Pour faire face aux menaces de cybersécurité en constante évolution, de nombreux dirigeants d'entreprise se concentreront sur la technologie, en superposant outil après outil et approche après approche dans les différents secteurs cloisonnés de leur entreprise.
Par exemple, les compagnies d'électricité desservant au total 56 millions de clients ont soit mis en place des outils permettant de mieux détecter les cyberattaques, soit s'engagées à le faire. En effet, selon l'Enterprise Strategy Group (ESG), 60 % des responsables informatiques et des dirigeants d'entreprise interrogés dans le cadre de l'étude « » prévoient d'augmenter leurs dépenses informatiques, la sécurité constituant leur priorité absolue.
Une réponse ferme est un excellent début. Mais les outils technologiques ne suffisent pas à eux seuls à empêcher les violations de données. Les pirates informatiques chevronnés d'aujourd'hui sont bien trop malins pour tomber dans ce piège.
À la suite d’une faille de sécurité majeure, ce qui fait souvent défaut dans les initiatives fédérales et les stratégies prises dans la précipitation par les PDG d’entreprises, c’est la volonté de renforcer deux des armes les plus efficaces dont dispose une entreprise : son personnel de première ligne et ses processus.
Pour renforcer la cyberdéfense, il ne suffit pas de montrer aux employés comment mettre en place un plan d'intervention en cas d'incident ou de les mettre en garde contre le fait de répondre à des e-mails de hameçonnage de type « ». Ce sont là les mesures les plus faciles à mettre en œuvre parmi les nombreuses actions que les dirigeants devraient entreprendre.
Pour optimiser les ressources humaines et les processus, il est nécessaire de mener une réflexion approfondie sur les obstacles qui nuisent à l'efficacité des professionnels de la sécurité sur lesquels les entreprises comptent pour assurer leur défense. Si une personne est constamment submergée d'alertes de sécurité, ne dispose pas des compétences requises ou se trouve empêchée, par l'inertie de l'organisation, de faire ce qu'elle doit faire, une entreprise n'aura aucune chance de se défendre.
Pour commencer à stabiliser les deux premiers éléments du « tabouret à trois pieds » que constituent « les personnes, les processus et la technologie », les entreprises devraient concentrer leurs efforts sur les trois domaines suivants.
Travaillez intelligemment
Après plus d’un an d’efforts héroïques pour sécuriser leurs entreprises à la suite de la plus grande expérience de télétravail de l’histoire, les professionnels de la sécurité atteignent des niveaux records d’épuisement professionnel. « Le bilan humain de l’année écoulée a été considérable », a récemment déclaré Martin Fisher, directeur de la sécurité de l’information et responsable de la sécurité des systèmes d’information à l’hôpital Northside d’Atlanta, à Endpoint. « Nous sommes nerveux. » Chaque alerte donne lieu à une enquête de réponse aux incidents mineurs. « Un tel niveau d'effort est épuisant. »
Une enquête menée par l' , disponible à l'adresse , a conclu que les entreprises reçoivent en moyenne plus de 10 000 alertes de sécurité par jour, près de 30 % d'entre elles déclarant en recevoir plus d'un million. Par rapport au salarié américain moyen, les professionnels de la sécurité sont plus de deux fois plus susceptibles de déclarer un déséquilibre entre vie professionnelle et vie privée et plus de trois fois plus susceptibles de ne pas prendre l'intégralité de leurs congés.
[À lire également : Construire l'avenir du travail]
Un processus de travail agile appelé « Kanban de l' » (), adopté par toutes les usines Toyota en 1963, peut aider les professionnels de la sécurité à hiérarchiser leurs tâches lorsque la situation évolue d'une minute à l'autre. Ce système permet de visualiser le flux de travail d'une équipe, de sorte que chacun puisse voir à la fois les priorités de l'équipe et les tâches sur lesquelles travaillent les autres membres de l'équipe.
Travailler ensemble
Trop souvent, dans de nombreuses entreprises, les programmeurs pensent que leur génie suffit. Ils se contentent de développer des produits jusqu’à ce qu’ils fonctionnent, et le reste, c’est « l’affaire des professionnels de la sécurité ». En revanche, une pratique émergente appelée « DevSecOps » ( ) vise à jeter des ponts entre ces différents domaines, souvent en conflit, afin de détecter les vulnérabilités à un stade précoce, en intégrant les membres et les processus de l'équipe de sécurité au cycle de vie du développement logiciel.
