Le déploiement de l’IA exige des critères d’efficacité mesurables

Pourquoi davantage de contrôles ne produisent pas automatiquement plus de résilience

Un contrôle de sécurité peut être techniquement solide tout en dépendant de décisions prises ailleurs dans l’organisation. Les achats appliquent les exigences vis-à-vis des fournisseurs. Les employés travaillent sous l’effet d’incitations et de pressions. Les responsables de crise répartissent l’autorité avec des informations incomplètes. Les conseils d’administration décident quels risques reçoivent des investissements.

Cette interaction traverse l’ensemble du programme du Richmond Cyber Security Forum, prévu le 24 septembre 2026 au Four Seasons Hotel London at Park Lane. Les sessions posent une question pratique aux RSSI : quelles conditions permettent aux contrôles techniques de fonctionner lorsque des personnes dans toute l’entreprise doivent prendre des décisions ?

La sécurité dépasse les frontières de l’entreprise

Le programme aborde cette question à travers les chaînes d’approvisionnement, le comportement des employés, la réponse aux crises, le secure-by-design, l’IA, les normes professionnelles et la communication avec les dirigeants.

Stuart Frost, Head of Enterprise Security and Risk Management au gouvernement britannique, examinera la responsabilité au sein des écosystèmes de fournisseurs, y compris les comportements dans les équipes achats, opérations et sécurité.

Janette Bonar Law, Information Security Operations Manager chez Channel 4, examinera pourquoi les employés contournent les politiques de sécurité et comment les incitations au travail, le stress et les structures organisationnelles façonnent les décisions liées au cyber.

Barbara Aung, Chief Information Security Officer chez Virgin Media O2, examinera le secure-by-design : intégrer les exigences de sécurité aux logiciels, services et technologies dès la phase de conception. Sa session étudiera comment cette approche peut rester alignée sur les objectifs de l’entreprise. Aung apporte plus de 25 ans d’expérience en sécurité informatique couvrant la réponse aux incidents, les opérations de sécurité, l’architecture et la gestion de la sécurité de l’information.

D’autres sessions élargissent la perspective. Charles White, Chief Executive Officer de The Cyber Scheme, examinera les motivations des acteurs de la menace, l’exposition organisationnelle et les raisons pour lesquelles les projets de sécurité peuvent ne pas produire les résultats attendus. Simon Hepburn, professeur invité à Aston University, abordera la certification, les normes professionnelles, l’éthique et la gouvernance, notamment la manière dont les RSSI peuvent renforcer la confiance du conseil d’administration. Tamlynn Deacon, fondatrice de Empower Authentic Coaching, traitera de la communication avec les dirigeants et de la présentation des risques techniques en termes métier. Annabel Berry, fondatrice et directrice de Leading Cyber, examinera la sécurité psychologique, la pression, les limites et les pratiques de travail.

La sécurité des tiers exige des choix en matière d’assurance et de continuité

La sécurité des fournisseurs pose aux RSSI un problème clair d’allocation. La session de Frost demande comment les entreprises peuvent cibler les travaux d’assurance sur différents fournisseurs tout en maintenant la continuité de l’activité.

Son approche relie l’assurance fournisseur au travail mené dans les achats, les opérations et la sécurité. Différentes fonctions peuvent assumer des responsabilités différentes dans une relation fournisseur. Pour une équipe dirigeante, cela soulève des questions concrètes : quels fournisseurs nécessitent quel niveau d’assurance, qui est responsable de chaque décision, et comment les exigences de sécurité doivent-elles être gérées parallèlement aux besoins de continuité ?

Il s’agit de choix de gouvernance autour des contrôles techniques. La norme fournisseur définit les exigences ; le modèle opérationnel détermine qui les applique et qui agit lorsqu’un fournisseur n’est pas à la hauteur.

La résilience dépend des droits de décision lorsque les conditions se dégradent

Lynda Petherick, Chief Operating Officer et DSI de New Look, et bientôt Chief Executive Officer, ainsi que Joe Kelly, Head of Information Security chez New Look, examineront les Gold and Silver Teams, les responsabilités, les runbooks de réponse et la préparation des tiers.

