Lorsque Theresa Payton, responsable de la sécurité, a pris ses fonctions à son précédent poste dans le domaine de la cybersécurité, l’une des premières questions qu’elle a posées concernait la fréquence de la procédure de gestion des correctifs de l’ au sein de l’organisation. La réponse n'était pas celle qu'elle espérait entendre. Ils ne procédaient à des mises à jour logicielles qu'une fois par mois et appliquaient une politique de « zéro temps d'arrêt ».
« J’avais l’estomac noué », se souvient-elle de cette époque. L'équipe faisait ce qu'elle estimait être juste, et l'organisation se satisfaisait de cette démarche, mais cela ne suffisait tout simplement pas pour garantir une sécurité suffisante des opérations. « Qu'est-ce que je vais bien pouvoir faire ici ? » se demanda-t-elle. « Montrez-moi la liste des mises à jour en attente », demanda-t-elle. Le retard accumulé était considérable.
En fin de compte, Mme Payton — la première femme à avoir occupé le poste de directrice des systèmes d'information à la Maison Blanche, et qui a supervisé les opérations informatiques pour le président et son équipe de la 2006 e à la 2008—sat e administration — s'est entretenue avec son directeur et lui a demandé si l'organisation était ouverte à d'autres possibilités. La manière dont ils décideraient d'aller de l'avant aurait un impact considérable sur la réussite de son action à la tête de la cybersécurité.
Pour un responsable de la sécurité des systèmes d'information (RSSI) fraîchement nommé, les 90 premiers jours constituent une période à la fois pleine de risques et d'opportunités. Si les RSSI agissent trop précipitamment ou font trop pression, ils risquent de s'aliéner l'organisation. S'ils agissent trop lentement, les nouveaux RSSI risquent de gâcher leur élan et leur période de grâce. Des RSSI expérimentés expliquent à Focal Point comment ils ont géré leurs premiers mois à ce poste. Voici comment vous adapter à votre nouveau poste.
Préparez-vous mentalement avant de recevoir l'offre d'emploi
« Commencez par vous faire une bonne idée de l'entreprise avant d'obtenir le poste », recommande David Elfering, directeur principal de la sécurité de l'information chez ReSource Pro, un prestataire de solutions d'assurance. M. Elfering conseille aux candidats de bien comprendre le modèle économique précis de l'organisation et la manière dont ses résultats dépendent de la cybersécurité.
Le futur RSSI souhaitera également se faire une idée de la hiérarchie organisationnelle : à qui le RSSI rend-il compte, quels sont les principaux dirigeants, quelle est la santé financière globale de l'organisation et quel est le taux de rotation du personnel ? Pour finir : quel est le budget informatique global, et quel pourcentage de ce budget est consacré à la sécurité ?
« Les entreprises s'attendent à ce que vous arriviez avec une vision quasi omnisciente et que vous soyez immédiatement opérationnel », explique M. Elfering. « Il faut se préparer au mieux. »
Allez sur le terrain
La première semaine de travail est l'une des périodes les plus cruciales. « C'est la semaine de l'action sur le terrain », déclare Payton, désormais PDG du cabinet de conseil en sécurité Fortalice Solutions. « Et j’appelle cela votre tournée d’évaluation de l’écoute », ajoute-t-elle. Les premières étapes constituent une période où il convient de se consacrer pleinement à la collecte d'informations, en prêtant attention à tous les détails essentiels dont un RSSI aura besoin par la suite concernant le programme. « Vous devez rencontrer tous les dirigeants d’entreprise et être à l’écoute de leurs besoins », ajoute Payton. « Si vous ne donnez pas les moyens d'agir aux dirigeants de l'entreprise, c'est que vous ne faites pas votre travail et que vous ne réussirez pas. »
«Si vous ne donnez pas les moyens d’agir aux dirigeants d’entreprise, alors vous ne faites pas votre travail et vous ne réussirez pas. »Theresa Payton, PDG du cabinet de conseil en sécurité Fortalice Solutions
Vous souhaitez rencontrer les responsables des ressources humaines, du service juridique, du service financier, des opérations et, enfin, le PDG. Payton recommande de demander aux dirigeants ce qui, selon eux, fonctionne bien. Préparez-vous à une liste courte, prévient-elle. Demandez-leur ensuite ce qui, selon eux, ne fonctionne pas bien. Préparez-vous à une liste plus longue.
