres du conseil d'administration et les cadres supérieurs pour comprendre l'évolution des priorités. M. Watts, de l’ISF, estime que ces discussions devraient permettre d’évaluer le niveau de risque que les dirigeants sont prêts à assumer à long terme.
« [Les entreprises] ont des appétits pour le risque qui varient », déclare-t-il. « Les start-ups naissantes sont généralement prêtes à prendre un peu plus de risques, car elles cherchent à se développer et sont prêtes à trébucher sur leurs lacets. » « Les grandes entreprises, en particulier celles qui sont soumises à une réglementation stricte ou qui doivent rendre des comptes à leurs investisseurs, ont tendance à être plus réticentes à prendre des risques. »
M. Watts ajoute que les RSSI devraient collaborer avec les dirigeants afin de déterminer le niveau de maturité en matière de cybersécurité que l'organisation doit viser et de convenir des moyens permettant de transformer cet objectif en avantage concurrentiel.
Brogan Ingstad, vice-président chargé du conseil en gestion des risques chez Teneo, un cabinet international de conseil aux PDG, affirme que les RSSI devraient également veiller à évaluer des indicateurs concrets en matière de cybersécurité. Selon lui, certains dirigeants estiment que les enjeux opérationnels, tels que les effectifs et le budget, constituent des indicateurs de cybersécurité. Bien que cela soit important d'un point de vue de la gestion, les RSSI devraient s'attacher davantage à mettre en évidence les progrès réalisés par leur organisation par rapport à des critères de référence ou à des objectifs spécifiques en matière de sécurité, affirme-t-il.
« Il est également important de ne pas vouloir tout contrôler à l'aide d'indicateurs », explique M. Dickson, d'IDC. Souvent, les RSSI pensent qu’ils doivent se concentrer sur 10 ou 20 catégories d’indicateurs, alors qu’ils auraient tout intérêt à se concentrer sur un nombre restreint d’entre eux. M. Dickson en recommande trois : l'efficacité en matière de sécurité, le risque et la valeur ajoutée pour l'entreprise.
« Dans le domaine de la sécurité, on a souvent tendance à se laisser obnubiler par la recherche de la perfection », explique-t-il. « La perfection est l'ennemie du bien, et en matière d'indicateurs, il suffit d'être suffisamment bon. »
