Résumé
La confiance numérique est un élément clé dans la course à la transformation numérique. Pourtant, de nombreuses entreprises ne semblent pas avoir reçu le message, selon une récente enquête mondiale auprès de dirigeants d'entreprises et de professionnels de l'informatique. Nous aborderons les statistiques (98% affirment que la confiance numérique est importante, mais seulement 57% proposent des formations sur la confiance) et les solutions (de la sécurisation de la chaîne d'approvisionnement à la protection de la confidentialité des données) avec des experts de l'ISACA, l'Association pour l'audit et le contrôle des systèmes d'information.
ANIMATRICE : Melissa Bischoping, directrice de la recherche en sécurité des points de terminaison, Tanium
INVITÉS : David Samuelson, [ancien] PDG, et Chris K. Dimitriadis, directeur général de la stratégie mondiale, ISACA
Note de production : Au moment de cet enregistrement, Samuelson occupait le poste de PDG de l'ISACA. Il a depuis quitté l'organisation. Tracey Dedrick est actuellement PDG par intérim de l'ISACA.
Notes de l'émission
Consultez l'enquête et les ressources d'ISACA sur la confiance numérique, ainsi que ces articles dans Focal Point, le nouveau magazine en ligne de cybersécurité de Tanium.
- Le rapport sur l'état de la confiance numérique d'ISACA 2022
- Ressources d'ISACA sur la confiance numérique
- Ce que le secteur technologique peut apprendre de TikTok : la confiance est primordiale
- La transformation numérique passe par une transformation de la sécurité
Transcription
L'entretien suivant a été édité pour plus de clarté.
David Samuelson : La confiance numérique est un parcours, et cette confiance doit être assurée et méritée chaque jour, à chaque interaction numérique. C'est en quelque sorte à l'ancienne. Je veux dire, chaque jour vous devez mériter la confiance de votre client. Ce n'est donc pas un objectif que l'on atteint une fois pour toutes.
Melissa Bischoping Les entreprises du monde entier se disputent la course à la transformation numérique, mais il existe des lacunes importantes en matière de sécurité entre ce que font les entreprises et ce qu'elles devraient faire pour s'imposer comme leaders et gagner la confiance de leurs clients dans le futur écosystème numérique. Une nouvelle enquête mondiale auprès de 2 755 professionnels des affaires et des technologies de l'information a révélé que si 98% affirment que la confiance numérique est importante, seulement 12% disposent d'un rôle dédié pour en assurer le succès.
Bonjour, je suis Melissa Bischoping, directrice de la recherche en sécurité des terminaux chez Tanium. David Samuelson, PDG de l'ISACA, l'association professionnelle internationale axée sur la gouvernance informatique, et Chris Dimitriadis, son directeur général de la stratégie mondiale, se joignent à moi aujourd'hui pour expliquer ce qu'est la confiance numérique et pourquoi elle est importante. Ils sont avec nous aujourd'hui pour discuter de l'enquête 2022 État de la confiance numérique de l'ISACA. David et Chris, bienvenue.
Samuelson: Merci de nous recevoir.
Chris Dimitriadis: Merci, Melissa.
Bischoping: Commençons par le terme confiance numérique. Certains de nos auditeurs ne sont peut-être pas nécessairement familiers avec ce terme, alors définissons précisément ce qu'est la confiance numérique et pourquoi elle est importante.
Samuelson: C'est une excellente question. Je pense que tout le monde dans le monde comprend le concept de confiance numérique, car nous sommes tous connectés de tant de façons—bien plus que nous ne l'avons jamais été. Mais nous avons en réalité une définition de la confiance numérique, issue de notre collaboration avec l'ensemble de nos professionnels de la confiance numérique. Nous avons 170 000 membres dans 180 pays à travers le monde, et nous la définissons comme la confiance dans la relation et les transactions entre les fournisseurs et les consommateurs au sein d'un écosystème numérique associé.
Chris, pourriez-vous nous parler de certains des principaux avantages que les organisations constatent lorsque les niveaux de confiance sont plus élevés.