C'est également l'occasion de nouer des liens. Martin Fisher, responsable de la sécurité des systèmes d'information (RSSI) à l'hôpital Northside d'Atlanta, recommande de dire quelque chose comme : « Je souhaite connaître votre avis, et je vais rester ici pour vous écouter. »
Si vous agissez ainsi au cours des 90 premiers jours, vous gagnerez en crédibilité auprès de votre équipe et vous contribuerez également à résoudre quelques difficultés en cours de route. Pendant tout ce temps, dit-il, « vous évaluez votre programme ». Vous évaluez votre personnel. « Et vous évaluez votre pile technologique. »
Découvrez la culture d'entreprise
Peter Drucker, le gourou du leadership, a prononcé cette phrase restée célèbre : « La culture l'emporte sur la stratégie. » Fisher l’a expliqué ainsi : « Cela signifie que si vous mettez en place une excellente stratégie de sécurité, mais qu’elle n’est pas en adéquation avec la culture de l’entreprise, elle est vouée à l’échec. »
Lorsque les RSSI abordent la question de la culture d'entreprise, trois types de relations revêtent une importance particulière : la relation hiérarchique avec les dirigeants et les responsables opérationnels, la relation avec les collaborateurs et les utilisateurs finaux, ainsi que la relation avec le personnel chargé de la sécurité. « Tissez des alliances pendant cette période, car les résultats commerciaux qui en découlent sont mutuellement bénéfiques, notamment en garantissant la sécurité de ces résultats », explique M. Elfering. « Mais cela doit se faire d’une manière qui s’inscrive dans la culture de l’organisation. »
Il est essentiel que les nouveaux responsables de la sécurité des systèmes d'information (RSSI) apprennent comment l'organisation prend ses décisions et respectent les processus déjà en place. « Notre organisation est sacrément hiérarchisée — c'est comme ça, tout simplement », déclare M. Fisher. « Et si vous n’êtes pas respecté en tant que dirigeant, et si vous ne prenez pas soin de vos subordonnés, cela finira mal pour vous. »
Renforcez votre crédibilité à tous les niveaux de la hiérarchie
Selon M. Fisher, la première règle pour se forger une crédibilité est de « ne pas se comporter comme un imbécile ». En réalité, les gens s'attendent à ce qu'un nouveau patron soit désagréable. « Cela vous offre une excellente occasion de prouver que vous n’êtes pas un imbécile, que vous avez écouté l’équipe et les dirigeants, et que vous êtes prêt à commencer à les aider à réussir », déclare-t-il.
Supposons que le nouveau RSSI suive les conseils donnés précédemment, à savoir écouter et évaluer le programme existant, l'équipe en place et la pile technologique actuelle. Dans ce cas, il est temps de gagner la confiance des dirigeants.
«S’il y a un dysfonctionnement, vous pouvez en reparler avec l’équipe et y remédier. »David Elfering, directeur principal de la sécurité de l'information chez ReSource Pro
M. Elfering recommande de chercher à comprendre comment l'équipe de sécurité est perçue par les autres. L'équipe de sécurité les a-t-elle par le passé empêchés d'agir lorsqu'ils tentaient de mettre en place des initiatives intéressantes ? Comment le nouveau RSSI peut-il rétablir cette relation ?
