Lorsque la pandémie de COVID-19 a frappé, Kurt John, responsable de la cybersécurité chez Siemens USA, était prêt.
Bien avant la pandémie, Siemens s'était déjà penché sur l'avenir du travail. Cet avenir passait par la mise en place d'un modèle de travail à distance, largement décentralisé et sécurisé. Ainsi, lorsque le monde entier a commencé à se confiner, explique John, cette transition s'est avérée moins traumatisante et bien plus productive que pour bon nombre d'autres entreprises de la taille de Siemens.
« Personne ne savait que la COVID allait arriver, je ne peux donc pas prétendre avoir fait preuve d’une quelconque clairvoyance », déclare John. « Mais le fait que nous ayons déjà anticipé, que nous nous soyons alignés sur les priorités de l'entreprise et que nous ayons mis en place des mécanismes de sécurité solides nous a placés dans une bien meilleure position lorsque le monde a changé. » « Nous avons eu de la chance. »
À l'instar d'autres entreprises qui ont subi une recrudescence des cyberattaques pendant la pandémie, Siemens a enregistré l'année dernière une hausse d'environ 30 % des tentatives d'hameçonnage . Mais ses plus de 385 000 employés n'ont pas été gravement touchés grâce à la bonne préparation du service de sécurité informatique. En effet, ce conglomérat international a constaté une diminution du nombre de systèmes compromis en 2020.
Il s'avère que cela s'est avéré vrai pour de nombreuses autres entreprises. En effet, la recrudescence des attaques par hameçonnage et par ransomware n'a pas entraîné directement autant de cyberattaques qu'elle aurait pu. C'est parce que les responsables de la sécurité des systèmes d'information (RSSI) ont bien fait leur travail.
Résultat : les RSSI, dont les équipes étaient auparavant considérées par les autres dirigeants comme de simples « centres de coûts », se sont retrouvés à la table des discussions virtuelles avec ces mêmes dirigeants, apportant une valeur ajoutée et influençant la stratégie de l'entreprise.
En effet, selon le cabinet de recrutement spécialisé dans le secteur de la sécurité Hitch Partners, 81 % des RSSI interrogés en début d'année déclarent désormais rendre compte au conseil d'administration, contre 69 % avant la pandémie. D'ici 2025, 40 % des conseils d'administration disposeront d'un comité dédié à la cybersécurité, contre 10 % aujourd'hui, composé en partie d'anciens RSSI, selon une estimation récente de Gartner. Il convient ici de mettre l'accent sur l'estimation.
Cette visibilité n'est en aucun cas permanente pour les RSSI. En effet, alors que le monde retrouve peu à peu un semblant de normalité et que les responsables de la sécurité se réunissent en ligne à l'occasion de la RSA Conference 2021, les RSSI se demandent quelles mesures ils doivent prendre pour rester dans la course.
« Lorsque la pandémie a éclaté, je crois que c’était peut-être la première fois que je voyais le personnel de sécurité recevoir des éloges aussi élogieux de la part de la direction et du reste de l’entreprise », déclare Chris Hallenbeck, responsable de la sécurité des systèmes d’information (RSSI) pour les Amériques chez Tanium. « De nombreuses personnes ont enfin commencé à comprendre que la cybersécurité permet non seulement d’assurer le bon fonctionnement d’une entreprise, mais aussi d’accélérer sa croissance. » « Pour conserver leur place à la table des décisions après la pandémie, les RSSI devront continuer à démontrer en quoi leurs équipes contribuent à faire progresser l'entreprise. »
Pour ce faire, les RSSI mettent l'accent sur trois stratégies clés.
S'aligner sur les objectifs stratégiques de l'entreprise
L'alignement sur les facteurs de croissance de l'entreprise n'a pas toujours été le point fort de la sécurité informatique. À l'instar de nombreux autres spécialistes des technologies, les RSSI se laissent souvent séduire par les technologies les plus récentes et les plus performantes sans prendre pleinement en compte l'impact que celles-ci pourraient avoir sur la capacité d'une entreprise à fonctionner et à attirer de nouveaux clients. Microsoft, for instance, famously unleashed early versions of its Windows Vista operating system in 2008 with so many restrictive security features that analysts, partners, the media, and customers lambasted it and enterprise IT departments reportedly ignored it.
Roger Kay, président du cabinet d'analyse Endpoint Technologies Associates, affirme que les RSSI ont toujours eu tendance à investir de manière excessive dans des technologies de sécurité bien intentionnées, mais qui n'apportent que peu de valeur ajoutée à l'entreprise. Compte tenu de ce nouvel élan et des récentes augmentations du budget consacré à la sécurité, il est essentiel que les RSSI évitent de répéter cette erreur.
