Résumé
La confiance numérique est un élément clé dans la course à la transformation numérique. Pourtant, de nombreuses entreprises ne semblent pas avoir reçu le message, selon une récente enquête mondiale auprès de dirigeants d'entreprise et de professionnels de l'informatique. Nous aborderons les chiffres (98% estiment que la confiance numérique est importante, mais seulement 57% proposent des formations sur ce sujet) ainsi que les solutions (de la sécurisation de la chaîne d'approvisionnement à la protection de la confidentialité des données) avec des experts de l'ISACA, l'Information Systems Audit and Control Association.
ANIMATRICE : Melissa Bischoping, directrice de la recherche en sécurité des endpoints, Tanium
INVITÉS : David Samuelson, [ancien] CEO, et Chris K. Dimitriadis, directeur général de la stratégie mondiale, ISACA
Note de production : Au moment de cet enregistrement, Samuelson occupait le poste de CEO d'ISACA. Il a depuis quitté l'organisation. Tracey Dedrick est l'actuelle CEO par intérim d'ISACA.
Notes de l'épisode
Découvrez l'enquête et les ressources d'ISACA sur la confiance numérique, ainsi que ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- Le rapport 2022 State of Digital Trust d'ISACA
- Ressources d'ISACA sur la confiance numérique
- Ce que le secteur technologique peut apprendre de TikTok : la confiance est primordiale
- La transformation numérique passe par une transformation de la sécurité
Transcript
L'entretien suivant a été modifié pour plus de clarté.
David Samuelson : La confiance numérique est un parcours, et cette confiance doit être garantie et méritée chaque jour, à travers chaque interaction numérique. C'est une vision quelque peu traditionnelle. En effet, chaque jour, vous devez mériter la confiance de votre client. Il ne s'agit donc pas d'un objectif ponctuel.
Melissa Bischoping Les entreprises du monde entier se livrent une course à la transformation numérique, mais il existe des lacunes importantes en matière de sécurité entre ce que font les entreprises et ce qu'elles devraient faire pour établir leur leadership et gagner la confiance de leurs clients dans le futur écosystème numérique. Une nouvelle enquête mondiale menée auprès de 2 755 professionnels des entreprises et des technologies de l'information a révélé que si 98% d'entre eux considèrent la confiance numérique comme importante, seulement 12% disposent d'un rôle dédié pour en garantissez le succès.
Bonjour, je suis Melissa Bischoping, directrice de la recherche en sécurité des endpoints chez Tanium. David Samuelson, CEO de l'ISACA, l'association professionnelle internationale spécialisée dans la gouvernance des technologies de l'information, et Chris Dimitriadis, son directeur général de la stratégie mondiale, nous rejoignent aujourd'hui pour expliquer ce qu'est la confiance numérique et pourquoi elle est importante. Ils sont avec nous aujourd'hui pour présenter l'enquête State of Digital Trust 2022 de l'ISACA. David et Chris, bienvenue.
Samuelson: Merci de nous recevoir.
Chris Dimitriadis: Merci, Melissa.
Bischoping: Commençons par définir le terme de confiance numérique. Certains de nos auditeurs ne sont pas nécessairement familiers avec le sujet, alors définissons ce qu'est la confiance numérique et pourquoi elle est importante.
Samuelson: C'est une excellente question. Je pense que tout le monde comprend le concept de confiance numérique, car nous sommes tous connectés de nombreuses façons—bien plus qu'auparavant. Nous disposons d'une définition de la confiance numérique, fruit de notre collaboration avec l'ensemble de nos professionnels dans ce domaine. Nous comptons 170 000 membres dans 180 pays à travers le monde, et nous la définissons comme la confiance dans la relation et les transactions entre les fournisseurs et les consommateurs au sein d'un écosystème numérique associé.
Chris, pourriez-vous nous parler des principaux avantages que les organisations retirent d'un niveau de confiance élevé ?
Dimitriadis: Tout à fait, et cela ressort de notre enquête menée cette année. Parmi les personnes interrogées, 66 pour cent, soit une majorité, ont indiqué que la réputation positive est l'un des, voire le principal avantage de la mise en œuvre de la confiance numérique. Moins de violations de la vie privée, moins d'incidents de cybersécurité, des données plus fiables pour la prise de décision, une fidélité client renforcée, qui est un facteur déterminant pour la réussite d'une entreprise ou d'une organisation. Et une innovation plus rapide. Voici quelques-uns des principaux avantages dont les organisations et les entreprises peuvent bénéficier grâce à la confiance numérique.
Bischoping: Ce sont d'excellents points. Dans toute entreprise, l'objectif est de bâtir la confiance de vos consommateurs envers votre marque, votre produit et sa qualité. Mais la confiance numérique, qui garantit que leurs informations sont traitées en toute sécurité et que vous suivez de bonnes pratiques, incite un client à poursuivre sa relation commerciale avec vous.
