Pour Andy Ellis, le poste de directeur des systèmes d'information (DSI) est un « métier sans avenir ».
Ellis est bien placé pour le savoir. Il a travaillé dans le domaine de la sécurité de l'information au sein d'organisations aussi diverses que l'armée de l'air américaine ; il a contribué à faire d'Akamai Technologies un géant de l'Internet ; il est actuellement associé opérationnel chez YL Ventures, qui finance et soutient des start-ups spécialisées dans la cybersécurité, et il a été intronisé au CSO Hall of Fame.
Selon ce spécialiste chevronné de la cybersécurité : « La sécurité sera intégrée partout » dans un avenir proche. C'est pourquoi, selon lui, « le poste de directeur des systèmes d'information (DSI) disparaîtra en tant que fonction distincte au sein de la direction » et sera fusionné avec celui de responsable de la sécurité des systèmes d'information (RSSI) en tant que fonction métier.
Ce n'est que l'avis d'un expert. Mais une telle déclaration ne manquera pas d'envenimer les relations déjà tendues entre ces deux professions et leurs équipes respectives. Voici pourquoi : depuis des années, les domaines de l'exploitation informatique et de la cybersécurité sont en conflit.
Bien que les deux services aient pour mission de protéger les réseaux de leur organisation et les terminaux « » (qui peuvent compter des dizaines de milliers d’ordinateurs portables, de PC, de tablettes et de machines virtuelles dans le cloud), le service informatique souhaite s’assurer de leur bon fonctionnement, tandis que le service de sécurité veille à ce que chacun d’entre eux soit sécurisé.
C'est de cette simple dichotomie qu'est née une rivalité susceptible de menacer la cybersécurité et la santé globale d'une entreprise.
Les DSI ( ) et les responsables de la sécurité des systèmes d'information () ainsi que les responsables de la sécurité des systèmes d'information (CISO) ( ) ont « des objectifs différents, ce qui peut constituer un défi majeur », explique Duncan Miller, directeur de la sécurité des terminaux chez Tanium. Les amener à s'accorder sur les indicateurs de réussite constitue l'un des principaux obstacles à l'harmonisation de ces deux services.
« Ces deux équipes sont évaluées en fonction d’objectifs différents », explique M. Miller. « Votre service informatique a pour mission d'assurer le bon fonctionnement et l'accessibilité des systèmes. » Votre équipe de sécurité est là pour s'assurer qu'ils sont utilisés correctement et qu'ils ne sont pas accessibles aux personnes qui ne devraient pas disposer des droits d'accès appropriés. « Il existe un conflit inhérent entre ces rôles et la nécessité de veiller à ce que tout le monde soit sur la même longueur d'onde. »
Maîtriser un environnement de menaces considérablement élargi et complexe
Comme tout le reste, la pandémie et le passage rapide au télétravail sont en train de modifier cette dynamique. Aujourd’hui, les effectifs dispersés — où chaque collaborateur dispose d’au moins un appareil se connectant au réseau de l’entreprise via Internet — ont multiplié les défis tant pour les services informatiques que pour la sécurité.
«Il existe un conflit inhérent entre ces rôles et la nécessité de veiller à ce que tout le monde soit sur la même longueur d’onde. »Duncan Miller, directeur de la sécurité des terminaux chez Tanium
Les trois quarts des plus de 3 000 responsables de la sécurité, des affaires et de l'informatique interrogés par le cabinet d'audit PwC dans le cadre de son rapport « 2022 Global Digital Trust Insights Survey » font état d'une trop grande complexité de leurs environnements technologiques, de données et d'exploitation. Cela a, à son tour, entraîné un trop grand nombre de lacunes.
De ce fait, les équipes informatiques manquent souvent de visibilité sur jusqu’à 20 % de leurs terminaux. Cela signifie que ces appareils peuvent être mal configurés, ne pas disposer des mises à jour logicielles nécessaires et contenir des applications non autorisées, ce qui peut entraîner une baisse des performances pour l'utilisateur. Ces mêmes éléments constituent également des vulnérabilités.
