Chaque année, les organisations investissent de plus en plus d’argent pour sécuriser leurs actifs. Et chaque année, les menaces pesant sur ces actifs augmentent.
Selon la société de recherche technologique Gartner, les dépenses mondiales totales en cybersécurité atteindront 172 milliards USD en 2022, contre 137 milliards USD il y a seulement deux ans. Les grandes entreprises augmentent leurs budgets de sécurité de 12 % en moyenne chaque année.
Dans le même temps, le nombre de violations importantes a augmenté de 25 % , passant de 2020 à 2021. Le coût des attaques par ransomware a augmenté plus de 50 fois depuis 2015, selon Cybersecurity Ventures, qui prévoit que les pertes dépasseront 265 milliards USD d’ici 2031.
« Le secteur de la sécurité est en panne », déclare Steve Zalewski, ancien RSSI chez Levi Strauss et désormais conseiller indépendant en cybersécurité chez S3 Consulting.
De nombreux facteurs ont contribué à la discordance entre l’argent dépensé et les résultats fournis, explique Zalewski. Les fournisseurs doivent mieux partager les ressources et travailler ensemble pour contrecarrer les attaquants, explique-t-il. Et les professionnels de la sécurité doivent mieux comprendre le rôle qu’ils jouent pour aider l’entreprise à gagner de l’argent.
Mais une raison clé est une déconnexion de base entre la manière dont les RSSI et les chefs d’entreprise mesurent la réussite.
Suivre l’argent
De nombreux professionnels de la cybersécurité mesurent les mauvaises choses, déclare Zalewski. Les RSSI se présenteront devant le conseil d’administration et parleront du nombre d’attaques qui ont été bloquées, des e-mails malveillants supprimés, des employés formés à la reconnaissance des escroqueries par hameçonnage ou de l’argent investi dans la mise à niveau de leur technologie de gestion des informations et des événements de sécurité (SIEM). Mais ils ne parlent pas suffisamment de la manière dont les attaques numériques réussies affectent les résultats de l’entreprise ou du coût que cela coûtera à l’entreprise de limiter ses risques.
« En tant que RSSI, mon travail n’est pas de sécuriser l’entreprise. Mon travail est la protection des bénéfices »Steve Zalewski, ancien RSSI chez Levi Strauss
Une septembre 2021 enquête menée par Harvard Business Review Analytic Services a révélé que 68 % des RSSI présentent des indicateurs techniques aux décideurs. Seulement 56 % mesurent les dommages monétaires potentiels.
« En tant que RSSI, mon travail n’est pas de sécuriser l’entreprise », déclare Zalewski. « Mon travail est la protection des bénéfices. »
Investir massivement dans les solutions de sécurité réduit les bénéfices, ces investissements doivent donc être justifiés. Les RSSI doivent cartographier le risque de cybersécurité au risque commercial et le quantifier d’une manière que les chefs d’entreprise et le conseil d’administration comprendront, déclare Zalewski. Cela conduit finalement à une conversation sur le niveau de risque que les entreprises sont prêtes à prendre, ainsi que sur ce qu’elles sont prêtes à dépenser pour réduire leur exposition.
La seule mesure qui les règle toutes ? « Revenue », déclare Bob Zukis, fondateur et PDG de Digital Directors Network, qui conseille les entreprises sur la gouvernance numérique et cybernétique, et professeur adjoint à la Marshall School of Business de l’USC. Si vous souhaitez attirer l’attention du conseil d’administration, commencez à parler d’argent.
« C’est votre point de départ », déclare Zukis. « Si vous fermiez le système d’entreprise numérique, qu’adviendrait-il des revenus que le système crée ? Une fois que vous avez aligné les contrôles de sécurité sur les revenus, le conseil vous écoutera toute la journée. »
Mapper le risque au chiffre d’affaires
En juin, Gartner a publié une liste de 20 mesures axées sur les résultats que les organisations peuvent utiliser pour comparer la valeur de leurs investissements en sécurité. Les organisations peuvent prendre des mesures telles que le temps moyen pour remédier aux incidents, la cadence des correctifs et les clics d’hameçonnage, et voir comment elles se comparent aux autres entreprises de leur cohorte.
