La cyber-résilience est une capacité à l’échelle de l’organisation
Les chefs d’entreprise commettent une erreur fréquente lorsqu’ils pensent à la cybersécurité : ils la considèrent comme un élément de la liste de contrôle de l’équipe informatique. Cela a pu fonctionner dans le passé. Ce n’est plus le cas aujourd’hui. Aujourd’hui, les cybermenaces se déplacent plus rapidement, frappent plus fort et ciblent tout, des plateformes de produits aux chaînes d’approvisionnement. C’est pourquoi la la cyber-résilience est une capacité fondamentale de l’entreprise qui doit s’inscrire dans la stratégie de leadership, la conception opérationnelle et la culture d’entreprise de votre société.
Lorsqu’une cyberattaque frappe, ce ne sont pas seulement vos systèmes qui sont compromis, mais aussi la confiance de vos clients et de vos partenaires, ainsi que votre capacité à fonctionner rapidement. La cyber-résilience est votre capacité à rester en mouvement lorsque ces éléments sont sous pression. Et pour ce faire, vous avez besoin de plus qu’une bonne technologie. Vous avez besoin d’un leadership clair, d’une solide culture de la sécurité, de processus efficaces et de la prévoyance nécessaire pour prendre la bonne décision en situation de stress. Cela ne dépend pas uniquement de votre équipe de sécurité. C’est une décision qui commence au sommet de la hiérarchie.
Matt Lloyd Davies, chercheur en cybersécurité à Pluralsight, l’explique simplement : « La résilience ne dépend pas seulement de la qualité de nos contrôles techniques, mais aussi de la clarté du leadership, de la culture, des choix d’investissement et de la prise de décision sous pression. Il s’agit d’une capacité de l’ensemble du système. Il a raison. Cet état d’esprit permet aux entreprises de passer d’une attitude réactive, dans l’attente de la prochaine alerte, à une attitude intrinsèquement résiliente dans leur façon de planifier, de construire et d’opérer.
Les dirigeants doivent donner la priorité à la protection des biens de grande valeur afin d’élaborer une stratégie de sécurité ciblée.
On ne peut pas tout protéger. Et à force d’essayer, on finit par ne plus rien protéger du tout. C’est pourquoi les dirigeants doivent identifier les actifs qui comptent vraiment. Il s’agit de vos « joyaux de la couronne », des données et des systèmes qui, en cas de violation ou d’interruption, mettent en péril l’ensemble de vos activités. Les données des clients, les plateformes de négociation, les systèmes opérationnels, les API, la propriété intellectuelle, tout ce qui est au cœur de votre modèle d’entreprise, c’est là qu’il faut se concentrer.
Matt Lloyd Davies le dit bien : « Tous les systèmes, actifs ou données ne sont pas égaux. Vous devez être clair sur ce que vous appelez les « joyaux de la couronne ». Il vous incite à faire des choix stratégiques. Lorsque vous savez ce qui est essentiel, vous cessez de disperser vos ressources en matière de sécurité. Vous orientez le personnel, le budget et la politique vers la protection de ce qui permet réellement à l’entreprise de fonctionner.
Une défense ciblée permet de mieux utiliser vos outils et vos équipes. Elle simplifie également la chaîne de décision en cas de violation. Lorsque les actifs sont cartographiés et que le risque est quantifié, vos équipes techniques et exécutives agissent plus rapidement, communiquent mieux et se rétablissent avec moins de perturbations. Cette clarté est ce qui sépare les entreprises qui contiennent des incidents à l’impact limité de celles qui se transforment en véritables crises. Cette différence provient de la précision des dirigeants, et non des filtres techniques.
Une réponse efficace aux incidents exige une coordination
Lorsqu’un cyberincident survient, et il surviendra, la question n’est pas de savoir à quelle vitesse quelqu’un peut corriger un code ou redémarrer un serveur. Ce qui compte, c’est la façon dont votre organisation réagit sous la pression. Pour réagir efficacement, il faut planifier, coordonner et prendre des décisions claires bien avant que l’alerte ne soit déclenchée. Il faut que chacun connaisse son rôle, comprenne les règles du jeu et communique sans heurts. Pour cela, il faut plus que des politiques, il faut de la préparation.
La cyber-résilience est mise à l’épreuve dès les premières heures. Si la réponse est désorganisée, les coûts grimpent en flèche et la confiance s’évapore. Lorsqu’elle est coordonnée, que la communication est fluide, que les priorités sont claires et que les étapes de récupération sont exécutées avec précision, les dommages sont limités et les opérations rebondissent plus fort. Mais rien de tout cela ne se produit si vos équipes ne sont pas formées à la réalité. S’entraîner à des scénarios hypothétiques, simuler des incidents, soumettre les personnes et les systèmes à des tests de résistance ne sont pas des étapes facultatives, elles sont essentielles.