Afin d'améliorer la gestion des terminaux et la productivité, et de protéger ces terminaux contre les menaces, les deux équipes doivent tout d'abord disposer d'une vue à 360 degrés de l'ensemble de ces actifs, et non d'une vue partielle. La sécurité des terminaux ne doit pas être une préoccupation secondaire. « Si vous intégrez la sécurité a posteriori, cela ne fonctionnera pas », affirme M. Miller.
L'émergence d'un responsable unique pour les opérations informatiques et la sécurité
Pour combler ce fossé, les fiefs doivent s'unir ou, à tout le moins, travailler à partir des mêmes données en temps réel, ce qui peut être réalisé grâce à une plateforme qui rassemble leurs intérêts et leurs outils. Ces éléments devraient inclure : l'inventaire des actifs, la gestion des risques et de la conformité , la surveillance des données sensibles, ainsi que la recherche active de menaces. La fusion des deux instances dirigeantes présente à la fois des avantages et des inconvénients.
« La fusion est une structure intéressante » qu’il convient de prendre en considération, car elle pourrait aider les organisations à gagner en productivité et à renforcer leur sécurité, explique M. Ellis, qui occupe le poste de RSSI consultant auprès d’Orca Security, spécialiste du cloud. « Cependant, [en regroupant ces fonctions de direction], vous risquez de perdre le point de vue d’une personne qui se concentre exclusivement sur le fonctionnement technique de la gestion des risques. »
Wim Remes est membre du conseil d'administration de (ISC)², l'organisme international à but non lucratif qui forme et certifie les professionnels de la cybersécurité, ainsi que directeur général de Damovo Security Services, une société qui conseille les organisations sur les meilleures pratiques en matière de cybersécurité. Il n'est pas convaincu que l'informatique et la sécurité doivent relever d'une seule et même direction. « Leurs objectifs sont trop différents pour que cela puisse fonctionner », dit-il.
Par exemple, le service informatique met l'accent sur la « disponibilité ». En cas de panne d'un système, l'impact sur l'activité est immédiat. Ainsi, une équipe chargée des opérations informatiques peut choisir de ne pas corriger une vulnérabilité si sa correction risque de provoquer une panne du système. La sécurité vise à protéger l'intégrité de l'ensemble du système ainsi que des données qu'il traite et stocke. Si un responsable de la sécurité relève du service informatique, la direction de ce dernier accordera presque toujours la priorité à la disponibilité des systèmes de l'entreprise. C'est ce qui fait de l'unification complète des opérations informatiques et de la sécurité un véritable défi : « La sécurité concerne l'ensemble des fonctions », explique M. Remes.
Il estime qu'un programme de sécurité solide repose avant tout sur une stratégie informatique bien mise en œuvre. « De nombreuses capacités de sécurité très recherchées au sein des grandes entreprises reposent sur une gestion rigoureuse des actifs, une gestion des configurations, une gestion de la sécurité des applications, ainsi qu’une gestion des correctifs , qui sont toutes des fonctions informatiques », explique-t-il. « Les services informatiques et de sécurité devraient collaborer pour identifier et atténuer les risques. »
Éliminer les cloisonnements entre l'informatique et la sécurité
Dans le contexte économique actuel, une stratégie de sécurité ne peut être couronnée de succès que si elle est mise en œuvre en étroite collaboration avec les opérations informatiques. Il est désormais nécessaire d'adopter une approche de gestion « convergente ». Cela signifie travailler au-delà des cloisonnements, comme une seule et même équipe.
