Lorsque la directrice de la sécurité Theresa Payton a commencé à son précédent poste en cybersécurité, l’une des premières choses qu’elle a interrogées était la fréquence de la routine de gestion des correctifs de l’organisation. La réponse n’était pas celle qu’elle voulait entendre. Ils n’ont appliqué de correctifs logiciels qu’une fois par mois et n’avaient aucune politique d’arrêt.
« Mon estomac s’est noué », se souvient-elle de cette époque. L’équipe faisait ce qu’elle pensait être juste, et l’organisation était satisfaite du processus, mais il ne suffisait tout simplement pas de garantir la sécurité adéquate des opérations. « Que vais-je faire ici ? » se demandait-elle. « Montrez-moi le carnet de commandes des mises à jour », a-t-elle demandé. Le backlog était important.
En fin de compte, Payton, la première femme à être directrice de l’information de la Maison-Blanche, a supervisé les opérations informatiques pour le président et son personnel de 2006 à 2008—sat avec son directeur et a demandé si l’organisation était ouverte à d’autres possibilités. La manière dont ils ont décidé d’aller de l’avant aurait un impact profond sur le succès de son leadership en cybersécurité.
Pour un directeur de la sécurité de l’information (RSSI) nouvellement mis au point, les 90 premiers jours sont une période à la fois périlleuse et possible. Si les RSSI se déplacent trop rapidement ou poussent trop fort, ils risquent d’aliéner l’organisation. Déplacez-vous trop lentement et les nouveaux RSSI risquent de détériorer leur élan et leur période de lune de miel. Les RSSI expérimentés expliquent à Focal Point comment ils ont navigué leurs premiers mois de travail. Voici comment naviguer dans votre nouveau rôle.
Se préparer mentalement avant l’offre d’emploi
Commencez à avoir une bonne lecture de l’organisation avant de décrocher le poste, recommande David Elfering, directeur principal de la sécurité de l’information chez ReSource Pro, un fournisseur de solutions d’assurance. Elfering conseille aux candidats de comprendre le modèle commercial précis de l’organisation et comment ses résultats commerciaux dépendent de la cybersécurité.
Le RSSI potentiel souhaitera également comprendre la hiérarchie organisationnelle, à qui le RSSI rend compte, les dirigeants clés, la santé financière globale de l’organisation et le niveau de rotation des employés. Enfin : quel est le budget informatique global et quel pourcentage de ce budget est consacré à la sécurité ?
« Les organisations s’attendent à ce que vous arriviez à la porte avec une vue presque omnisciente et que vous fassiez fonctionner le sol », déclare Elfering. « Vous voulez être aussi préparé que possible. »
Mettez vos bottes sur le terrain
La première semaine de travail est l’une des périodes les plus critiques. « Il s’agit d’une semaine de démarrage », déclare Payton, désormais PDG du cabinet de conseil en sécurité Fortalice Solutions. « Et j’appelle cela votre visite d’évaluation de l’écoute », ajoute-t-elle. Les premiers jours sont le moment d’être en mode de collecte d’informations complète, à l’écoute de tous les détails critiques dont un RSSI aura besoin à l’avenir concernant le programme. « Vous devez rencontrer et écouter les besoins de tous les dirigeants d’entreprise », ajoute M. Payton. « Si vous n’autorisez pas les dirigeants d’entreprise, vous ne faites pas votre travail et vous ne réussirez pas. »
« Si vous n’autorisez pas les dirigeants d’entreprise, vous ne faites pas votre travail et vous ne réussirez pas. »Theresa Payton, PDG du cabinet de conseil en sécurité Fortalice Solutions
Vous souhaitez rencontrer des leaders des ressources humaines, du droit, de la finance, des opérations et, en fin de compte, le PDG. Payton recommande de demander ce que les dirigeants voient bien fonctionner. Soyez prête pour une courte liste, avertit-elle. Demandez ensuite ce qu’ils considèrent comme ne fonctionnant pas bien. Soyez prêt pour une liste plus longue.
C’est également le moment d’établir une relation. Martin Fisher, RSSI au Northside Hospital d’Atlanta, recommande de dire quelque chose comme : « Je veux votre opinion, et je vais m’asseoir ici et écouter. »
Si vous le faites au cours des 90 premiers jours, vous achèterez de la crédibilité auprès de votre équipe, et vous aiderez également à résoudre quelques défis en cours de route. Tout le temps, dit-il, « vous évaluez votre programme. Vous évaluez votre personnel. Et vous évaluez votre pile technologique. »
Apprendre la culture organisationnelle
Le gourou de direction Peter Drucker a dit : « La culture mange la stratégie pour le déjeuner. » Fisher l’a expliqué de cette manière : « Cela signifie que si vous adoptez une excellente stratégie de sécurité, et qu’elle n’est pas alignée sur la culture de l’organisation, elle échouera. »
Lorsque les RSSI discutent de la culture, trois relations comptent : la culture ascendante avec les cadres et les dirigeants d’entreprise, la culture avec les employés et les utilisateurs finaux, et la relation avec le personnel de sécurité. « Construire des alliances pendant cette période, car les résultats commerciaux sont mutuellement bénéfiques, comme assurer des résultats commerciaux en toute sécurité », déclare Elfering. « Mais cela doit être fait d’une manière alignée sur la culture de l’organisation. »
Il est essentiel que les nouveaux RSSI apprennent comment l’organisation prend des décisions et honorent les processus déjà en place. « Notre organisation est plutôt hiérarchisée, c’est exactement comme ça », déclare M. Fisher. « Et si vous n’êtes pas respecté en tant que leader, et si vous ne vous occupez pas des personnes qui vous rendent compte, les choses se termineront mal pour vous. »
Renforcer la crédibilité de haut en bas de la hiérarchie
La première règle pour renforcer la crédibilité, déclare Fisher, est de « ne pas être une secousses ». Les gens s’attendent en fait à ce qu’un nouveau patron soit mauvais. « Cela vous donne une excellente occasion de prouver que vous n’êtes pas une hésitation, que vous avez écouté l’équipe et les cadres, et que vous êtes prêt à commencer à les aider à réussir », dit-il.
