La cybersécurité est désormais l'un des sujets les plus importants pour tout conseil d'administration, ce qui donne au DSI et au RSSI une chance de changer la conversation. Au lieu que le RSSI parle de l'activité des menaces et que le DSI présente la transformation numérique séparément, la présentation de la façon dont ils travaillent ensemble pour atteindre les objectifs de l'entreprise est essentielle pour cultiver le consensus au sein du conseil d'administration.
En faisant front commun, ils font passer la discussion sur la sécurité du statut d'assurance à celui de facilitateur de l'activité, répondant ainsi aux grandes questions qui préoccupent le conseil d'administration :
- Vitesse : à quelle vitesse pouvons-nous lancer de nouveaux produits en toute sécurité ?
- Récupération : Avec quelle rapidité pouvons-nous reprendre le travail en cas de perturbation cybernétique ?
- La confiance : Quels sont les risques susceptibles d'éroder la réputation de notre marque ou la confiance de nos clients ?
- Innovation : Notre sécurité nous aide-t-elle à innover ou nous ralentit-elle ?
Les conseils d'administration demandent aujourd'hui à être mieux informés. Près de la moitié d'entre eux déclarent avoir besoin de bien meilleurs rapports sur les nouveaux types de menaces et les risques liés à l'utilisation de l'IA. Ils ne veulent pas seulement savoir ce qui s'est passé hier ; ils veulent connaître les risques les plus importants et savoir comment se préparer pour demain.
Lorsque le DSI et le RSSI montrent efficacement comment leurs initiatives collaborent pour aider l'entreprise à atteindre ses objectifs et à atténuer les risques, ils s'assurent que l'entreprise est suffisamment résiliente pour continuer à aller de l'avant, quoi qu'il arrive.
La valeur stratégique de la narration unifiée
Pour le DSI et le RSSI, un récit unifié ouvre la voie à des priorités et des mesures communes, ainsi qu'à une prise de décision intégrée. Il garantit que nous considérons la dette technique comme une vulnérabilité de sécurité et les contrôles de sécurité comme des garde-fous opérationnels. Lorsqu'ils parlent d'une seule voix, ces dirigeants cessent de rendre compte des menaces et commencent à rendre compte de la résilience de l'entreprise.
Une telle approche aide le conseil d'administration à comprendre comment l'intégration de l'informatique et de la sécurité rationalise les opérations et favorise l'efficacité opérationnelle. L'alignement renforce la confiance des clients, ouvre la voie à de nouveaux marchés et favorise les ventes. Cela est particulièrement important dans les secteurs confrontés à des réglementations changeantes ou à des normes industrielles qui évoluent rapidement.
Pour le conseil d'administration, ce changement est transformateur. Un récit unifié permet au conseil d'administration de passer d'une question "oui/non" impossible à prouver ("Sommes-nous en sécurité ?") à un choix commercial : "Sommes-nous suffisamment résilients pour gagner ?"
Un récit unifié du DSI et du RSSI aide le conseil d'administration de trois manières principales :
- Équilibrer l'innovation et les risques : Si le DSI parle du passage au cloud et que le RSSI parle séparément d'un audit de sécurité, le conseil d'administration n'y verra qu'un projet et un casse-tête. S'ils les présentent ensemble, le conseil d'administration voit un plan intelligent. Il peut alors décider exactement de la vitesse qu'il souhaite échanger contre la sécurité.
- Comprendre la valeur des investissements en matière de sécurité : Les conseils d'administration ont souvent l'impression que les dépenses de sécurité disparaissent dans un "trou noir". Une histoire unie montre que la sécurité est un outil qui permet de battre la concurrence. Par exemple : "Nous pouvons pénétrer ce nouveau marché à hauteur de 20 % : "Nous pouvons pénétrer ce nouveau marché 20 % plus rapidement que les autres parce que notre sécurité est déjà intégrée".
- Renforcer la confiance dans la réglementation : Les nouveaux mandats tels que les règles de divulgation de la SEC en matière de cybercriminalité signifient que les membres du conseil d'administration peuvent être tenus personnellement responsables de la sécurité numérique de l'entreprise. Un rapport conjoint prouve que l'entreprise dispose d'un plan solide et mature, et montre au conseil d'administration comment la technologie de l'entreprise aide - ou nuit - aux résultats de l'entreprise.
Recadrer le récit : De la "défense des périmètres" à la "garantie de résilience"
Les DSI et les RSSI doivent modifier la manière dont ils rendent compte au conseil d'administration afin de répondre aux questions qui préoccupent les administrateurs, telles que "Dans quel délai pouvons-nous commercialiser nos produits en toute sécurité ?" ou "Quels risques pèsent sur notre réputation ?
1. Du comptage des attaques à la gestion des risques d'entreprise
- L'histoire en silo : Dans un environnement cloisonné, les rapports se concentrent sur le volume, par exemple "notre pare-feu a bloqué 20 millions d'accès". Cela submerge le conseil d'administration sans expliquer si l'entreprise est plus sûre. Il manque le contexte de l'entreprise.
- Le récit unifié : L'accent est mis sur la continuité opérationnelle en expliquant comment les investissements en matière de sécurité protègent des flux de revenus spécifiques.