Petherick préside la Gold Team de New Look, qui dirigerait la réponse du distributeur en cas de crise majeure affectant l’activité. Kelly est responsable de la maturité cyber et des programmes de résilience de l’entreprise.

Cette structure montre pourquoi les droits de décision comptent pendant un incident. Un runbook peut définir un processus de réponse, mais les dirigeants doivent toujours savoir qui peut fixer les priorités, engager des ressources et coordonner les tiers lorsque les informations sont incomplètes et que le temps est limité.

La réponse technique reste centrale. Une autorité claire donne aux personnes qui reçoivent les informations techniques une voie définie pour prendre et exécuter les décisions.

L’IA fait de la preuve d’efficacité une exigence de gouvernance

Grant Ongers, Security-Advisor, Ambassador and Architect, demandera aux participants d’évaluer le déploiement de l’IA à travers des mesures incluant la réduction des risques, les temps de réponse aux incidents et l’efficacité des contrôles. Sa discussion examinera également les critères permettant de faire passer les projets du stade de projet pilote au déploiement à l’échelle de l’entreprise.

Ces mesures donnent aux dirigeants des critères concrets pour une décision d’investissement. Les dirigeants peuvent définir les preuves requises pour un déploiement plus large et les conditions qui conduiraient à arrêter ou réinitialiser un projet. Cela crée un test explicite pour déterminer si un projet pilote doit progresser.

L’identité apparaît également dans l’approche d’Ongers du déploiement en production. Selon lui, les contrôles d’accès pour les systèmes et les utilisateurs font partie de la décision sur la manière dont un système d’IA passe en production.

La communication avec les dirigeants fait partie de la gouvernance de la sécurité

La frontière entre les preuves techniques et les décisions métier apparaît également dans la communication avec les dirigeants. La session de Deacon traite de la présentation des risques techniques en termes métier, tandis que celle de Hepburn examine comment les RSSI peuvent renforcer la confiance du conseil d’administration.

Le panel de clôture, animé par Ant Davis, Host of The Awareness Angle, réunira Deborah Saffer, Director Information Security chez Liberty Specialty Markets, Lee Howard, Chief Information Security Officer chez Evri, et Kelly. Il reviendra sur la résilience, le risque lié à la chaîne d’approvisionnement, l’adoption de l’IA et l’évolution du rôle du RSSI.

Pour un RSSI, la communication a une finalité opérationnelle. Les conseils d’administration et les équipes dirigeantes allouent les investissements, acceptent le risque et fixent les priorités. Les preuves techniques doivent parvenir à ces décideurs sous une forme qu’ils peuvent utiliser.

Points clés à retenir pour les dirigeants

• La sécurité dépasse les frontières de l’entreprise : Les dirigeants devraient considérer la cyberrésilience comme une responsabilité à l’échelle de toute l’organisation. Les contrôles techniques dépendent des décisions d’achat, des incitations des employés, des structures de gouvernance et de la communication avec les dirigeants.
• La sécurité des tiers exige des choix d’assurance et de continuité : Définissez quels fournisseurs nécessitent une assurance plus approfondie, qui est responsable de chaque décision et comment les exigences de sécurité s’équilibrent avec la continuité d’activité. Une responsabilité claire aide à transformer les normes fournisseurs en actions cohérentes.
• La résilience dépend de droits de décision clairs : Les équipes de crise ont besoin d’une autorité définie pour fixer les priorités, engager des ressources et coordonner les tiers sous pression. Les runbooks sont plus efficaces lorsque les dirigeants savent aussi qui peut prendre et exécuter les décisions.
• L’IA exige des preuves d’efficacité : Définissez des critères mesurables tels que la réduction des risques, les temps de réponse aux incidents et l’efficacité des contrôles avant de faire passer l’IA du projet pilote au déploiement à l’échelle de l’entreprise. Les contrôles d’accès pour les systèmes et les utilisateurs devraient également faire partie des décisions de mise en production.
• La communication avec les dirigeants soutient la gouvernance de la sécurité : Présentez les risques techniques dans des termes que les conseils d’administration et les dirigeants peuvent utiliser pour allouer les investissements, fixer les priorités et accepter le risque. Une communication claire relie les preuves de sécurité aux décisions métier.