Matt Lloyd Davies, chercheur en cybersécurité chez Pluralsight, l’explique clairement : « Il ne s’agit pas seulement de temps de réponse technique. Il s’agit de votre capacité à communiquer clairement, à établir des priorités sous la pression et à reprendre les opérations d’une manière mesurée, efficace et défendable. » Vos clients, régulateurs et partenaires vous jugeront sur la façon dont vous gérez une violation, non seulement si elle se produit, mais aussi comment vous la gérez. Une réponse bien rodée fait la différence.
La conformité en matière de sécurité n’équivaut pas à une véritable cyber-résilience
Trop de dirigeants confondent conformité et préparation. Ce n’est pas la même chose. La conformité signifie simplement que vos documents administratifs sont en ordre. Cela ne prouve pas que vous puissiez réellement vous défendre ou vous rétablir en cas de problème. Les cases réglementaires peuvent être cochées alors que les systèmes critiques restent exposés. Les contrôles sur papier ne se traduisent pas toujours par des contrôles dans la pratique.
Matt Lloyd Davies, qui a travaillé comme régulateur, a pu le constater de visu : « J’ai vu des organisations qui cochaient toutes les cases de la réglementation, mais qui s’effondraient malgré tout sous la pression. Pourquoi ? Parce que les contrôles existent sur le papier, mais que personne ne savait comment les utiliser lorsque cela était nécessaire. Il ne s’agit pas d’abandonner la conformité, mais de la considérer comme une base de référence et non comme une ligne d’arrivée.
La cyber-résilience exige quelque chose de plus. Il s’agit de intégrer la sensibilisation à la sécurité dans les décisions relatives aux produits, la planification opérationnelle, les contrats avec les fournisseurs et la responsabilité des dirigeants. Cela signifie que vos équipes sont formées, que vos plateformes sont soumises à des tests de résistance et que vos hypothèses sont régulièrement remises en question. Vous ne vous contentez pas de répondre aux exigences, vous vous assurez que ces exigences sont réellement utiles lorsque cela compte. C’est ainsi que vous passez des normes minimales acceptables à la confiance opérationnelle. Vous n’y parviendrez pas en vous appuyant sur des listes de contrôle. Vous y parviendrez en renforçant les capacités de votre organisation.
La résilience en matière de cybersécurité dépend d’un leadership responsable et transversal intégré au niveau du conseil d’administration.
En l’absence d’une appropriation claire, la cybersécurité n’évolue pas. Elle se fragmente. La responsabilité est souvent diluée entre les différents services, ce qui crée des lacunes qui apparaissent en cas de crise. La cyber-résilience n’est pas le fait de chaque groupe qui suppose que c’est le travail de quelqu’un d’autre, elle est le fait d’équipes de direction qui s’alignent sur elle en tant que priorité de l’entreprise.
Quand la la cybersécurité est élevée au rang de conseil d’administrationla conversation s’en trouve modifiée. Elle devient un sujet de gouvernance, lié au risque d’entreprise, à la continuité opérationnelle et à la confiance des parties prenantes, et non plus seulement un problème informatique. Les mesures relatives à la cyberpréparation, à la réponse aux menaces et à la continuité des activités doivent être placées à côté des indicateurs de performance financière. Et la responsabilité doit être définie. Les conseils d’administration doivent s’approprier l’acceptation des risques. Les dirigeants doivent allouer des ressources en fonction de l’évolution des menaces. Les RSSI doivent assurer la visibilité et coordonner les réponses entre les différentes fonctions.
Matt Lloyd Davies, auteur et chercheur en cybersécurité chez Pluralsight, l’explique directement : « ‘La cybersécurité est la responsabilité de tous’ est vrai dans l’esprit, mais souvent creux dans la pratique. Le conseil d’administration doit s’approprier l’acceptation des risques. Les dirigeants doivent aligner les ressources et les RSSI doivent assurer la visibilité et coordonner la réponse ». Cette précision est essentielle. L’ambiguïté engendre des retards. En matière de cybersécurité, les retards font grimper les coûts et amplifient les dommages.
Les stratégies de cybersécurité doivent évoluer en permanence en fonction des menaces émergentes et de l’évolution des technologies.
Une approche statique de la cybersécurité ne tient pas la route dans un environnement de menaces dynamiques. La technologie évolue rapidement. Les attaquants aussi. Les cadres réglementaires évoluent. Si votre stratégie ne suit pas le rythme, elle crée des angles morts. Les organisations intelligentes n’attendent pas les perturbations, elles réexaminent leurs hypothèses, réévaluent les vulnérabilités et adaptent leurs plans en permanence.