«» Le service informatique a lui-même une liste de tâches à accomplir très longue. Une équipe de sécurité partageant le même objectif final peut vous y aider. »Allan Alford, responsable de la sécurité des systèmes d'information (RSSI) et directeur technique (CTO) chez TrustMAPP
Selon les experts, il est tout à fait possible de coordonner les deux équipes, puisque leurs objectifs finaux sont les mêmes. « Le service de sécurité identifie le problème, mais c’est finalement le service informatique qui doit le résoudre », explique Allan Alford, RSSI et directeur technique chez TrustMAPP, une société spécialisée dans la gestion des performances en matière de cybersécurité. « Le service informatique a lui-même une liste interminable de tâches à accomplir et une liste tout aussi longue de priorités, et il ne peut allouer qu’une quantité limitée de ressources. » « Une équipe de sécurité partageant le même objectif final peut vous y aider. »
Le problème, cependant, peut s'expliquer par des perceptions différentes du temps. « L'équipe de sécurité aimerait peut-être que tout soit réglé du jour au lendemain », explique M. Alford, « mais le service informatique ne peut pas toujours respecter des délais aussi serrés. » Il arrive parfois qu'une mise à niveau ne soit pas possible, soit parce que la personne qui a développé le logiciel ne travaille plus dans l'entreprise, soit parce qu'un logiciel commercial n'est plus commercialisé.
Le simple fait de réunir les équipes de sécurité et informatiques dans une même pièce pour trouver des solutions ne résoudra pas nécessairement le problème, surtout si leurs responsables ont des styles de direction différents. Le directeur des systèmes d'information peut parfois se retrouver contraint de choisir entre deux clans rivaux.
Il arrive souvent que la sécurité soit reléguée au second plan au profit d'un autre service plus directement lié aux objectifs financiers de l'informatique. « Le succès des services informatiques se mesure à ce qu’ils ne dépensent pas », déclare Alford. « Si la sécurité est intégrée au service informatique, celui-ci risque de subir des pressions pour limiter ses dépenses, alors que ce dont la sécurité a réellement besoin, c’est justement d’investir. » « Vous ne voulez pas que la sécurité soit rapidement reléguée au second plan par le service informatique. »
Faire collaborer les services informatiques et de sécurité sur une solution de gestion des identités et des accès
Alford présente une étude de cas. Dans le cadre de ses fonctions précédentes de responsable de la sécurité des systèmes d'information (CISO) chez NTT Data Services, il a dirigé une équipe de 50 000 personnes à travers le monde. Son équipe vivait aussi bien en milieu urbain qu'en milieu rural.
Au début de la pandémie d' , il a dû relever un défi mondial : fournir à son personnel les ordinateurs adaptés à chaque situation et garantir un accès Internet fiable aux habitants des zones rurales. « Nous avons été confrontés à une grande diversité de scénarios, et les services informatiques et de sécurité ont dû collaborer pour y faire face », explique-t-il.
Pour y parvenir, les deux équipes se sont regroupées autour d'une solution commune de gestion des identités et des accès. « Traditionnellement, la gestion des identités relevait du service informatique », explique M. Alford. « Nous avons constaté que cela faisait partie intégrante de notre dispositif de sécurité, puisque tous nos outils de sécurité s’articulaient autour d’une solution de gestion des identités et des accès. » « C’est donc finalement le service de sécurité qui a pris le relais, en collaboration avec les deux services. »
Les équipes ont déployé une solution SASE (Secure Access Service Edge) afin de relier les flux de données provenant de centres de données centralisés à toute une gamme de services dans le cloud. L'entreprise s'est également assurée de disposer de mesures de protection pour la gestion des terminaux lorsque les employés accédaient au cloud.
« La préparation, note Alford, est la clé pour concilier sécurité et informatique dans
un monde sans périmètre, caractérisé par une main-d'œuvre hybride et dispersée. » Il recommande de vous préparer en vous assurant de disposer des outils adaptés. Éliminez les cloisonnements, mais veillez à ce que les experts qui comprennent véritablement le rôle de leur équipe restent à la tête de celle-ci.
« Cela ne devrait pas avoir d’importance que l’on se trouve chez Starbucks ou chez soi », dit-il. « Il faut que les infrastructures soient en place pour pallier l'absence de frontières. » Tout cela est possible. « L'essentiel, c'est d'assurer une coordination très étroite entre les services informatiques et la sécurité. »