Samuelson: Tout à fait. Nous sommes une association qui regroupe, depuis ses débuts, des professionnels de la confiance numérique œuvrant au sein de leurs organisations dans des domaines clés tels que l'assurance, la gouvernance des systèmes d'information, la gestion des risques, la cybersécurité, ainsi que la confidentialité et la qualité dans les domaines que nous servons. La confiance numérique fait donc partie de notre ADN.
Bischoping: Absolument. J'apprécie que vous ayez également mentionné la qualité, car lorsque nous parlons de cybersécurité en tant que profession et domaine, et lorsque nous abordons la gouvernance, la qualité est parfois reléguée au second plan face aux vulnérabilités à Patcher et aux contrôles à mettre en place. Or, la qualité revêt une importance capitale : elle englobe l'expérience de l'utilisateur et du client, mais aussi la qualité de vos données et la façon dont vous sécurisez votre environnement. Je suis donc ravi que vous l'ayez intégré.
Parlons donc du rapport en lui-même. Quels sont les points essentiels à retenir ? Quelles sont les principales conclusions que vous tirez de ce rapport ?
Samuelson: Il y en a plusieurs, mais cinq se démarquent particulièrement — je pense que Chris et moi pouvons en débattre ensemble. Premièrement, il est essentiel que les entreprises gagnent la confiance de leurs parties prenantes au quotidien et à chaque interaction. Et bien que chaque collaborateur ait un rôle à jouer, la direction générale d'une organisation porte la responsabilité première de soutenir et de placer la confiance numérique au cœur des priorités, afin qu'elle soit le moteur de l'innovation et de la transformation numériques.
Or, les contrôles informatiques, la gouvernance et les attributs de gestion des risques sur lesquels nos professionnels s'appuient au quotidien sont souvent relégués au second plan dès lors que l'on aborde la dimension humaine. L'ensemble de l'organisation doit véritablement comprendre que la confiance est un élément fondamental au sein d'un écosystème numérique. C'est là, je crois, un enseignement majeur.
Et pour vous, Chris, quels sont les points essentiels à retenir ?
Dimitriadis: Je pense qu'un deuxième enseignement clé de cette enquête est que la confiance numérique dépend de nombreux paramètres : la qualité, la disponibilité, la cybersécurité, la confidentialité, ainsi que l'éthique—c'est-à-dire, l'intégrité dans son ensemble. Nous devons donc prendre conscience que la confiance numérique ne peut naître, ne peut se construire, que par la collaboration de l'ensemble de ces domaines interdépendants.
C'est pourquoi il est essentiel de mettre en place les formations adaptées pour permettre aux équipes de mieux collaborer et d'aider une organisation, un écosystème numérique, à atteindre un niveau de maturité plus élevé en matière de confiance numérique.
Samuelson: C'est quelque chose que nous avons compris en écoutant nos membres, issus de ces différents domaines, échanger entre eux. Ils réalisent que si la cybersécurité en silo est d'une importance capitale, tout comme la gestion des risques ou l'assurance, c'est la collaboration qui permettra d'atteindre un objectif tel que la confiance numérique. Et la confiance numérique est un terme métier, dans le sens où nous souhaitons tous disposer d'un écosystème de confiance avec lequel Engage. C'était donc le deuxième point.
Le troisième est que les dirigeants doivent définir, prioriser et aligner la confiance numérique à l'échelle de l'organisation. Cela implique la mise en place de formations, un alignement avec les objectifs organisationnels, ainsi que des budgets et des ressources humaines dédiés à ces enjeux. Le soutien du leadership est donc déterminant.
Bischoping: David, vous avez mentionné que les dirigeants ont la responsabilité de définir et de prioriser, et je partage pleinement ce point de vue. Selon vous, quel est le principal défi à relever dans ce domaine ? Où se situe le fossé entre ces leaders seniors et le reste de l'entreprise pour que cette traduction et cette définition se diffusent à l'échelle de l'organisation ?
Samuelson: C'est une excellente question, car en tant que leader senior dans une organisation d'environ 350 employés, je considère ces types d'attributs de confiance comme relevant du job de la direction générale. Et lorsque nous déléguons à des personnes comme le responsable de la gouvernance informatique, le responsable des risques ou la responsable de la cybersécurité, on peut parfois oublier qu'il est nécessaire de sensibiliser l'ensemble des collaborateurs à ces enjeux.
Les équipes marketing doivent comprendre la valeur de la confiance numérique. Et lorsqu'on en parle sous l'angle de la confiance numérique, elles sont plus à même de la saisir. Les RH doivent également en avoir conscience, afin que lors de l'intégration des nouveaux collaborateurs, il soit bien établi que la façon dont nous traitons nos clients, avec transparence et éthique, aura un impact direct sur notre réussite en tant qu'entreprise. C'est pourquoi je pense que c'est le job de chacun.
