Pour répondre aux menaces actuelles en constante évolution en matière de cybersécurité, de nombreux dirigeants d’entreprise se concentreront sur la technologie, en superposant l’outil selon l’outil et l’approche selon l’approche dans les domaines cloisonnés de l’entreprise.
Par exemple, les services publics d’électricité desservant 56 millions de clients ont installé des outils pour mieux détecter les cyberattaques ou se sont engagés à le faire. En fait, 60 % des responsables informatiques et commerciaux interrogés prévoient d’augmenter les dépenses informatiques, la sécurité étant leur priorité absolue, selon le groupe Enterprise Strategy (ESG).
Une réponse robuste est un excellent début. Mais les outils technologiques seuls n’arrêtent pas les failles. Les pirates informatiques sophistiqués d’aujourd’hui sont trop intelligents pour cela.
Après une faille de sécurité majeure, ce qui manque souvent aux initiatives fédérales et aux stratégies paniquées des PDG d’entreprise est un effort pour renforcer deux des armes les plus efficaces dans l’arsenal d’une entreprise : ses personnes et processus de première ligne.
Pour renforcer la cyberdéfense, il vaut mieux faire plus que montrer aux employés comment établir un plan de réponse aux incidents ou les prévenir de répondre aux e- mails d’hameçonnage. Il s’agit là du fruit bas parmi les nombreuses mesures que les dirigeants doivent prendre.
Pour que les personnes et les processus fonctionnent correctement, il faut réfléchir profondément aux obstacles qui entravent l’efficacité des professionnels de la sécurité sur lesquels les entreprises comptent pour leur défense. Si quelqu’un est constamment submergé par des alertes de sécurité, manque des compétences appropriées ou est bloqué par l’inertie organisationnelle pour faire ce qu’il doit faire, une entreprise n’aura pas de chance de se défendre.
Pour commencer à stabiliser les deux premiers éléments du tabouret à trois pieds des « personnes, processus et technologies », les entreprises doivent se concentrer sur l’action dans les trois domaines suivants.
Travailler intelligemment
Après plus d’un an d’efforts héroïques pour sécuriser leurs entreprises après la plus grande expérience de travail à distance de l’histoire, les professionnels de la sécurité atteignent des niveaux record d’épuisement professionnel. « L’impact humain de l’année dernière a été énorme », a récemment déclaré Martin Fisher, directeur de la sécurité de l’information et directeur de la sécurité de l’information au Northside Hospital d’Atlanta, à Endpoint. « Nous sommes rapides. Chaque alerte devient une enquête mineure sur la réponse aux incidents. Ce niveau d’effort est épuisant. »
Une enquête a conclu que l’entreprise moyenne voit plus de 10 000 alertes de sécurité chaque jour, près de 30 % des entreprises signalant plus d’un million d’alertes. Par rapport au travailleur américain moyen, les professionnels de la sécurité sont plus de deux fois plus susceptibles de signaler un mauvais équilibre entre vie professionnelle et vie privée et plus de trois fois plus susceptibles de ne pas prendre de vacances complètes.
[Lire également : Construire l’avenir du travail]
Un processus de workflow agile appelé kanban, adopté par toutes les usines Toyota en 1963, peut aider les professionnels de la sécurité à hiérarchiser les tâches lorsque les choses changent de minute en minute. Cela fonctionne en visualisant le workflow d’une équipe afin que tout le monde puisse voir les priorités de l’équipe et ce sur quoi tous les autres membres de l’équipe travaillent.
Travailler ensemble
Trop souvent dans de nombreuses organisations, les codeurs pensent que leur brillance est suffisante. Ils codent simplement les produits jusqu’à ce qu’ils fonctionnent, et le reste est un « problème du professionnel de la sécurité ». En revanche, une pratique émergente appelée DevSecOps vise à établir des ponts entre ceux-ci et d’autres fiefs dus pour détecter les vulnérabilités rapidement en intégrant les membres de l’équipe de sécurité et les processus dans le cycle de vie du développement logiciel.
« L’impact humain de l’année dernière a été énorme : les gens sont épuisés. »Martin Fisher, directeur de la sécurité de l’information et directeur de la sécurité de l’information, Northside Hospital
Une façon de combler la fracture interne est de faire de la sécurité une partie plus intégrante du processus de développement informatique. Près des deux tiers des entreprises d’aujourd’hui n’impliquent pas d’équipes de sécurité aux stades précoces des projets informatiques, selon une étude d’EY. Une autre façon de combler cette lacune consiste à adopter les tests logiciels « shift left », en privilégiant les tests de sécurité beaucoup plus tôt dans le cycle de développement plutôt que de les consolider après coup. L’approche encourage, si elle n’est pas requise, une plus grande collaboration entre les équipes de sécurité et les développeurs.
Corriger le pipeline de talents technologiques
Selon le Bureau of Labor Statistics, l’emploi des analystes et ingénieurs en sécurité de l’information aux États-Unis devrait augmenter de 31 % , passant de 2019 à 2029. Mais le groupe de cybersécurité de l’Aspen Institute estime que 500 000 rôles de cybersécurité aux États-Unis à eux seuls ne seront pas pourvus cette année. Un rapport californien a révélé que même si chaque étudiant d’un programme universitaire axé sur l’informatique devait passer à la cybersécurité, il ne serait pas suffisant de pourvoir à tous les emplois disponibles dans l’État.
Pour combler l’écart de talents, les entreprises doivent aller au-delà des diplômés de quatre ans de programmes d’ingénierie et d’informatique. Les responsables de la cybersécurité et de l’informatique appellent les employeurs à adopter les travailleurs « nouveaux » qui n’ont peut-être pas de diplômes universitaires coûteux de quatre ans, mais qui possèdent les compétences fondamentales et l’aptitude naturelle pour les emplois technologiques actuels à la demande. Par exemple, Mastercard a contribué à créer la Cybersecurity Talent Initiative, un partenariat public-privé qui place les participants, dont la plupart sont des femmes, des minorités ou des personnes qui ont décidé de changer de professions, dans des rôles de cybersécurité de niveau débutant. Après deux ans, ils peuvent postuler à des emplois chez l’un des partenaires d’entreprise du programme et obtenir 75 000 USD d’aide au prêt étudiant.
Tanium exploite deux programmes de développement de carrière qui promeuvent les talents et la diversité sur le lieu de travail. Chaque année, la société organise une cohorte de la Society of Women Engineers (SWE), une organisation éducative et de service à but non lucratifde l’ UC Berkeley. Le programme, qui est exécuté depuis le siège de Tanium, donne aux étudiants la possibilité d’observer les ingénieurs Tanium, de recevoir un coaching sur le terrain et de participer à des entretiens de codage fictifs. En plus de l’expérience et des contacts réels qu’il offre aux étudiants, le programme fournit à Tanium des perspectives nouvelles et diverses, sans parler de l’enthousiasme, dans le secteur technologique.
En partenariat avec le ministère de la Défense, Tanium dirige le programme de stage SkillBridge , qui offre aux membres de l’armée américaine une expérience professionnelle pendant leurs derniers mois de service actif. Les recruteurs suivent une formation sur la plateforme de Tanium et travaillent avec les équipes et les clients de Tanium, faisant l’expérience d’une résolution créative et prête à l’emploi des problèmes en action. Tout rang, inscrit ou officier, peut participer.
Des changements dans les domaines de la diversité, des partenariats public-privé et des recrutements de « nouveaux employés » se produisent. Comme elles le font, les entreprises amélioreront leurs défenses de manière bien meilleure qu’un outil technologique ne peut fournir seul.
