Alliancy

[Chronique] Définir la stratégie cyber de son entreprise, chantier oublié de la transformation pour les dirigeants

Alors que les directions générales prennent de plus en plus le sujet de la cybersécurité en main, notre chroniqueur Michel Juvin revient sur l’intérêt d’un document trop souvent oublié à leur niveau : le plan stratégique cyber.

Régulièrement, et en tout cas en cette période de cyberguerre officielle, il est nécessaire de prendre le temps de repenser son rôle d’expert cybersécurité et l’orientation que l’on doit donner à son entreprise dans la gestion des risques cybers.

Pour être efficace, cette démarche de remise en question nécessite de comprendre pourquoi il faut mener cette réflexion, quels sont les objectifs d’une stratégie de cybersécurité, comment définir le contenu de ce document, sa gouvernance et identifier les sponsors et acteurs des actions cyber et, de quelle manière proposer un planning court et moyen terme à réaliser.

A lire aussi : [Chronique] Responsabilité partagée de la sécurité de l’information : quels rôles ne pas sous-estimer ?

Enfin, il ne faut pas oublier de préparer l’auditoire du document, généralement les membres du Comité de Direction, et bien réussir la communication finale pour être certain de mettre en œuvre ses propositions de réduction des risques. Car, il faut le redire, sans tout cela, la définition de la stratégie cyber de l’entreprise restera le grand chantier oublié de la transformation pour les dirigeants…

Alors, passons en revue ces principales questions à traiter absolument :

Pourquoi concevoir et présenter une stratégie de Cybersécurité ?

Si on vous demande d’établir une stratégie de cybersécurité et que vous ne donnez qu’un plan d’actions, il est fort probable que vos propositions ne soient pas suivies et appliquées. Une stratégie de cybersécurité n’est pas de la cosmétique ni de l’enrobage, il s’agit d’un outil puissant de communication et d’enrôlement d’acteurs qui conduiront l’entreprise dans une bonne direction et une bonne gestion de la protection de son capital informationnel.

Il est nécessaire de s’adapter à son auditoire surtout lorsque l’on veut que ce dernier s’engage dans votre projet. Présenter un plan d’actions sans expliquer pourquoi il est nécessaire de l’appliquer correspond à informer une personne sans l’impliquer. Même par sympathie, il ne pourra pas être un sponsor des actions cyber. Il faut donc enrôler son auditoire à travers l’explication des actions et intégrer des actions dans le plan d’actions respectif de chacun des membres du Comité.

Différentes méthodes existent pour motiver les membres du Comité de Direction. Michel Gérard de Conscio Technologie propose par exemple de les sensibiliser dans une courte vidéo.

Quels sont les objectifs d’une stratégie de Cybersécurité ?

Pour cela, il faut :

  1. Recevoir, écouter et comprendre le plan d’évolution stratégique de l’entreprise et les conséquences sur la gestion de l’information,
  2. Définir une trajectoire d’accroissement de la cyber-maturité et analyse de risques et des menaces qui pèsent sur l’évolution de l’entreprise en ayant pris soin de valoriser la donnée et les risques,
  3. Proposer de mettre en place des projets avec une organisation, des procédures et des solutions techniques pour diminuer les vulnérabilités, protéger et aider à gérer les informations et préparer l’entreprise à une crise cyber,
  4. Accompagner tous les autres projets de l’entreprise pour protéger le capital informationnel et permettre la réalisation de la stratégie de développement,
  5. Définir un tableau de bords de la cybersécurité composés d’indicateurs sur les solutions techniques et l’efficacité des procédures de cybersécurité avec les trois axes suivants :
    à présenter régulièrement au Comité de Direction ; au moins deux fois par an :
    • L’avancement des actions pour réduire les vulnérabilités identifiées,
    • La surveillance de l’exposition aux risques intrinsèques de l’entreprise,
    • Les indicateurs de la veille géopolitique et géostratégique du contexte de l’entreprise.

Intégrer le plan d’évolution stratégique de l’entreprise

Cette information est primordiale pour donner de la profondeur au plan stratégique cyber de l’entreprise et elle n’est pas toujours évidente à recevoir pour l’Expert Cybersécurité. En effet, il peut ne pas appartenir au cercle des Directeurs définissant le plan d’évolution à 3 ou 5 ans de l’entreprise et donc ne pas anticiper sur les potentiels risques auxquels sera confrontée celle-ci.