Supposons que le nouveau RSSI suive les conseils précédents pour écouter et évaluer le programme existant, l’équipe existante et la pile technologique actuelle. Dans ce cas, il est temps de renforcer la crédibilité auprès des dirigeants.
« En cas de dysfonctionnement, vous pouvez revenir à l’équipe et y remédier. »David Elfering, directeur principal de la sécurité de l’information chez ReSource Pro
Elfering recommande d’apprendre comment les gens perçoivent l’équipe de sécurité. L’équipe de sécurité les a-t-elle historiquement arrêtés lorsqu’elle a essayé de faire des choses intéressantes ? Comment le nouveau RSSI peut-il résoudre cette relation ?
« En cas de dysfonctionnement, vous pouvez revenir à l’équipe et y remédier », dit-il. « Vous pouvez renforcer votre crédibilité tout en montrant de la valeur à l’entreprise et en lui procurant une valeur aussi rapidement que possible. »
En plus de renforcer la crédibilité auprès des cadres, il est essentiel d’établir la meilleure relation possible avec votre équipe. Quelqu’un va embêter ces premiers jours, dit Fisher. Les RSSI entrants ont la possibilité de montrer qu’ils peuvent répondre aux erreurs de manière équitable.
Commencer à apporter des modifications
Vers la fin des 90 premiers jours, il est temps de s’assurer que tout le monde est aligné sur ce qui doit se passer pour construire le nouveau programme de sécurité. Les RSSI ont gagné en crédibilité auprès de leur équipe. Les gens se sont sentis entendus. Ils ont eu l’impression de faire partie du processus d’élaboration du nouveau programme.
« Il est maintenant temps de commencer à prendre les décisions que les nouveaux RSSI doivent prendre », déclare M. Fisher. « Et vous allez vous en approprier : bon, mauvais ou indifférent. »
« C’est une décision que vous prenez. Ce n’est pas une discussion. »Martin Fisher, RSSI à l’hôpital Northside d’Atlanta
Lorsque vous effectuez des changements, informez tout le monde sur la manière dont les changements réduiront les risques, amélioreront la vie professionnelle des personnes et amélioreront l’entreprise. C’est là que vous dites : « Ce sont les changements dont je veux parler. Parlons de la manière dont nous allons les mettre en œuvre. »
« C’est une décision que vous prenez », déclare Fisher. « Ce n’est pas une discussion. »
Évaluez votre réussite
Les dirigeants que nous avons interrogés ont déclaré que la réussite à ce stade dépend de la manière dont un RSSI a établi des bases solides avec l’équipe de sécurité et la direction de l’entreprise. Le nouveau RSSI voudra surveiller la manière dont l’équipe de sécurité les soutient et le degré de crédibilité qu’ils ont construit avec les cadres. Atteindre les points de référence pour réussir a moins à voir avec les bits ou les octets de la technologie de sécurité qu’ils ont déployée, et plus à voir avec le fait qu’ils génèrent les bons résultats commerciaux.
Comment les nouveaux RSSI savent-ils qu’ils ont réussi ? Choisissez un mentor. « Je choisirais quelqu’un du côté de l’unité commerciale qui, selon vous, a été votre plus grand soutien pendant le processus d’entretien », déclare M. Payton. « Demandez à quoi ressemble la réussite pour vous. Dites-leur que vous souhaitez réussir dans ce rôle pour cette entreprise, et sollicitez leur aide pour être un sondeur confidentiel qui vous parlera de vos réussites et de vos échecs. »
Comment Payton a-t-elle finalement résolu son défi de gestion des correctifs ? Elle a passé les premiers mois à écouter l’équipe et la direction afin de comprendre tout ce qu’elle pouvait concernant son inventaire informatique, ses solutions de gestion des actifs, ses processus et sa culture d’équipe.
En comprenant leurs cycles de travail et leur pile technologique, Payton a pu trouver des moyens d’accélérer les cycles de correctifs sans perturber le travail de l’organisation. « Nous avons noté les heures les plus chargées de la journée et de la semaine pour les groupes, et nous avons pu planifier nos mises à jour autour de ces heures », explique-t-elle. « Si je venais d’arriver et que je venais de déclarer que nous appliquerions des correctifs tous les jours, cela n’aurait jamais fonctionné. »
Nouveaux RSSI, prenez note de ces mots de sagesse. Ils vous aideront à donner le meilleur de vous-même pendant les 90 premiers jours.