« S’il y a un problème, vous pouvez en reparler avec l’équipe et y remédier », explique-t-il. « Vous pouvez renforcer votre crédibilité tout en démontrant votre valeur ajoutée pour l'entreprise et en prouvant que vous êtes en mesure de générer de la valeur le plus rapidement possible. »
Outre le fait de gagner la confiance des dirigeants, il est essentiel d'établir la meilleure relation possible avec votre équipe. « Quelqu'un va commettre une erreur au cours de ces premiers jours », déclare M. Fisher. Les nouveaux responsables de la sécurité des systèmes d'information (RSSI) ont l'occasion de montrer qu'ils sont capables de réagir de manière équitable face à des erreurs.
Commencez à apporter des changements
Alors que les 90 premiers jours touchent à leur fin, il est temps de s'assurer que tout le monde est sur la même longueur d'onde quant aux mesures à prendre pour mettre en place le nouveau programme de sécurité. Les RSSI ont su gagner la confiance de leur équipe. Les gens ont eu le sentiment d'être écoutés. Ils ont eu le sentiment de participer à la mise en place du nouveau programme.
« Le moment est venu de commencer à prendre les décisions que les nouveaux responsables de la sécurité des systèmes d'information (RSSI) doivent prendre », déclare M. Fisher. « Et vous en assumerez la responsabilité : que ce soit positif, négatif ou neutre. »
«C’est une décision qui vous appartient. » Ce n'est pas un débat. »Martin Fisher, responsable de la sécurité des systèmes d'information (RSSI) à l'hôpital Northside d'Atlanta
Lorsque vous mettez en œuvre des changements, expliquez à chacun en quoi ces changements permettront de réduire les risques, d'améliorer les conditions de travail et de renforcer la performance de l'entreprise. C'est à ce moment-là que vous dites : « Voici les changements dont je souhaite vous parler. » « Parlons de la manière dont nous allons les mettre en œuvre. »
« C’est une décision que vous prenez », déclare M. Fisher. « Ce n'est pas un sujet de discussion. »
Évaluez votre réussite par rapport à des références
Les dirigeants que nous avons interrogés ont indiqué que la réussite à ce stade dépendait de la capacité du RSSI à établir des bases solides avec l'équipe de sécurité et la direction de l'entreprise. Le nouveau RSSI voudra évaluer dans quelle mesure l'équipe de sécurité le soutient et quelle crédibilité elle a su acquérir auprès des dirigeants. Atteindre les critères de réussite dépend moins des bits ou des octets de la technologie de sécurité qu'elles ont déployée que de leur capacité à générer les résultats commerciaux escomptés.
Comment les nouveaux RSSI savent-ils qu’ils ont réussi ? Choisissez un mentor. « Je choisirais une personne issue de l’unité opérationnelle qui, selon vous, vous a le plus soutenu tout au long du processus d’entretien », explique Payton. « Demandez-vous à quoi ressemble le succès pour vous. » Dites-leur que vous souhaitez connaître un succès fulgurant à ce poste au sein de cette entreprise, et demandez-leur de vous servir de conseiller confidentiel qui vous fera part de vos réussites et de vos échecs. »
Comment Payton a-t-elle finalement résolu son problème de gestion des correctifs ? Elle a passé les premiers mois à écouter l'équipe et la direction afin de se faire une idée aussi complète que possible de leur parc informatique, des solutions de gestion des actifs, des processus et de la culture d'équipe.
En comprenant leurs cycles de travail et leur pile technologique, Payton a pu trouver des moyens d'accélérer les cycles de mise à jour sans perturber le fonctionnement de l'organisation. « Nous avons identifié les moments de la journée et de la semaine où ces groupes étaient les plus actifs, ce qui nous a permis de planifier nos mises à jour en fonction de ces horaires », explique-t-elle. « Si j’étais venu vous dire simplement que nous allions publier des correctifs tous les jours, cela n’aurait jamais fonctionné. »
Chers nouveaux RSSI, prenez bonne note de ces conseils avisés. Ils vous aideront à vous montrer sous votre meilleur jour au cours des 90 premiers jours.