Le fait d’avoir un ensemble commun de références permettra aux RSSI d’avoir des « conversations adultes sur les investissements de cybersécurité dirigés par l’entreprise », a déclaré Paul Proctor, vice-président de Gartner et analyste distingué, lors d’un webinaire d’avril. À partir de là, les responsables de la sécurité et des entreprises peuvent discuter de problèmes tels que ce qu’il coûterait de réduire le temps nécessaire pour corriger les vulnérabilités de 30 jours à 15 jours et si la réduction supplémentaire des risques en vaut la peine. (Voir le tableau ci-dessous.)
« Les conseils traitent la sécurité comme des professionnels de la magie et de la sécurité comme des assistants », a déclaré M. Proctor. « Donnez de l’argent à l’assistant, il lancera quelques sorts et l’organisation sera protégée. Si quelque chose se passe mal, ils disent : « Je suppose que nous avons besoin d’un nouvel assistant. » Cela a conduit à de très mauvaises décisions d’investissement. »
Se baisser à l’argent et au sens
Mais évaluer l’impact potentiel des incidents de sécurité sur les revenus d’une entreprise reste plus artistique que scientifique. Il est relativement facile d’estimer la perte de revenus si un site d’e-commerce tombe en panne pendant une heure. Le calcul de l’impact financier des systèmes numériques qui soutiennent une entreprise physique comme la fabrication ou l’industrie pharmaceutique est plus difficile à craquer, déclare Kevin Richards, président des solutions de cyber-risque chez X-Analytics.
« Calculer notre impact financier a été le plus grand défi pour le secteur de la cybersécurité pendant 30 ans. »Kevin Richards, président des solutions de cyber-risque chez X-Analytics
« C’est le plus grand défi pour le secteur de la cybersécurité depuis 30 ans », déclare Richards, dont l’entreprise utilise les données de plus d’une décennie de réclamations en cyber-assurance et de violations réelles pour calculer les dommages potentiels d’une attaque réussie. La plateforme cloud de X-Analytics aide ensuite les dirigeants à prendre des décisions éclairées sur les domaines où investir leurs budgets de sécurité et la manière dont cela pourrait changer au fil du temps.
Les mesures qui comptent le plus, et la quantité d’importance que les dirigeants d’entreprise attribuent à ces mesures, peuvent varier largement d’une organisation à l’autre, déclare Richards. L’important est que les RSSI se retrouvent dans la même pièce avec les chefs d’entreprise et aient une conversation franche sur leur tolérance au risque.
[Lire également : les scores de cyber-risque doivent être plus qu’un simple nombre]
« Une fois que vous avez commencé à mettre de vrais chiffres financiers à côté de ces risques, ils s’avèrent être beaucoup plus grands que quiconque ne l’attendait », ajoute-t-il. « Ce n’est pas quelque chose que vous pouvez faire au dos d’une serviette. »
Il ne s’agit pas non plus d’une conversation que les entreprises peuvent se permettre de reporter, en particulier celles qui sont cotées en bourse. Les récentes propositions de gouvernance de la SEC appellent les entreprises publiques à prêter beaucoup plus d’attention aux problèmes de sécurité. L’évaluation des cyber-risques au niveau du conseil d’administration deviendra un must-have, et non un agréable.
« Les conseils d’administration devront avoir quelqu’un dans la salle qui comprend les problèmes de cybersécurité », déclare Zukis du Digital Directors Network. « Les RSSI devront articuler la quantification et la matérialité d’une manière qui se traduit en dollars et en centimes. Et s’ils ne peuvent pas raconter cette histoire, ils devront trouver un autre emploi. »
