Paperjam, January 2017

Transformer son cyber operating model: 6 règles d'or

  • Share

L’augmentation de la cybercriminalité caractérisée par des attaques plus sophistiquées, automatisées et ciblées, combinée à la transformation digitale qui accroît la surface de risques intrinsèques des entreprises, laissent présager une croissance continue des menaces informatiques. Pour se protéger, les organisations doivent revoir le modèle opérationnel de la fonction sécurité et transformer leur approche Cyber afin de couvrir les risques majeurs de l’entreprise, tout en prenant en compte les évolutions stratégiques, technologiques et opérationnelles de leur environnement.

Le modèle d’analyse des activités opérationnelles cyber ci-dessous permet d’aider les entreprises à évaluer la maturité de leur Cyber « Operating Model »:

  • Approche statique : application de mesures de sécurité focalisées sur la protection de l’environnement actuel
  • Approche dynamique : le système de cyber sécurité change en même temps que l’environnement. On se focalise sur la protection de l’activité de demain.
  •  Approche proactive : sur la base d’une veille des cyber menaces, les attaques potentielles sont identifiées. Des mesures sont prises avant que des dommages soient causés.

A ce modèle d’analyse de la maturité, il est nécessaire d’y associer une analyse du modèle organisationnel de la fonction sécurité, dont notamment la proximité de la filière SSI (Sécurité des Systèmes d’Information) avec les autres directions et les relations qui les caractérisent, ainsi que le rattachement du Responsable Sécurité du SI (RSSI) au sein de l’organisation et son portefeuille d’activités.

En effet, le rattachement du RSSI étant dépendant de la maturité de l’entreprise à la SSI, il convient alors d’évaluer ce niveau de maturité selon les modes de gouvernance usuels :

  • Gouvernance par les incidents et les outils
  • Gouvernance par les standards, permettant d’assurer une conformité aux exigences de l’entreprise 
  • Gouvernance par les risques, managée et intégrée dans les autres processus de l’organisation responsabilisant les métiers sur leurs risques résiduels et mettant en œuvre des dispositifs sécurité alignés sur leurs besoins
  • Gouvernance par création de valeur, proposant de nouveaux services qui participent à l’enrichissement du business, organisée en Centre de Services.

Pour répondre de manière plus générale à l’ensemble de ces enjeux stratégiques, il existe 6 règles d’or pour amorcer la transformation du « Cyber Operating Model » :

  • Centrer le client (Acheteur, Prescripteur) au cœur du modèle sécurité, en suscitant leur intérêt et en les fidélisant
  • Adopter une logique de performance opérationnelle, et faire adhérer à la démarche sécurité de l’entreprise l’ensemble des utilisateurs/partenaires de la filière SSI
  • Définir une offre de services claire et alignée sur la satisfaction du client, et communiquer sur l’impact de la sécurité sur l’entreprise et ses clients au sein de l’entreprise,  voire au-delà.
  • Maîtriser l’ensemble des processus sécurité et exigences réglementaires, et se positionner comme garant de l’image de marque de la SSI au sein de l’organisation
  • Définir une stratégie de sourcing spécifique à la filière SSI, en coopérant avec les acteurs majeurs de l’écosystème SSI (prestataires, TMA, éditeurs, hébergeurs)
  • Recruter des profils à forte valeur ajoutée (experts techniques, marketing/communicant, architecte fonctionnel, développeurs) capable de construire et promouvoir les services sécurité au sein de l’entreprise.