Dimitriadis: Absolument, et cela provient de notre enquête que nous avons menée cette année. Parmi les personnes interrogées, 66 pour cent, soit une majorité, ont déclaré que la réputation positive est l'un des, ou peut-être le principal avantage de la mise en œuvre de la confiance numérique. Moins de violations de la vie privée, moins d'incidents de cybersécurité, et des données plus fiables pour la prise de décisions, une fidélité accrue des clients, ce qui est très, très important pour qu'une entreprise ou une organisation réussisse. Et une innovation plus rapide. Ce sont quelques-uns des principaux avantages supplémentaires dont les organisations et les entreprises peuvent bénéficier grâce à la confiance numérique.
Bischoping: Ce sont d'excellents points. Vous savez, dans toute entreprise, vous souhaitez établir la confiance avec vos consommateurs concernant votre marque, votre produit, sa qualité, mais aussi, le fait d'avoir cette confiance numérique que leurs informations sont traitées en toute sécurité et que vous suivez de bonnes pratiques incite certainement un client à être plus enclin à continuer à faire affaire avec vous.
Samuelson: C'est exact. Et, vous savez, nous sommes une association, historiquement, de professionnels de la confiance numérique qui travaillent, au sein de leurs organisations, dans des domaines clés tels que l'assurance, la gouvernance informatique, la gestion des risques, la cybersécurité, la confidentialité et la qualité dans les domaines que nous servons. Donc la confiance numérique fait en quelque sorte partie de notre ADN.
Bischoping: Absolument. Et j'apprécie que vous ayez également inclus la qualité, car je pense que lorsque nous parlons de cybersécurité en tant que profession et en tant que domaine, et lorsque nous parlons de gouvernance, la qualité est parfois oubliée quand nous avons des vulnérabilités à corriger et des contrôles à mettre en œuvre. Mais la qualité est également importante car il s'agit de la qualité de l'expérience pour l'utilisateur et le client, mais aussi de la qualité de vos données et de la façon dont vous sécurisez votre environnement. Donc j'apprécie que vous l'ayez mentionné.
Parlons donc du rapport lui-même. Quels sont les principaux points à retenir ? Quelles sont les principales conclusions que vous pouvez tirer du rapport ?
Samuelson: Il y en a plusieurs, mais cinq se démarquent particulièrement—je pense que Chris et moi pouvons en discuter tour à tour. Premièrement, il est essentiel que les entreprises gagnent la confiance de leurs parties prenantes chaque jour et à chaque interaction. Et bien que chaque employé ait un rôle à jouer, l'équipe de direction d'une organisation a la responsabilité principale de soutenir et de prioriser la confiance numérique afin qu'elle stimule l'innovation et la transformation numériques.
Et souvent, ces contrôles informatiques, ces attributs de gouvernance et de gestion des risques avec lesquels nos professionnels travaillent, ils se perdent lorsqu'on aborde le côté humain. L'ensemble de l'organisation doit vraiment comprendre le concept selon lequel la confiance est importante dans un écosystème numérique. Je pense donc que c'est un point clé à retenir.
Quels sont vos points clés à retenir, Chris ?
Dimitriadis: Je pense qu'un deuxième point clé à retenir de l'enquête est le fait que la confiance numérique dépend de nombreux paramètres différents : la qualité, la disponibilité, la cybersécurité, la confidentialité, et aussi l'éthique—je veux dire, l'intégrité globale. Nous devons donc réaliser que la confiance numérique ne peut naître, ne peut être créée, que grâce à la collaboration de tous ces domaines complémentaires.
C'est pourquoi il est extrêmement important de s'assurer que nous disposons des bonnes formations et opérations en place pour permettre aux personnes de mieux collaborer et d'aider une organisation, un écosystème numérique, à atteindre un niveau de maturité plus élevé en matière de confiance numérique.
