Lorsque la COVID-19 a frappé, Kurt John, directeur de la cybersécurité de Siemens USA, était prêt.
Bien avant la pandémie, Siemens avait pensé à l’avenir du travail. Cet avenir comprenait la transition vers une main-d’ œuvre distante, largement distribuée et sécurisée. Ainsi, lorsque le monde a commencé à mettre en quarantaine, explique John, le changement s’est avéré moins traumatisant et beaucoup plus productif qu’il ne l’était pour de nombreuses autres entreprises de la taille de Siemens.
« Personne ne savait que la COVID arrivait, donc je ne peux pas prétendre avoir eu une prévision spéciale », déclare John. « Mais le fait que nous pensions déjà à l’avenir, que nous nous alignions sur les priorités commerciales et que nous mettions en place de solides mécanismes de sécurité nous a mis dans une bien meilleure position lorsque le monde a changé. Nous avons eu la chance. »
Comme d’autres entreprises qui ont subi une attaque informatique pendant la pandémie, Siemens a connu une hausse d’environ 30 % des tentatives d’hameçonnage l’année dernière. Mais ses plus de 385 000 employés n’ont pas été lourdement affectés en raison de la préparation de la sécurité informatique. En fait, le conglomérat mondial a constaté une diminution des systèmes compromis en 2020.
Il s’avère que cela s’est avéré vrai pour de nombreuses autres entreprises. En effet, le saut dans les attaques de phishing et de ransomware n’a pas directement entraîné autant de cyber-attaques correspondantes qu’elles auraient pu l’être. C’est parce que les directeurs de l’information (RSSI) ont bien fait leur travail.
Le résultat : les RSSI, dont les équipes et autres cadres dirigeants avaient envisagé de simples « centres de coûts », se sont retrouvés assis à côté de tables virtuelles des mêmes cadres, ce qui a apporté de la valeur et eu un impact sur la stratégie commerciale.
En fait, 81 % des RSSI interrogés au début de cette année déclarent qu’ils rendent désormais compte à un conseil d’administration, contre 69 % avant la pandémie, selon la société de recherche de cadres supérieurs en sécurité Hitch Partners. D’ici 2025, 40 % des conseils d’administration disposeront d’un comité dédié à la cybersécurité, contre 10 % aujourd’hui, composé d’anciens RSSI, selon une estimation récente de Gartner. L’accent doit être mis ici sur l’estimation.
Cette visibilité n’est en aucun cas permanente pour les RSSI. En effet, alors que le monde retrouve une certaine ressemblance avec la normalité, et que les leaders de la sécurité se réunissent virtuellement pour la Conférence 2021 RSA, les RSSI se demandent quelles mesures ils doivent prendre pour rester pertinents.
« Lorsque la pandémie a commencé, je pense que c’est peut-être la première fois que j’ai vu le personnel de sécurité recevoir des distinctions majeures de la part de la haute direction et du reste de l’entreprise », déclare Chris Hallenbeck, RSSI pour les Amériques chez Tanium. « De nombreuses personnes ont finalement commencé à comprendre comment la cybersécurité peut non seulement maintenir une entreprise en fonctionnement, mais également accélérer sa croissance. Pour rester à la table après la pandémie, les RSSI devront continuer à démontrer comment leurs équipes aident à stimuler l’activité. »
Pour ce faire, les RSSI mettent l’accent sur trois stratégies clés.
S’aligner sur les résultats commerciaux stratégiques
L’alignement sur ce qui stimule la croissance de l’entreprise n’a pas toujours été la solution idéale pour la sécurité informatique. Comme beaucoup d’autres technologues, les RSSI sont souvent émerveillés par les technologies les plus récentes et les plus performantes sans tenir pleinement compte de la manière dont cette technologie peut affecter la capacité d’une entreprise à opérer et à attirer de nouveaux clients. Microsoft, par exemple, a lancé les premières versions de son système d’exploitation Windows Vista en 2008 avec tellement de fonctionnalités de sécurité restrictives que les analystes, les partenaires, les médias et les clients l’ont ambassée et les services informatiques de l’entreprise l ’ont ignorée.
Roger Kay, président du cabinet d’analystes Endpoint Technologies Associates, déclare que les RSSI ont une histoire de surinvestissement dans des technologies de sécurité bien intentionnées qui créent peu de valeur pour l’entreprise. Avec un nouvel élan et des hausses récentes du budget de sécurité, il est essentiel que les RSSI évitent de répéter cette erreur.