«Le bilan humain de cette dernière année a été terrible : les gens sont au bord du burn-out. »Martin Fisher, directeur de la sécurité de l'information et responsable de la sécurité de l'information, Northside Hospital
Une façon de combler ce fossé interne consiste à intégrer davantage la sécurité dans le processus de développement informatique. Selon une étude d'EY, près des deux tiers des entreprises n'impliquent pas leurs équipes de sécurité dès les premières étapes de leurs projets informatiques. Une autre façon de combler cette lacune consiste à adopter une approche de tests logiciels dite «shift left » (développement en amont) : il s’agit de donner la priorité aux tests de sécurité bien plus tôt dans le cycle de développement, plutôt que de les ajouter après coup. Cette approche encourage, voire impose, une collaboration accrue entre les équipes de sécurité et les développeurs.
Renforcer le vivier de talents dans le secteur des technologies
Selon le Bureau des statistiques du travail, le nombre d'emplois pour les analystes et ingénieurs en sécurité de l'information aux États-Unis devrait augmenter de 31 % , passant de 2019 à 2029. Cependant, le groupe « Cybersécurité » de l’Aspen Institute estime que 500 000 postes dans le domaine de la cybersécurité aux États-Unis seulement ne seront pas pourvus cette année. Un rapport californien a révélé que même si tous les étudiants inscrits dans un cursus universitaire axé sur les technologies de l'information se tournaient vers la cybersécurité, cela ne suffirait pas à pourvoir tous les postes disponibles dans l'État.
Pour pallier la pénurie de talents, les entreprises doivent ne pas se limiter aux diplômés des cursus d'ingénierie et d'informatique d'une durée de quatre ans. Les responsables de la cybersécurité et des technologies de l’information appellent les employeurs à faire appel à des travailleurs d’un « nouveau type » ( «new collar »), c’est-à-dire des personnes qui ne possèdent peut-être pas de diplôme universitaire coûteux obtenu au terme d’un cursus de quatre ans, mais qui disposent des compétences fondamentales et des aptitudes naturelles requises pour les emplois technologiques très recherchés d’aujourd’hui. Par exemple, Mastercard a contribué à la création de la « Cybersecurity Talent Initiative », un partenariat public-privé qui place les participants — dont la plupart sont des femmes, des personnes issues de minorités ou des personnes ayant décidé de changer de métier — à des postes de débutants dans le domaine de la cybersécurité. Au bout de deux ans, ils peuvent postuler à un emploi au sein de l'une des entreprises partenaires du programme et bénéficier d'une aide de 75 000 dollars pour le remboursement de leur prêt étudiant.
Tanium gère deux programmes d'accompagnement professionnel visant à promouvoir les talents et la diversité sur le lieu de travail. Chaque année, l'entreprise accueille une promotion de la Society of Women Engineers (SWE), une organisation à but non lucratif dédiée à l'éducation et aux services, issue de UC Berkeley. Ce programme, géré depuis le siège social de Tanium, offre aux étudiants la possibilité d'accompagner des ingénieurs de Tanium, de bénéficier d'un accompagnement sur le terrain et de participer à des simulations d'entretiens de codage. Outre l'expérience pratique et le réseau de contacts qu'il offre aux étudiants, ce programme apporte à Tanium des points de vue nouveaux et variés — sans parler de l'enthousiasme — concernant le secteur des technologies.
En partenariat avec le ministère de la Défense, Tanium gère le programme de stages « SkillBridge » de l' , qui permet aux militaires américains d'acquérir une expérience professionnelle au cours de leurs derniers mois de service actif. Les nouvelles recrues suivent une formation sur la plateforme de Tanium et travaillent aux côtés des équipes et des clients de Tanium, ce qui leur permet de découvrir concrètement comment résoudre des problèmes de manière créative et originale. Tout militaire, qu'il soit simple soldat ou officier, peut y participer.
Des changements sont en cours dans les domaines de la diversité, des partenariats public-privé et du recrutement de « nouveaux cols ». Ce faisant, les entreprises renforceront leurs défenses bien plus efficacement qu'un simple outil technologique ne pourrait le permettre à lui seul.