- Le point de vue du conseil d'administration : "Notre moteur principal de commerce électronique est désormais résistant aux perturbations de niveau 1, protégeant ainsi un volume de transactions quotidiennes de 1,5 million de dollars.
2. De la couverture à la préparation opérationnelle
- L'histoire en silo : Le fait de déclarer que "100 % des ordinateurs sont équipés d'un antivirus" donne l'impression que l'entreprise est invincible.
- Le récit unifié : Lorsque l'équipe admet que des problèmes surviendront, elle se concentre sur le temps d'arrêt maximal tolérable et la vitesse de rétablissement.
- Le point de vue du conseil d'administration : "Si une attaque par ransomware bloque notre base de données d'expédition, nos exercices de récupération conjoints confirment que nous pouvons rétablir les opérations en 4 heures, contre 12 heures auparavant.
3. De la gestion de la conformité à la gestion des risques
- L'histoire en silo : L'utilisation de listes de contrôle standard pour prouver que vous avez suivi les règles signifie souvent que vous avez "passé le test" mais que vous êtes toujours à risque.
- Le récit unifié : Une discussion honnête sur le risque résiduel montre ce qui est fixé et, plus important encore, les risques que le conseil d'administration choisit d'accepter en ne dépensant pas plus.
- Le point de vue du conseil d'administration : "La confidentialité de nos données est assurée à 90 %. Les 10 % de risques restants proviennent de la technologie existante que nous allons migrer vers le cloud d'ici le troisième trimestre".
4. Des contraintes à l'innovation
- L'histoire en silo : La sécurité est considérée comme le "département du non" qui ralentit les nouveaux projets et rend la vie difficile à l'équipe technique.
- Le récit unifié : La sécurité est présentée comme un catalyseur de rapidité. En intégrant dès le départla sécurité par conception dans les projets de transformation numérique et d'IA, l'équipe s'assure que les nouveaux outils sont utiles à l'entreprise. En d'autres termes, la sécurité passe d'un point de friction à un garde-fou qui permet une innovation rapide et audacieuse.
- Le point de vue du conseil d'administration : Notre nouveau "Secure AI Sandbox" permet à notre équipe de recherche de lancer trois nouveaux outils ce mois-ci sans aucune fuite de données, ce qui nous donne six mois d'avance sur nos concurrents."
5. De la reprise après sinistre à la résilience concurrentielle
- Une histoire cloisonnée : Traditionnellement, le RSSI parle de sécurité lorsqu'il y a un exercice de reprise après sinistre ou que quelque chose se casse.
- Le récit unifié : Une présentation en équipe montre que la résilience est un avantage concurrentiel. Le fait d'être la seule entreprise à rester en ligne lorsqu'un fournisseur commun tombe en panne est une position de force.
- Le point de vue du conseil d'administration : "Parce que nos systèmes sont découplés et renforcés, une panne régionale qui bloque les sites web de nos concurrents n'entraînera qu'une latence de 5 % pour nos clients. C'est l'occasion de conquérir de nouvelles parts de marché".
6. Du maillon faible à la force de l'entreprise
Nous considérons souvent les personnes comme le "maillon faible", mais nous devrions les voir comme une défense financière. Les problèmes causés par les menaces internes coûtent aux entreprises 17,4 millions de dollars par an, mais de nombreux programmes de formation sont inefficaces.
- L'histoire en silo : Traditionnellement, l'accent est mis sur une formation de sensibilisation de base, exigeant que chacun regarde une ou plusieurs vidéos sur la sécurité chaque année.
- Le récit unifié: Il s'agit de montrer comment les dirigeants encouragent les bons comportements et permettent d'arrêter rapidement les menaces avant qu'elles ne se propagent.
- Le point de vue du conseil d'administration : "En récompensant les comportements axés sur la sécurité, nous avons pu détecter et arrêter les menaces internes 20 % plus rapidement, ce qui nous protège directement des 17,4 millions de dollars de coûts annuels associés aux risques encourus par les employés."
Un front uni entre l'informatique et la sécurité apporte de la valeur à l'entreprise
En comblant le fossé entre l'informatique et la sécurité, une alliance entre le DSI et le RSSI démontre l'alignement de l'entreprise sur le conseil d'administration. Parler le même langage permet de faire le lien entre les menaces et les risques et ce qui est nécessaire pour permettre la transformation numérique en toute sécurité et maximiser l'efficacité opérationnelle.
Votre conseil d'administration n'aura plus de difficultés à comprendre comment un investissement technologique spécifique influence le risque numérique ou comment un nouveau projet de transformation affecte la cyber-résilience. Il sera en mesure d'avoir une vision globale de la manière dont l'entreprise peut innover ET survivre à une crise.
Si vous souhaitez savoir comment les DSI et les RSSI peuvent travailler ensemble pour quantifier la valeur à risque, élaborer une feuille de route de résilience et découvrir comment un MSSP spécialisé permet de stabiliser l'alliance, téléchargez le document complet, The Resilience Alliance : CIO and CISO Reporting as One (L'alliance de la résilience : le DSI et le RSSI ne font qu'un).