L’ambition personnelle des professionnels de la sécurité du cloud peut compromettre la sécurité de l’entreprise.
Le développement personnel est une bonne chose. En fait, il est essentiel. Mais lorsque les gens commencent à faire passer leurs propres ambitions professionnelles avant les besoins de sécurité de l’organisation, le système devient fragile. Vous pouvez disposer de la meilleure technologie, de la meilleure architecture, d’un logiciel de classe mondiale, rien de tout cela n’a d’importance si les gardiens perdent de vue leur objectif.
Les professionnels de la sécurité ont accès à l’infrastructure qui stocke vos données, votre propriété intellectuelle et votre avantage concurrentiel. Si l’un d’entre eux se préoccupe davantage de l’aspect de son dernier projet sur LinkedIn que de l’étanchéité de l’infrastructure à une intrusion, vous avez un problème. Et le problème ne se limite pas à une seule personne. Il s’agit d’un mode d’échec pour l’ensemble de l’organisation.
Une étude publiée dans l’International Journal of Services, Economics and Management s’est intéressée à 125 utilisateurs du cloud. Elle a révélé que, trop souvent, des motivations personnelles, telles que la maîtrise des dernières technologies pour étoffer son CV, motivaient davantage leurs décisions que la protection des données elles-mêmes. Cette étude confirme ce que la plupart d’entre nous pressentent déjà : les personnes qualifiées ne prennent pas toujours les bonnes décisions en matière de sécurité s’il n’y a pas d’harmonisation avec les priorités de l’organisation.
Personne ne dit que l’ambition est l’ennemi. L’ambition est ce qui permet aux gens d’innover et d’apporter une pensée nouvelle. Mais si elle n’est pas limitée, elle peut conduire à des raccourcis. Il se peut que quelqu’un lance un nouvel outil qui semble impressionnant sur le papier, mais qui n’a pas été correctement examiné. Une mise à jour importante peut être retardée parce qu’elle ne cadre pas avec le parcours de développement personnel d’un ingénieur clé. Ces choix érodent la confiance, favorisent les menaces et exposent l’entreprise.
Vous ne pouvez pas vous le permettre. Pas lorsque le coût d’une violation comprend le vol de propriété intellectuelle, les répercussions réglementaires, l’érosion de la confiance des clients et l’atteinte à la réputation. Et ce n’est pas de la théorie, c’est la réalité dans tous les secteurs qui utilisent l’informatique Cloud à grande échelle.
La conclusion est claire : si vous voulez construire une entreprise à l’épreuve du temps, vous ne pouvez pas laisser l’ambition prendre le pas sur la responsabilité. Il ne s’agit pas d’un problème culturel, mais d’un problème de système. Et les systèmes peuvent changer.
La dépendance excessive des organisations à l’égard des initiatives individuelles, sans contrôles appropriés, favorise les risques liés à la sécurité du cloud.
Les personnes qualifiées sont importantes. Mais si vous comptez sur la seule initiative personnelle pour protéger votre infrastructure numérique, vous vous exposez à des risques inutiles. Le problème n’est pas l’expertise, mais le manque de direction et d’application.
Dans de nombreuses entreprises, les équipes de sécurité fonctionnent avec un contrôle limité. Les dirigeants partent du principe que la compétence suffit. Ce n’est pas le cas. En l’absence de structures clairement définies et de mécanismes d’application, même des professionnels expérimentés peuvent prendre des décisions qui ne correspondent pas aux objectifs de sécurité de l’entreprise. Il ne s’agit pas de malveillance, mais d’incitations mal alignées et d’un manque de responsabilisation.
Trop d’entreprises laissent les talents individuels mener la danse en matière de sécurité du cloud. Elles donnent de l’autonomie tout en supposant un alignement. C’est là que le bât blesse. Un professionnel de la sécurité, même s’il possède de solides compétences techniques, peut se concentrer davantage sur un parcours d’apprentissage personnel ou sur une mise en œuvre à forte visibilité que sur une stratégie solide d’atténuation des risques. L’organisation finit par être exposée, précisément parce que personne n’assure une cohésion stratégique plus large.