Bischoping: Parfait. Voilà donc le troisième point à retenir. Qu'en est-il des quatrième et cinquième points ?
Dimitriadis: Je peux aborder le point numéro quatre : la conclusion évidente selon laquelle il est impossible de progresser sans mesurer sa position de départ. Il est donc essentiel de disposer d'un système, d'une méthodologie permettant de mesurer la confiance numérique dans sa globalité.
Samuelson: Chaque organisation a sa propre taille et sa propre structure, ce qui signifie que leur capacité à réaliser certains de ces travaux se situe à des niveaux de maturité différents. Pourtant, les petites et moyennes entreprises, qui constituent le moteur de notre économie, sont nombreuses dans le monde. Et certains de ces aspects, dans ces différents domaines, reposent sur les épaules d'un seul professionnel de l'informatique. Ainsi, avoir une vision claire de son niveau de maturité permet de concentrer ses efforts là où ils sont le plus nécessaires.
Les grandes entreprises peuvent être bien couvertes en matière de cybersécurité, mais manquer de dynamisme sur le plan de la collaboration. Cette mesure de maturité présente donc une réelle valeur ajoutée.
Le cinquième point est simple : la confiance numérique est un parcours, et cette confiance doit être garantie et méritée chaque jour, à travers chaque interaction numérique. C'est une vision quelque peu traditionnelle. En effet, chaque jour, vous devez mériter la confiance de votre client. Dans un monde numérique, il est indispensable de gagner la confiance numérique de vos clients. Il ne s'agit donc pas d'un objectif ponctuel.
Bischoping: J'adore. J'ai travaillé dans des environnements où je faisais partie de petites équipes, et il est indispensable de tisser des relations à travers l'ensemble de l'entreprise pour créer les bases nécessaires à la sécurité. Ces points clés que vous soulevez sont vraiment pertinents.
Nous avons évoqué la manière dont la confiance se construit, mais pourriez-vous nous expliquer comment une entreprise mesure la confiance numérique ?
Samuelson: C'est une excellente question. En tant qu'association de professionnels de la confiance numérique, nous développons un cadre de référence pour établir une compréhension des meilleures pratiques dans ces différents domaines. C'est là une raison essentielle pour laquelle des associations comme la nôtre ont leur place : recueillir auprès des praticiens ce qui est fondamental dans ce domaine et constituer une base de connaissances qui aide les organisations et les personnes responsables à identifier les critères d'excellence et à situer leur niveau de maturité.
Bischoping: Je trace de nombreux parallèles entre certaines fonctionnalités des opérations IT et de la sécurité qui s'inscrivent dans cette démarche globale de construction de la confiance. Il faut d'abord établir des cadres de référence et des bases solides, puis y intégrer des améliorations continues jusqu'à atteindre les objectifs de maturité visés.
Parlons justement de ces fondations. En tant qu'organisation souhaitant évaluer sa confiance numérique, quelles actions puis-je mettre en place rapidement pour l'améliorer ?
Dimitriadis: Je pense que tout commence par la mise en place du bon cadre de référence. Et cela rejoint ce que David a dit sur cette toute nouvelle approche de la confiance numérique qu'ISACA est en train d'introduire. Mais je pense que, dans un premier temps, il sera essentiel de s'assurer que dans ces domaines, divisions ou départements que nous avons mentionnés, il est primordial d'avoir des personnes capables d'interpréter les résultats plus techniques liés à la confiance numérique, et de les mettre en perspective avec les enjeux métier. Car en fin de compte, d'un point de vue métier, la confiance est liée aux parties prenantes de l'entreprise — les clients, le conseil d'administration, les actionnaires, les employés et les partenaires.
Ainsi, cette capacité à traduire des éléments techniques en indicateurs métier pour mesurer la confiance numérique est fondamentale pour pouvoir tirer des conclusions. Car mesurer, c'est tirer des conclusions et s'améliorer, n'est-ce pas ?
Samuelson: Et Melissa, vous avez mentionné les petites organisations — pour elles, l'essentiel est de savoir par où commencer.
La cybersécurité fait l'objet d'une attention soutenue en ce moment, et c'est tout à fait justifié. Nous faisons face à de nombreuses vulnérabilités, et pour une petite entreprise, cela pourrait mettre en péril son activité. C'est peut-être le premier point sur lequel se concentrer, mais cela ne sera pas suffisant sur le long terme. Il s'agit donc de prioriser les actions à mener dans un cadre d'activité donné, et d'identifier cette première priorité — je pense à la méthode agile et à l'affinage du backlog. Vous souhaitez savoir ce qui peut être accompli lors du premier sprint, puis ce qui sera fait lors du suivant, dans une démarche d'amélioration continue.
