La cybersécurité : un enjeu pour l'entreprise responsive de demain

2. Pourquoi tant d’incompréhensions entre vous et vos dirigeants ?

Ces dernières années, les entreprises se sont globalement saisies du sujet de la cybersécurité. Le caractère stratégique a été diffusé dans l’entreprise via un « tone at the top » sans ambiguïté, et des budgets parfois conséquents ont été sanctuarisés, tant sur le volet sensibilisation, la mise en place de nouveaux outils que pour assurer les opérations

Mais le Comex peine à maintenir son attention sur la maîtrise des risques cyber, et notamment par « temps calme », pour différentes raisons :

• Il a des difficultés à appréhender une ligne directrice claire et les priorités qui en découlent. La grande évolutivité des menaces cyber (techniques, cibles, déroulement des attaques, …) bouscule sans cesse les planifications et les priorisations. La répartition de l’effort n’est pas simple entre les efforts de surveillance et d’anticipation des crises, la transformation numérique et les autres projets à accompagner, la dette de sécurité à résorber et les exigences de conformité en évolution constante.
• Il manque de repères financiers. La gestion budgétaire de la cybersécurité ne bénéficie pas aujourd’hui de standards, taxonomies, outils et reportings de référence. Dans ce contexte, il est difficile de comprendre une base de coûts, analyser l’efficacité d’un portefeuille d’initiatives, ou de se comparer avec d’autres acteurs.
• Il est confus sur l’avancement des sujets cyber et les impacts en termes de maitrise effective des risques. Les responsables cyber peinent bien souvent à partager une vision claire, complète, à jour de l’avancement des programmes opérationnels, et de leur traduction en termes de mitigation des risques métiers. Le Comex est alors rarement conscient de l’état réel de préparation de l’entreprise face aux menaces et de sa capacité de résilience.
• Il n’estime pas la valeur réelle des actions cyber au-delà de la protection qu’elles apportent. Les business case des projets de cybersécurité restent encore peu satisfaisants, se limitant à la notion de conformité et de clear and present danger, sans mettre en avant de quantification concrète du coût du risque évité. Les COMEX ne sont pas sensibilisés à la véritable valeur de systématisation des réflexes de protection, ainsi qu’aux difficultés évitées par de bonnes décisions cyber dans l’exécution des projets de transformation.

4. Comment faciliter la prise de décision stratégique ?

Présenter, arbitrer, rendre compte d’une stratégie Cyber au plus haut niveau de l’entreprise est un exercice difficile requérant pédagogie et agilité. Conserver l’attention et l’adhésion de la Direction Générale sur le long terme est d’autant plus un défi par « temps calme », lorsque l’entreprise n’est pas en situation de crise. De nos expériences terrain nous retenons certains enseignements et meilleures pratiques.

• Adopter un langage de vérité avec les décideurs Business. La courbe d’apprentissage sur les sujets technologiques n’est pas toujours évidente, mais elle ne doit pas pour autant occulter un langage de vérité, primordial pour la confiance mutuelle. La pédagogie passe par la présentation d’une histoire intelligible, cohérente sur la durée, qui fait le lien de manière transparente entre le plan d’actions cyber et la couverture des risques métiers. Pour être en situation de prise de décision éclairée, la Direction Générale doit comprendre le langage, les tenants et les aboutissants de ce qui lui est exposé ; la contribution effective de chaque chantier à la réduction des risques et/ou à l’atteinte de la stratégie de l’entreprise. Pour aller plus loin, il paraît intéressant d’envisager une formation du ComEx sur les sujets Cyber, ou la rencontre d’acteurs comme l’ANSSI (ce que certains de nos clients ont initiée ces derniers mois).
• Objectiver les risques à l’aide de données. La data, que ce soit via l’utilisation de cibles chiffrées ou la quantification des impacts associés à un risque métier, représente un outil puissant et essentiel pour permettre des arbitrages de niveau Comex. L’équipe Cyber doit se donner l’ambition d’aller chercher des données au sein des SI et des processus, d’alimenter une base suffisante (datalake) pour permettre de faire des évaluations, de mieux suivre les projets, de quantifier les risques résiduels, voire d’effectuer des simulations.
• Evoluer d’une image de protection vers celle du support à l’accélération. Les discours qui résument une stratégie en surfant uniquement sur les peurs ont vécu. La Cyber doit bien entendu jouer son rôle de sécurisation de l’entreprise, mais elle ne doit pas hésiter à jouer une carte de business enabler. Pour repositionner durablement la cyber dans les moeurs et la stratégie d’entreprise, il est fondamental de travailler son « branding », d’insister sur son pouvoir de soutien des transformations, la capacité de la cyber – lorsqu’elle est pensée intelligemment, expliquée et intégrée en amont des projets – à supporter et non freiner l’innovation (ex. pratiques DevSecOps).
• Démontrer une rigueur budgétaire et un sérieux dans l’exécution. Le Comex ne peut rester en tension sur les sujets cyber que s’il peut aisément suivre l’avancement des programmes. Comme tout objet mobilisant des moyens de l’entreprise, la cyber doit faire l’objet d’une gestion budgétaire standardisée et outillée, avec des investissements justifiés par leur valeur, un suivi régulier de la consommation, de l’atteinte des objectifs, mais aussi une analyse des raisons de non-dépense des budgets consacrés.
• Engager le Comex sur la durée et ancrer une relation de confiance mutuelle. Toute relation et compréhension mutuelle se travaille dans la durée. Pour suivre l’évolution du niveau de protection de l’entreprise, réallouer l’effort au fil de l’évolution des menaces, ancrer durablement le changement des comportements… il est crucial de rechercher une fréquence d’interactions sur les thématiques cyber, ne serait-ce qu’avec certains membres du Comex.

Entretenir un dialogue régulier avec les dirigeants, dans les « temps calmes » de l’actualité cyber, est la clé de voute pour faire évoluer leur sensibilité de la gestion à l’anticipation des crises, pour enfin franchir le pas d’une cyber de la peur vers une cyber continue, intégrée, efficace, efficiente, au service de la transformation de l’entreprise.