Pour les dirigeants, c’est inacceptable. Si les décisions en matière de sécurité sont guidées par l’intérêt personnel, votre gouvernance ne fonctionne pas. Vous avez besoin de systèmes qui rendent les décisions personnelles responsables des priorités collectives. Cela signifie des rôles clairement définis, des contrôles interfonctionnels et des mesures régulières des processus et des résultats par rapport aux critères de référence de l’entreprise.
Les cadres de gouvernance sont importants à cet égard. Il ne s’agit pas seulement de procédures, ils déterminent si votre posture de cybersécurité est résiliente. Vous n’obtiendrez pas la résilience en faisant confiance aux individus pour qu’ils fassent toujours le bon choix. Vous l’obtiendrez en appliquant des systèmes qui protègent contre les dérives départementales et les préjugés inconscients.
Les bonnes personnes voudront toujours avoir la liberté de faire un travail qui a de l’impact. Donnez-leur cette liberté, mais à l’intérieur d’un système qui maintient l’alignement de tous. Dans le cas contraire, vous développerez les mauvais comportements en espérant que la chance comblera les lacunes.
Le renforcement de la responsabilité et l’harmonisation des incitations sont essentiels à la protection de l’infrastructure en nuage.
La responsabilité n’est pas facultative en matière de sécurité. Si vous voulez que les équipes prennent au sérieux la protection du cloud, vous devez mesurer les bons résultats et récompenser les bons comportements. Un état d’esprit axé sur le CV ne protégera pas votre infrastructure. Ce qui fonctionne, c’est l’alignement des incitations pour que la progression de carrière soutienne, et non compromette, la stratégie défensive à long terme.
La plupart des professionnels veulent évoluer, et c’est une bonne chose. Mais lorsque les organisations donnent la priorité à la résolution de problèmes de dernière minute ou à l’héroïsme individuel plutôt qu’à une gestion disciplinée et proactive de la sécurité, elles alimentent une mauvaise culture. Vous obtenez des gens qui recherchent la reconnaissance au lieu de construire des systèmes durables. C’est un problème de leadership.
Pour y remédier, il faut revoir la manière de mesurer le succès. Au lieu de se concentrer sur la personne qui réagit le plus rapidement à une crise, il faut se concentrer sur les systèmes qui permettent d’éviter les incidents. Ce changement nécessite des tableaux de bord, des indicateurs clés de performance à l’échelle de l’équipe et des récompenses organisationnelles qui mettent l’accent sur la stabilité collective. Il ne s’agit pas de punir l’ambition, mais de la structurer.
La formation et le développement des compétences en matière de sécurité doivent également être directement liés aux objectifs de l’entreprise. Si quelqu’un cherche à obtenir une nouvelle certification, c’est bien, mais assurez-vous qu’elle s’inscrit dans la pile technologique existante et dans la feuille de route stratégique de l’entreprise. Ne subventionnez pas des certifications qui ne contribuent en rien à la résilience de l’organisation à court ou moyen terme. Les investissements dans l’apprentissage interne doivent être synchronisés avec les objectifs défensifs externes.
La surveillance joue également un rôle. L’audit indépendant et les examens externes garantissent l’honnêteté de tous. La confirmation externe renforce l’idée que les décisions doivent être transparentes, mesurables et liées aux objectifs de l’entreprise. Sans cela, des angles morts se développent, souvent là où l’organisation se croit forte.
Les recherches le confirment. Dans l’étude publiée dans l’International Journal of Services, Economics and Management, les professionnels de la sécurité ont admis que leurs décisions étaient souvent davantage influencées par des motivations professionnelles que par le risque d’entreprise. Il s’agit là d’un défaut d’alignement. Et il est tout à fait possible d’y remédier.
Définissez la norme. Soyez explicite sur la façon dont le succès de la sécurité est défini dans votre organisation. Récompensez ensuite les personnes qui contribuent à cette réussite.