Samuelson: C'est quelque chose que nous avons réalisé en écoutant nos membres qui évoluent dans ces différents domaines se parler les uns aux autres. Ils réalisent que si la cybersécurité et un cloisonnement sont d'une importance capitale, tout comme la gestion des risques ou l'assurance, c'est en réalité la collaboration qui permettra d'atteindre quelque chose comme la confiance numérique. Et la confiance numérique est un terme commercial dans le sens où nous souhaitons tous disposer d'un écosystème de confiance avec lequel interagir. C'était donc le deuxième point.
Troisièmement, les cadres supérieurs doivent clairement définir, prioriser et aligner la confiance numérique au sein des organisations. Cela signifie qu'il est nécessaire de mettre en place des formations, d'assurer une cohérence avec les objectifs organisationnels, et de prévoir un budget ainsi que des effectifs pour ce type d'initiatives. Le soutien de la direction est donc essentiel.
Bischoping: Et David, vous avez mentionné que les cadres supérieurs ont la responsabilité de définir et de prioriser, et je ne pourrais pas être plus d'accord avec cela. Selon vous, quel est le plus grand défi à cet égard ? Où se situe le fossé entre ces dirigeants et le reste de l'entreprise pour assurer cette transmission et cette définition à l'échelle de l'organisation ?
Samuelson: C'est une excellente question, car en tant que cadre supérieur dans une organisation comptant environ 350 employés, je considère ces types d'attributs de confiance comme étant le travail de la direction générale. Et lorsque nous déléguons à des individus comme le responsable de la gouvernance informatique, le responsable des risques, ou la femme chargée de la cybersécurité, on peut parfois oublier qu'il faut socialiser cela avec le reste des employés.
Les personnes du marketing doivent comprendre la valeur de la confiance numérique. Et lorsque vous en parlez en termes de confiance numérique, elles sont plus susceptibles de le comprendre. Les RH doivent comprendre, afin que lors de l'intégration des personnes, il y ait une compréhension que la façon dont nous traitons nos clients, avec transparence et éthique, aura de l'importance pour notre succès en tant qu'entreprise. C'est pourquoi je pense que c'est le travail de tout le monde.
Bischoping: Formidable. C'était donc le troisième point à retenir. Qu'en est-il des points quatre et cinq ?
Dimitriadis: Je peux aborder le point quatre : peut-être la conclusion évidente que l'on ne peut vraiment pas s'améliorer si l'on ne mesure pas où l'on en est. Il est donc essentiel de disposer d'un système, d'une méthodologie pour mesurer la confiance numérique de manière globale.
Samuelson: Chaque organisation a en quelque sorte une taille et une forme différentes, de sorte que leur capacité à effectuer une partie de ce travail se situera à des niveaux de maturité différents. Mais il existe de nombreuses petites et moyennes entreprises dans le monde qui font tourner notre économie. Et certains de ces aspects dans ces différents domaines reposent entièrement sur les épaules d'un seul professionnel de l'informatique. Ainsi, comprendre où vous en êtes dans un niveau de maturité vous permet de vous concentrer sur l'endroit où vous devez consacrer votre énergie.
Les grandes entreprises peuvent être bien couvertes en matière de cybersécurité, mais peuvent ne pas avoir certaines activités de collaboration en cours. Je pense donc qu'il y a également de la valeur dans cette mesure de maturité.
La cinquième chose est simple : la confiance numérique est un parcours, et cette confiance doit être assurée et méritée chaque jour, à chaque interaction numérique. C'est en quelque sorte à l'ancienne. Je veux dire, chaque jour vous devez mériter la confiance de votre client. Et dans un monde numérique, vous devez gagner la confiance numérique de votre client. Ce n'est donc pas un objectif que l'on atteint une fois pour toutes.
Bischoping: J'adore ça. Vous savez, j'ai travaillé dans ces environnements où je faisais partie de ces petites équipes, et vous devez vraiment établir des relations à travers l'entreprise pour créer cette base permettant d'avancer vers la sécurité. J'adore ces points clés que vous soulignez.
Maintenant, nous avons un peu parlé de la façon dont la confiance se construit, mais pouvons-nous également parler un peu de la façon dont une entreprise mesurerait la confiance numérique ?
