Les RSSI (Responsables de la sécurité des systèmes d’information) ne sont plus aujourd’hui les seuls à intervenir sur le périmètre de la sécurité informatique et digitale de l’entreprise. On observe désormais la création du poste de Directeur de la cybersécurité.
Dans de nombreux cas de figure, le RSSI n’agissait que sur les systèmes d’information utilisés en interne. Les directeurs de la cybersécurité ont pour leur part un périmètre élargi, incluant l’ensemble des activités du groupe, et donc également bien souvent la sécurité de ce qui est vendu aux clients.
C’est un poste ou le niveau de stress est élevé. Parmi les facteurs les plus contributifs de ce stress, on trouve le contexte d’adversité, la difficulté à se déconnecter, la relation à la responsabilité et à la culpabilité et le sentiment d’incertitude et d’imprévu au quotidien. À cela s’ajoutent les évolutions permanentes de la fonction et de son contexte.
Plusieurs de ces évolutions sont notables :
– Il est désormais demandé aux responsables de la cybersécurité d’examiner les incidents passés pour mieux identifier les frictions avec le personnel de l’entreprise. L’objectif : alléger la charge pour les employés en adoptant des contrôles plus centrés sur l’humain et en supprimant les contrôles qui ajoutent de la friction dans les tâches à accomplir sans réduire significativement le risque. Il faut mettre l’accent sur l’expérience cyber des collaborateurs tout au long du processus de gestion des contrôles.
– Adopter une gestion des « talents » centrée sur l’humain. C’est la clé pour recruter et fidéliser les collaborateurs, mais aussi pour gagner en maturité opérationnelle et technique. C’est aussi la clé pour aller piocher en interne les futurs talents de cybersécurité.
– La cybersécurité ne doit pas être déconnectée de la valeur Business. Elle doit être mesurée et corrélée aux priorités et aux résultats de l’entreprise. La cyberrésilience de l’entreprise dépend en grande partie de la résilience de son infrastructure de gestion des identités. Plus que jamais, les entreprises doivent pouvoir se protéger contre les menaces liées à l’identité numérique comme le vol et l’usurpation d’identité.
– L’entreprise doit simuler des scénarios d’attaque et vérifier pour chacun d’eux l’efficacité des mesures mises en place. Les plateformes de cybersécurité doivent donc être consolidées en permanence. De ce fait découle que, de plus en plus souvent, le RSSI dépend de la Direction générale. Le conseil d’administration doit être sensibilisé aux sujets de cybersécurité et une prise de conscience des dirigeants existe sur ce thème.