La sécurité du cloud doit être traitée comme une responsabilité stratégique et partagée au sein des organisations
La sécurité du cloud n’est pas seulement une fonction technique. Il s’agit d’un mandat stratégique. La considérer comme la responsabilité d’une seule équipe ou d’un seul département est une vision à court terme. Toutes les fonctions qui touchent à l’infrastructure numérique, les produits, les services juridiques, les finances, les opérations, ont un intérêt à la sécuriser.
Les professionnels de la sécurité sont souvent considérés comme des gardiens. Ce n’est pas suffisant. Ils occupent également des postes de confiance, chargés de préserver l’intégrité des systèmes dont dépend votre entreprise. Si leurs décisions ne sont pas alignées sur l’activité de l’entreprise ou si elles ne sont pas contrôlées, les conséquences sont rapides : manque de conformité, interruption des services, pertes financières et perte de confiance de la part des clients.
Pour y remédier, la sécurité doit être intégrée dans la planification de l’activité principale. Votre stratégie de sécurité doit évoluer en même temps que votre stratégie d’entreprise, et non après elle. Elle doit être détaillée au niveau de la direction et renforcée à tous les autres niveaux. Cela signifie une collaboration structurée, des mesures partagées, une évaluation périodique et une visibilité de la direction sur les progrès réalisés en matière de sécurité.
L’entreprise doit également formaliser ses attentes. Définissez ce que signifie réellement le partage des responsabilités, notamment qui possède quoi entre les systèmes cloud internes, les fournisseurs tiers et les déploiements hybrides. Intégrez cela à la structure de performance. Ne présumez pas de l’alignement, construisez-le.
Il y a également un aspect culturel. Les organisations qui s’attendent à ce que les équipes de sécurité travaillent en vase clos passent à côté de l’essentiel. Une défense proactive nécessite la contribution de tous les acteurs. Les dirigeants doivent s’assurer que les architectes du cloud, les développeurs, les responsables de la conformité et les chefs d’entreprise ne sont pas seulement conscients des objectifs de sécurité, mais qu’ils sont aussi responsables de leur contribution à leur réalisation.
Le personnel doit comprendre que la sécurité du cloud ne peut pas être mise en place a posteriori. Elle doit être intégrée. Lorsque les gens comprennent son importance à tous les niveaux, technique, juridique, réputationnel, ils agissent différemment. Ils s’attaquent aux risques plus tôt et de manière plus décisive.
Les résultats de la recherche présentés plus haut montrent que des perturbations se produisent lorsque les priorités individuelles prennent le pas sur les valeurs de l’entreprise. C’est le signe d’un manque d’intégration. Pour y remédier, il faut commencer par le leadership. Donnez le ton, appliquez la structure et encouragez l’alignement. Pas seulement au sommet, mais tout au long de la chaîne.
Principaux faits marquants
- L’ambition personnelle peut l’emporter sur les priorités en matière de sécurité : Les dirigeants doivent reconnaître que même des professionnels de la sécurité compétents peuvent prendre des décisions intéressées qui compromettent les mesures de protection de l’entreprise, en particulier lorsque les objectifs personnels ne sont pas alignés sur les normes de risque de l’organisation.
- L’absence de contrôle favorise les comportements inadaptés : Les dirigeants doivent réduire la dépendance excessive à l’égard des initiatives individuelles en mettant en place des systèmes de gouvernance clairs qui garantissent que les décisions en matière de sécurité sont cohérentes avec les stratégies plus larges de l’entreprise.
- Aligner les incitations pour conduire les bonnes actions : Les organisations devraient mettre en place des structures qui récompensent les performances basées sur des résultats à long terme en matière de sécurité, obtenus par l’équipe, plutôt que sur des solutions réactives ou des réalisations individuelles.
- La sécurité doit être prise en charge au-delà de l’équipe de sécurité : Les dirigeants de la C-suite doivent intégrer la sécurité du cloud dans la planification à l’échelle de l’entreprise, en en faisant une responsabilité collective à travers les départements pour assurer la cohérence, la résilience et la confiance.