Samuelson: C'est une excellente question. Nous développons un cadre en tant qu'association de professionnels de la confiance numérique pour essayer d'aider à construire une sorte de compréhension des meilleures pratiques de ce à quoi cela pourrait ressembler dans ces domaines. Et je pense que c'est une raison importante pour laquelle des associations comme la nôtre doivent exister : faire remonter des praticiens ce qui est important à ce sujet et rassembler la base de connaissances qui aide les organisations et les personnes qui ont cette responsabilité à savoir à quoi ressemble l'excellence et à savoir où elles en sont sur cette échelle de maturité.
Bischoping: Je trace définitivement beaucoup de parallèles entre certaines des autres fonctionnalités au sein des opérations informatiques et de la sécurité qui se rattachent à toute cette construction de la confiance. Vous avez donc vos cadres et vos bases solides que vous devez construire, puis vous pouvez superposer une amélioration continue par-dessus jusqu'à atteindre vos objectifs de maturité.
Parlons donc de la fondation. Si je suis une organisation souhaitant commencer à évaluer ma confiance numérique, quelles sont les choses que je peux faire immédiatement ou rapidement pour l'améliorer ?
Dimitriadis: Je pense que tout commence par la mise en œuvre du bon cadre. Et cela rejoint ce que David a dit à propos de cette toute nouvelle approche de la confiance numérique qu'ISACA introduit. Mais je pense que c'est une première étape, je pense qu'il vaudrait la peine de s'assurer que dans ces domaines ou divisions, départements que nous avons mentionnés, il est extrêmement important d'avoir des personnes capables d'interpréter les résultats plus techniques liés à la confiance numérique, en relation avec les résultats commerciaux. Parce qu'en fin de compte, d'un point de vue commercial, la confiance est liée aux parties prenantes de cette entreprise — les clients, le conseil d'administration, les actionnaires, les employés, ainsi que les partenaires.
Donc, je pense que cette interprétation, qui va d'une mesure plus technique à une mesure plus commerciale de la confiance numérique, est extrêmement importante pour pouvoir tirer des conclusions. Parce que mesurer, c'est tirer des conclusions et s'améliorer, n'est-ce pas ?
Samuelson: Et Melissa, vous avez mentionné les petites organisations, je pense que l'essentiel pour elles est de savoir par où commencer.
Il y a actuellement beaucoup d'attention portée à la cybersécurité, et c'est tout à fait justifié. Nous avons de nombreuses vulnérabilités, et si vous êtes une petite entreprise, cela pourrait vous mettre hors d'activité, et c'est peut-être la première chose sur laquelle vous devez vous concentrer, mais cela pourrait ne pas être suffisant à long terme. Ainsi, hiérarchiser les éléments sur lesquels se concentrer dans, disons un cadre d'activité, pour atteindre cette première priorité — je pense à la méthodologie agile de gestion du backlog. Vous voulez savoir quelles choses peuvent être accomplies maintenant dans le premier sprint, puis ce que je ferai dans le sprint suivant, et continuer à progresser.
Je pense donc que la priorité et la méthodologie sont des outils utiles pour aider les gens à déterminer quoi faire en premier.
Dimitriadis: Et j'ajouterais que je pense qu'il est très important de commencer à mesurer la confiance numérique au niveau de la chaîne d'approvisionnement, car de nombreuses petites et moyennes entreprises dépendent de leur chaîne d'approvisionnement pour offrir leurs produits et services.
Donc, à l'ISACA, puisque nous croyons fermement que la confiance numérique concerne l'ensemble de l'écosystème numérique, il est très important de se concentrer sur les partenaires et sur l'ensemble de la chaîne d'approvisionnement afin de pouvoir obtenir des résultats plus rapidement, comme première étape vers la mise en œuvre de la confiance numérique.
Samuelson: C'est un excellent point, et SolarWinds en est un parfait exemple.
Mais même il y a une décennie, lorsque Target a subi une violation, c'était un problème de fournisseur, mais c'est Target qui a été blâmé.