« Les responsables de la sécurité des systèmes d'information (RSSI) devront continuer à démontrer en quoi leurs équipes contribuent à la croissance de l'entreprise. »Chris Hallenbeck, responsable de la sécurité des systèmes d'information (RSSI) pour les Amériques chez Tanium
« Lorsque vous parvenez à intégrer le cercle des décideurs et que vous disposez d’un budget plus important, il est parfois dans la nature humaine de se laisser un peu emporter », explique Kay. « Les responsables de la sécurité des systèmes d'information ne peuvent pas se permettre de faire cela. » « Pour conserver leur place au sein de la direction, ils doivent serrer la vis et éviter de dépenser de l'argent pour des choses qui n'ont vraiment aucune importance pour l'entreprise. »
Cela signifie qu'il faut plutôt se concentrer sur les résultats commerciaux. Il s'agit notamment de réduire les coûts d'exploitation, de renforcer la résilience, d'améliorer l'expérience des collaborateurs et d'accroître l'efficacité opérationnelle.
[À lire également : Comment renforcer la résilience informatique]
Cela peut également signifier faire de la sécurité un argument de vente pour les produits ou services de l’entreprise, accélérer ses efforts de transformation numérique (plutôt que d’en constituer un frein), veiller à ce que l’organisation ne se heurte pas à des problèmes de conformité réglementaire, et identifier les tendances en matière de sécurité susceptibles de générer davantage de chiffre d’affaires.
Entretenir des relations fructueuses
Chris Payne, responsable de la sécurité des systèmes d'information (RSSI) du site immobilier américain Zillow, estime qu'il est important de rester en contact étroit avec les dirigeants et de savoir leur expliquer les concepts techniques liés à la sécurité d'une manière qu'ils puissent comprendre et apprécier. Mais, comme il le souligne, cela fonctionne vraiment dans les deux sens. Les RSSI doivent être capables d'expliquer clairement les priorités et les orientations stratégiques de l'entreprise à leurs équipes techniques afin de s'assurer qu'elles partagent la même vision.
Il est également essentiel, ajoute-t-il, que les RSSI participent à ces discussions dès le début et qu’ils élargissent leur réseau de relations, car la sécurité ne relève pas d’un seul service. En effet, d'ici 2024,60 %, les RSSI devront nouer des partenariats essentiels avec des cadres dirigeants clés des services commerciaux, financiers et marketing, contre moins de 20 % aujourd'hui, selon Gartner. Ces relations primeront sur celles du domaine technique. Selon une enquête menée par Gartner au début de l'année 2020, le cabinet a constaté que les RSSI les plus performants rencontrent régulièrement trois fois plus d'acteurs non issus du secteur informatique que d'acteurs issus de ce secteur.
« Les responsables de la sécurité des systèmes d’information (RSSI) doivent être en mesure d’expliquer à tout le monde que si la sécurité informatique est prise en compte dès le départ, elle peut offrir le niveau de sécurité et la flexibilité dont l’entreprise a besoin pour tester de nouvelles technologies en toute sécurité », explique M. Payne. « Cela peut contribuer à établir une base solide pour protéger les actifs et les atouts majeurs de l'entreprise, tout en permettant à celles-ci de lancer de nouveaux produits et applications avec un risque minimal et à un rythme bien plus soutenu. »
Ouvrez la voie à l'avenir
La mise en place d'une telle base solide permet aux organisations d'ouvrir la voie à de nouvelles possibilités plutôt que de devoir se défendre contre les menaces a posteriori. Kurt John, de Siemens, explique que, lorsqu'il s'agissait de préparer son entreprise à l'avenir du travail, son équipe savait que cela impliquerait un nombre accru de terminaux fonctionnant en dehors du réseau. Ils ont donc mis au point un plan équilibré et non restrictif pour protéger les appareils distants, ce qui s'est finalement avéré payant.
« Tout le travail préparatoire que nous avons effectué s’est avéré utile, car lorsque la quarantaine a commencé, nous disposions déjà d’un processus permettant de déployer en continu des mesures de contrôle sur les terminaux, quel que soit leur emplacement », explique-t-il.
« En mettant en place des bases solides, les RSSI peuvent ouvrir la voie à de nouvelles possibilités plutôt que de devoir se contenter de se défendre contre les menaces une fois qu’elles se sont déjà produites. »
John explique que ce qui a distingué cette initiative des approches traditionnelles, c'est qu'elle ne reposait pas nécessairement sur le fait d'empêcher les gens d'accéder à quoi que ce soit ou de leur dire « non ». Cela ne visait pas uniquement à protéger les activités, le chiffre d'affaires ou les salariés. Elle a plutôt anticipé les priorités de l'entreprise et mis en place des mesures de sécurité afin de permettre leur concrétisation.
C'est là que les RSSI peuvent apporter une réelle valeur ajoutée, ajoute John, en dialoguant avec la direction pour comprendre la stratégie qu'elle met en œuvre pour l'entreprise et en avançant au même rythme qu'elle.
« Il existe de nombreuses technologies de rupture — telles que le cloud, le 5G, l’IoT et l’IA — qui vont avoir un impact sur les entreprises », déclare-t-il. « L’un des plus grands défis auxquels les RSSI vont être confrontés consiste à savoir comment se mettre au diapason des dirigeants sur ces questions, alors que ces derniers cherchent eux-mêmes encore à comprendre comment en tirer parti. »
Même si la voie à suivre n'est pas clairement définie, les RSSI devraient être en mesure d'expliquer les implications de ces technologies en matière de cybersécurité aux dirigeants, afin que ceux-ci puissent prendre des décisions en toute connaissance de cause.
