Aligner la cybersécurité avec les besoins et exigences de l'entreprise

La phrase « La sécurité est notre priorité absolue » peut être comparée au véritable nom d'un démon dans Warhammer : si tous les membres de l'organisation savaient et comprenaient ce que c'était, alors vous pourriez avoir une cybersécurité efficace.

Au-delà des références, ce que j'essaie de dire ici, c'est que l'alignement de la cybersécurité sur les besoins des entreprises est probablement la principale exigence d'une cybersécurité efficace que nous ne parvenons souvent pas à satisfaire. C'est un sujet que la plupart des professionnels connaissent bien et sur lequel ils passent beaucoup de temps à se plaindre en ligne. Exemples courants :

• Les cadres qui ne veulent pas que l'authentification multifacteur soit activée pour eux, et parfois pour leurs équipes
• « Je n'utiliserai pas d'application d'authentification sur mon téléphone personnel »
  • D'accord, voici une YubiKey
    • Je ne veux pas utiliser cette clé USB, je n'ai pas été formé à utiliser l'authentification multifacteur, désactivez-la !

La liste est longue. Bien sûr, nous, les professionnels de la sécurité, sommes également coupables de rendre les choses trop complexes pour que tout le monde puisse les comprendre. Les équipes de sécurité (ou l'unique administrateur qui porte la casquette de sécurité ce matin) se concentrent souvent trop étroitement sur la « protection complète » telle qu'ils la définissent, ce qui provoque des frictions avec l'entreprise et les autres équipes informatiques.

Les entreprises existent pour faire des affaires. La sécurité qui ralentit l'activité de génération de revenus sera progressivement reléguée au second plan. Cela pourrait se produire de plusieurs manières discrètes mais efficaces :

• Réduction du budget, rendant impossible le déploiement de certaines mesures de sécurité
• Réduction de la portée des équipes de sécurité en transférant certaines responsabilités à d'autres domaines d'activité
• Accent mis sur la conformité, conduisant à la sécurité des cases à cocher

Tous ces changements d'activité entraînent une posture de sécurité qui ne protège pas toujours l'entreprise.

Comment éviter les erreurs courantes et rester alignés

Il est essentiel d'aligner la cybersécurité sur les objectifs commerciaux. La sécurité a tout à fait le droit de fournir des garde-fous qui protègent une entreprise, mais elle doit éviter de devenir un obstacle ou un frein qui ralentit la poursuite de la croissance de l'entreprise. Dans les grandes organisations, le succès des déploiements de sécurité dépend souvent de la création d'un consensus et de l'établissement de politiques claires avant le déploiement des tests et la collecte de commentaires. C'est une leçon que nous avons entendue à maintes reprises au cours de la dernière décennie, et qui est toujours d'actualité : la sécurité ne doit jamais devenir un frein au rythme de l'entreprise. Cela signifie travailler en collaboration avec les équipes de développement réticentes et d'autres parties prenantes pour s'aligner sur les objectifs avant d'appliquer des contrôles sur des pratiques potentiellement risquées.

Une fois que la sécurité est déployée, il est essentiel de pouvoir décomposer son impact en termes commerciaux. Qu'il s'agisse d'un directeur financier qui s'interroge sur le retour sur investissement ou d'un chef d'entreprise qui tente de réorienter votre budget de licences vers son outil préféré, le fait de pouvoir quantifier la valeur de votre solution déployée en termes monétaires la rend difficilement contestable.

La publication d'un rapport de valeur régulier, mensuel ou trimestriel, basé sur les journaux et les données des tickets peut aider à traduire les gains techniques en impact commercial. Par exemple, le blocage des emails phishing peut être présenté comme « des heures de productivité économisées par les employés ».

Oui, cela demande des efforts, et cela ne ressemble peut-être pas à un travail de sécurité direct, mais c'est essentiel pour démontrer votre valeur pour l'entreprise. Des indicateurs tels que la réduction des temps d'arrêt, la prévention des violations et la protection de la confiance dans la marque donnent une bonne image à la direction lors des bilans trimestriels de l'activité (QBR) et renforcent votre rôle à long terme.

La cybersécurité est essentielle à la survie des entreprises. Il ne s'agit pas d'une simple case à cocher de conformité une fois par an. Lorsque les équipes de sécurité prouvent leur retour sur investissement (ROI), elles gagnent en influence et en investissement continu.