Vous savez, quand Apple a lancé la marketplace pour les développeurs d'applications, elle était moins fiable jusqu'à ce qu'Apple puisse intervenir et mettre en place des contrôles pour s'assurer que nous puissions tous à nouveau faire confiance à Apple. Je pense donc que c'est un point vraiment important concernant l'ensemble de l'écosystème.
Bischoping: Alors que je poursuis cette conversation, j'ai eu une pensée : nous parlons beaucoup du fait que la sécurité n'est pas la conformité, et la conformité n'est pas la sécurité — c'est-à-dire que le simple fait de cocher la case de la conformité ne signifie pas que vous êtes sécurisé, et le simple fait de sécuriser les choses ne signifie pas que vous passerez un audit.
Serait-il juste de dire que la confiance numérique est en quelque sorte un état que l'on peut atteindre lorsque la sécurité et la conformité fonctionnent de manière holistique ensemble, en harmonie plutôt que dans ces silos ? La confiance numérique est-elle ce qui se produit lorsque la conformité et la sécurité sont véritablement unies pour un changement positif ?
Samuelson: Je pense que c'est très bien dit, Melissa. Et c'est en partie au cœur de notre travail, car nous nous intéressons à la dimension humaine de cette activité autant qu'à l'activité elle-même.
Nous parlons beaucoup en informatique des personnes, des processus et de la technologie, et c'est souvent l'aspect humain qui ne reçoit pas autant d'attention — par exemple, les professionnels de l'informatique ne sont pas nécessairement formés pour défendre leur point de vue au niveau de la direction, ou pour trouver une façon collaborative de travailler avec leurs collègues pour accomplir quelque chose. Notre communauté en parle depuis un certain temps, et dans ce cadre de confiance numérique, nous nous concentrons vraiment sur ce que cela signifie et sur ce qui pourrait les aider à défendre cet argument.
C'est en partie pour cela que nous l'avons formulé en termes commerciaux, mais vous avez utilisé le bon mot. C'est en quelque sorte cette approche holistique pour atteindre la confiance numérique qui compte. Chris, je sais que vous êtes passionné par ce sujet…
Dimitriadis: Oui, j'aimerais m'appuyer là-dessus en ce qui concerne d'autres domaines—l'audit, par exemple, car on ne peut pas vraiment réussir en cybersécurité si l'on ne dispose pas d'une très solide équipe d'audit. Il en va de même pour la gestion des risques ; si vous ne maîtrisez pas la gestion des risques d'un point de vue commercial, là encore, vous ne pouvez pas réussir en cybersécurité. Il en va de même pour la confidentialité. Vous pouvez être fantastique en matière de cybersécurité, mais cela ne signifie pas que vous ne serez pas confronté à une violation de la vie privée. Et l'éthique, même si vous avez l'organisation parfaite dans ces autres domaines, si elle ne correspond pas aux attentes éthiques des clients, cette organisation peut vraiment nuire à, euh, sa, euh, son image de marque.
L'approche holistique est importante, car si nous ne rassemblons pas tout, nous ne serons pas en mesure de profiter des véritables avantages de la confiance numérique.
Bischoping: Je me suis entretenu avec David Samuelson, le PDG d'ISACA, et Chris Dimitriadis, son directeur mondial de la stratégie.
Si vous souhaitez en savoir plus sur leur 2022 enquête mondiale sur la confiance numérique, consultez le lien dans les notes de l'émission, ou vous pouvez en apprendre davantage sur le sujet dans le magazine d'actualités cybernétiques en ligne de Tanium sur Tanium.com. Pour écouter d'autres conversations avec les meilleurs responsables de la sécurité, assurez-vous de vous abonner à Let's Converge sur votre application de podcast préférée, comme Apple Podcasts et Spotify. Si vous avez aimé cet épisode, veuillez nous donner une note de cinq étoiles.
Merci de nous avoir écoutés, et nous avons hâte de partager d'autres informations sur la cybersécurité dans le prochain épisode de Let's Converge.