Je pense donc que la priorité et la méthodologie sont des outils précieux pour aider les équipes à déterminer par où commencer.
Dimitriadis: J'ajouterais qu'il me semble essentiel de commencer à mesurer la confiance numérique au niveau de la chaîne d'approvisionnement, car de nombreuses petites et moyennes entreprises en dépendent pour proposer leurs produits et services.
Ainsi, à l'ISACA, nous sommes fermement convaincus que la confiance numérique concerne l'ensemble de l'écosystème numérique. Il est donc primordial de se concentrer sur les partenaires et sur la chaîne d'approvisionnement dans son ensemble afin d'obtenir des résultats plus rapidement, comme première étape vers la mise en œuvre de la confiance numérique.
Samuelson: C'est un point très pertinent, et SolarWinds en est un parfait exemple.
Il y a même une décennie, lorsque Target a subi une violation de données, il s'agissait d'un problème lié à un fournisseur, mais c'est Target qui en a porté la responsabilité.
Lorsqu'Apple a lancé sa marketplace pour les développeurs d'applications, celle-ci inspirait moins confiance, jusqu'à ce qu'Apple intervienne et mette en place des contrôles permettant de rétablir la confiance de tous en la marque. Je pense donc que c'est un point véritablement important concernant l'ensemble de l'écosystème.
Bischoping: Au fil de cette conversation, une réflexion me vient à l'esprit : nous évoquons souvent le fait que sécurité et conformité sont deux notions distinctes — le simple fait de cocher les cases de la conformité ne garantit pas la sécurité, et sécuriser ses systèmes ne signifie pas nécessairement que l'on réussira un audit.
Serait-il juste de dire que la confiance numérique est en quelque sorte un état que l'on atteint lorsque sécurité et conformité fonctionnent de manière globale et cohérente, en harmonie plutôt qu'en silos ? La confiance numérique est-elle le résultat d'une véritable union entre conformité et sécurité au service d'un changement positif ?
Samuelson: Je pense que c'est très bien formulé, Melissa. Et c'est au cœur de notre travail, car nous nous intéressons autant à la dimension humaine de cette activité qu'à l'activité elle-même.
En informatique, on parle beaucoup des personnes, des processus et de la technologie, mais la dimension humaine reçoit souvent moins d'attention — par exemple, les professionnels de l'informatique ne sont pas nécessairement formés pour défendre leur point de vue auprès de la direction générale, ni pour trouver une approche collaborative avec leurs collègues afin d'atteindre leurs objectifs. Notre communauté en discute depuis un certain temps, et dans ce cadre de confiance numérique, nous nous concentrons sur ce que cela signifie et sur ce qui pourrait les aider à faire valoir cet argument.
C'est en partie pour cette raison que nous l'avons formulé en termes métier, mais vous avez utilisé le bon mot. C'est cette approche globale pour atteindre la confiance numérique qui est déterminante. Chris, je sais que vous êtes passionné par ce sujet…
Dimitriadis: Oui, j'aimerais approfondir ce point en ce qui concerne d'autres domaines — l'audit, par exemple, car on ne peut pas réussir en cybersécurité sans disposer d'une fonction d'audit solide. Il en va de même pour la gestion des risques ; si vous ne maîtrisez pas la gestion des risques d'un point de vue métier, vous ne pouvez pas non plus réussir en cybersécurité. Il en va de même pour la confidentialité. Vous pouvez exceller en matière de cybersécurité, sans pour autant être à l'abri d'une violation de la vie privée. Et en ce qui concerne l'éthique, même si votre organisation est irréprochable dans ces autres domaines, si elle ne répond pas aux attentes éthiques des clients, elle peut véritablement nuire à sa marque.
L'approche globale est essentielle, car si nous ne rassemblons pas tous les éléments, nous ne pourrons pas tirer pleinement parti des avantages de la confiance numérique.
Bischoping: Je me suis entretenu avec David Samuelson, le CEO d'ISACA, et Chris Dimitriadis, son directeur général de la stratégie mondiale.
Si vous souhaitez en savoir plus sur leur 2022 enquête mondiale sur la confiance numérique, consultez le lien dans les notes de l'émission, ou découvrez davantage sur le sujet dans le magazine d'information cyber en ligne de Tanium sur Tanium.com. Pour écouter d'autres conversations avec les leaders de la sécurité, abonnez-vous à Let's Converge sur votre application de podcast favorite, comme Apple Podcasts et Spotify. Si cet épisode vous a plu, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute, et nous avons hâte de partager de nouvelles perspectives cyber lors du prochain épisode de Let's Converge.