Cependant, l’Expert Cybersécurité peut aussi s’appuyer sur ses pairs et des documents comme le livret-Anticipation 2030 du Cyber Campus[1] pour donner des orientations à son management sur la gestion de l’information dans les années à venir. La garantie pour tous les hackers à rançonner les entreprises de manière impunie[2], l’hyper-connectivité, le changement climatique et les engagements éco-responsable des employés… Autant de contexte dont il faut évaluer les risques et sélectionner les plus impactant.

L’analyse de risques et des menaces

Elle doit prendre en compte tous les risques auxquels est exposé l’entreprise :

Les risques sont qualifiés, catégorisés et valorisés proportionnellement entre eux grâce sur une même échelle[3] ; puis leur probabilité d’occurrence est estimée pour les représenter sur un même graphe. Les actions visant à réduire ces risques sont identifiées (mitigating factors) pour en calculer le risque résiduel que l’entreprise devra accepter à l’issu des plans d’actions[4].

Définir des programmes et/ou plans d’actions

La mise en place des programmes et plans d’actions pour réduire les risques issus de l’analyse précédente est une combinaison des trois piliers d’un projet : une organisation dédiée, des procédures établies et une solution technique adaptée.

Pour chaque programme/projet :

Ces projets seront alors présentés dans le document stratégie cyber final avec pour objectif d’impliquer le top management comme ceux qui auront la charge de les réaliser.

Définir un tableau de bords des risques cyber

C’est l’un des éléments clefs de la stratégie Cyber et il n’existe pas de template en matière de tableaux de bords ; il doit s’adapter au contexte et à son auditoire. Cette synthèse d’indicateurs a pour objectif de donner des informations exactes sur l’avancement des projets de cybersécurité ainsi que donner une note globale de la protection du capital informationnel, de sa gestion et une tendance résultant de l’avancement des projets par rapport aux délais définis initialement. Il faut que ces indicateurs soient objectifs et ne montrent pas une fausse sensation de sécurité. Par exemple, la mise en place d’un patch de sécurité doit l’être toutes les machines : 100%, les quelques machines restantes doivent avoir un plan d’actions de remédiation, etc.

Un tableau de bords doit être bidirectionnel. Il est à destination du top management mais aussi actionnable, c’est-à-dire que le top management doit y voir la possibilité de suivre et ou monitorer ses équipes respectives en charge des projets.

Les principaux risques, exposants le plus l’entreprise – par rapport à la vision et la compréhension de l’Expert Cybersécurité-, sont les plus visibles et mis à jour régulièrement[5] en fonction des évolutions contextuels ou l’apparition de nouveaux risques.

Quelles orientations primordiales à donner à l’entreprise pour gérer sa Cybersécurité ?

Face au contexte, les Experts Cybersécurité sont confrontés à des choix stratégiques ou faire des priorités en pariant sur l’évolution des menaces ou sur l’avenir.

Cependant, plus pragmatiquement, certains l’appellent le « good enough », il y a des basiques aujourd’hui à mettre en place impérativement :

Le plan stratégique de Cybersécurité n’est pas un document standard. Il doit être adapté aux enjeux de l’entreprise, son mode de management, son contexte et son évolution. La présentation du document est tout aussi importante que son contenu et l’Expert Cybersécurité devra l’adapter aux attentes du Comité de Direction et de l’activité de l’entreprise.

Mais cet effort en vaut la peine, pour mettre l’entreprise et ses dirigeants sur les rails d’une vision cohérente et engageante de la cybersécurité, qui participera d’autant plus à un meilleur partage des responsabilités en matière de sécurité de l’information, comme je l’expliquais dans mes précédentes chroniques.

 

[1] https://campuscyber.fr/wp-content/uploads/2022/02/LIVRET-ANTICIPATION-2030.pdf

[2] Autorisation donnée par la Russie et l’Ukraine fin mars 2022

[3] Il est très important de définir sous forme de seuils dans une tableau les critères de valorisation des risques et des probabilités d’occurrence. Ces barèmes peuvent être validés avec le management avant de commencer l’évaluation.

[4] Attention à ne pas anticiper la réalisation des plans d’actions de réduction des risques qui doivent être finis avant de ne retenir que les risques résiduels !

[5] Une mise à jour trimestrielle est souhaitée

[6] Les Administrateurs ont les droits d’accès maximum sur tous les serveurs ; ces clefs doivent être gérées comme celle d’une maison : chaque clef est identifiée et tracée

Quitter la version mobile