La cyber-résilience n’est pas quelque chose que l’on installe une fois, c’est quelque chose que l’on construit et que l’on entretient. Il s’agit de revalider les architectures, de mettre à niveau les processus, d’investir dans le personnel et d’ajuster les structures de gouvernance pour qu’elles correspondent à ce qui se passe aujourd’hui, et non à ce qui s’est passé le trimestre dernier. On ne devient pas résilient en réagissant à la violation d’hier. On devient résilient en identifiant les vulnérabilités avant qu’elles ne soient exploitées et en affinant ses systèmes à l’avance, et non après un échec.
Matt Lloyd Davies le dit clairement : « La résilience n’est pas quelque chose qu’un vendeur peut vous vendre. Il n’y a pas de produit sur le marché qui s’appelle résilience. Vous ne pouvez pas l’acheter sur étagère, et vous ne pouvez pas l’externaliser entièrement. Chaque organisation est responsable de sa propre résilience. Cela signifie qu’il faut répéter des scénarios, tirer des leçons des échecs évités de justesse et intégrer des considérations de sécurité dans tous les aspects de l’activité, de la budgétisation au développement de produits, en passant par l’approbation des fournisseurs. Les organisations qui sont à la pointe de la cyber-résilience la considèrent comme une fonction vivante, et non comme une déclaration de conformité.
L’instauration d’une culture de la sécurité est essentielle pour une cyber-résilience à long terme.
La technologie peut échouer. Les logiciels ont des limites. La seule variable qui introduit systématiquement un risque, et qui a le potentiel de le réduire, est le comportement humain. La plupart des incidents de sécurité ne découlent pas de violations sophistiquées. Ils proviennent de personnes qui cliquent sur le mauvais lien, qui configurent mal un paramètre ou qui réutilisent des mots de passe faibles. C’est pourquoi une culture de la sécurité n’est pas facultative, elle est fondamentale.
Pour créer cette culture, il ne suffit pas de proposer une formation une fois par an. Il s’agit d’investir en permanence dans la sensibilisation de vos collaborateurs à la sécurité, de leur donner les outils pour agir de manière responsable et de créer un espace où ils n’ont pas peur de faire remonter les problèmes lorsque quelque chose ne va pas. Les équipes doivent se sentir à l’aise pour signaler rapidement les erreurs, avant qu’elles ne se transforment en problèmes. Cette confiance doit être construite délibérément, avec une sécurité psychologique, une communication cohérente et le soutien de la direction.
Matt Lloyd Davies, auteur et chercheur en cybersécurité chez Pluralsight, est direct quant à la source du risque : « La grande majorité des incidents commencent par une action humaine. Il peut s’agir d’un paramètre mal configuré, d’un clic sur un courriel d’hameçonnage ou d’un mot de passe faible qui a été réutilisé une fois de trop. Nous ne pouvons pas les éliminer complètement, mais nous pouvons créer des conditions dans lesquelles les gens sont plus susceptibles de prendre de bonnes décisions ». Tel est l’objectif.
Pour les chefs d’entreprise, il ne s’agit pas d’attendre la perfection de leurs employés, mais de mettre en place des conditions qui facilitent les choix judicieux et réduisent la probabilité d’un comportement risqué. Cela implique des politiques claires, des scénarios de formation en situation réelle et le soutien des dirigeants à tous les niveaux. La sécurité devient durable lorsqu’elle est intégrée dans la façon dont les gens travaillent, et non lorsqu’elle est traitée comme une responsabilité distincte ajoutée au travail de quelqu’un d’autre.
Le bilan
La cyber-résilience n’est pas quelque chose que l’on externalise, que l’on délègue ou que l’on coche sur une liste. Elle fait partie intégrante de votre façon de diriger, de la façon dont vos équipes prennent des décisions et de la façon dont votre entreprise fonctionne en situation de stress. Les organisations les plus résilientes le savent déjà. Elles n’attendent pas une brèche pour aligner leur stratégie sur la sécurité. Elles considèrent la résilience comme une mesure de la force opérationnelle, et pas seulement comme une mesure de prévention des menaces.
Si vous dirigez une entreprise aujourd’hui, cela fait partie de votre travail. Non pas parce que les autorités réglementaires le disent, mais parce que la continuité de l’activité, la confiance des clients et les performances à long terme en dépendent. Clarifiez ce qui est important. Faites de la cybersécurité une mesure du conseil d’administration. Formez vos équipes à l’importance de la cybersécurité. Et actualisez constamment vos connaissances, car les menaces n’attendent pas.
Le leadership favorise la résilience. C’est l’avantage.