« Les RSSI devront continuer à démontrer comment leurs équipes aident à stimuler l’activité. »Chris Hallenbeck, RSSI pour les Amériques chez Tanium
« Lorsque vous arrivez au cercle des décideurs et que vous obtenez plus de budget, il peut être naturel de devenir un peu sauvage », déclare Kay. « Les RSSI ne peuvent pas se permettre de le faire. Pour rester assis à la table des dirigeants, ils doivent resserrer les rênes et éviter de dépenser de l’argent pour des choses qui n’ont vraiment pas d’importance pour l’entreprise. »
Cela signifie plutôt se concentrer sur les résultats commerciaux. Il s’agit notamment de réduire les coûts opérationnels, d’obtenir une plus grande résilience, d’améliorer l’expérience des employés et de stimuler l’efficacité opérationnelle.
[Lire également : Comment renforcer la résilience informatique]
Cela peut également signifier faire de la sécurité un argument de vente pour les produits ou services de l’entreprise, en accélérant ses efforts de transformation numérique (plutôt qu’en étant le goulot d’étranglement pour eux), en veillant à ce que l’organisation ne soit pas en violation des problèmes de conformité réglementaire et des tendancesen identifiant des problèmes de sécurité qui pourraient augmenter les revenus.
Favoriser des relations fructueuses
Chris Payne, RSSI pour le site Web immobilier américain Zillow, croit en l’importance de rester proche des dirigeants et de pouvoir expliquer les concepts de sécurité technique d’une manière qu’ils comprendront et apprécieront. Mais, note-t-il, c’est une rue à double sens. Les RSSI doivent être en mesure d’articuler les priorités et l’orientation commerciales à leurs équipes techniquement éclairées afin de les mettre sur la même longueur d’onde.
Il est également essentiel, dit-il, que les RSSI participent à ces conversations dès le début et qu’ils mettent un large réseau en place dans le développement des relations, car la sécurité n’existe pas dans un seul service. En fait, d’ici 2024 60 % des RSSI devront établir des partenariats critiques avec des dirigeants clés dans les domaines des ventes, de la finance et du marketing, contre moins de 20 % aujourd’hui, selon Gartner. Ces relations l’emporteront sur celles du côté technologique. Gartner a constaté que lesRSSI les plus performants rencontrent régulièrement trois fois plus de parties prenantes non informatiques que les parties prenantes informatiques, selon une enquête menée par l’entreprise début 2020.
« Les RSSI doivent être en mesure d’expliquer à tout le monde que si la sécurité informatique est impliquée dès le début, elle peut fournir la posture de sécurité et la flexibilité dont l’entreprise a besoin pour expérimenter plus en toute sécurité les nouvelles technologies », déclare M. Payne. « Cela peut aider à construire une base solide pour protéger les actifs et les joyaux de l’entreprise tout en ouvrant la voie aux entreprises pour déployer de nouveaux produits et applications avec un risque minimal et à un rythme beaucoup plus rapide. »
Activer la prochaine étape
La construction de ce type de fondation sécurisée permet aux organisations d’activer des possibilités plutôt que d’avoir à se défendre contre les menaces après coup. Kurt John de Siemens déclare que lors de la préparation de son entreprise pour l’avenir du travail, son équipe savait que cela inclurait plus d’endpoints fonctionnant en dehors du réseau. Ils ont donc élaboré un plan équilibré et non restrictif pour protéger les appareils distants qui ont finalement porté leurs fruits.
« Tout le travail préalable que nous avons fait s’est avéré bénéfique, car lorsque la quarantaine a commencé, nous avions déjà un processus pour déployer continuellement des contrôles sur les endpoints, où qu’ils puissent se trouver », dit-il.
« La construction d’une base sécurisée permet aux RSSI d’activer des possibilités plutôt que d’avoir à se défendre contre les menaces après coup. »
John dit que ce qui différenciait cet effort des approches traditionnelles, c’est qu’il n’était pas nécessairement construit pour empêcher les gens de rien ou dire non. Il ne s’agissait pas entièrement de protéger les opérations, les revenus ou les travailleurs. Au contraire, elle anticipait les priorités commerciales et mettait en place des mesures de sécurité pour les aider à se concrétiser.
C’est là que les RSSI peuvent montrer une réelle valeur, ajoute John, en s’engageant auprès de la haute direction pour comprendre le parcours stratégique qu’ils mènent dans l’entreprise et en marchant avec eux.
« Il existe de nombreuses technologies perturbatrices, comme le cloud, le 5G, l’IdO et l’IA, qui vont avoir un impact sur les entreprises », déclare-t-il. « L’un des plus grands défis auxquels les RSSI seront confrontés est de savoir comment s’engager avec les leaders sur ces choses lorsqu’ils essaient eux-mêmes de comprendre comment les exploiter. »
Même si le chemin n’est pas clairement défini, les RSSI doivent être en mesure d’expliquer les cyber-implications de ces technologies aux dirigeants afin de pouvoir prendre des décisions éclairées.
