Kevin Heydon, Chief Information Security Officer du Groupe L’Occitane

« « Security by design », cela commence par des équipes qui se posent les bonnes questions en amont. Au sein du Groupe, la formulation « Secure enough » commence à bien faire son chemin. Les product owners et les directeurs métiers se rendent progressivement compte que la clé réside dans l’équilibre : quels risques identifions-nous, quelle est notre appétence ou notre tolérance à ce risque ?

Infosec n’impose pas ce que veut dire « enough », nous imposons juste que le métier se pose la question avec l’IT, et arbitre ! D’ailleurs, les squads et l’agilité, dont le fonctionnement est bien plus cadré qu’il n’y paraît – souvent militaire – sont une excellente opportunité pour trouver ce bon niveau de sécurité : des équipes mixtes business et IT qui réfléchissent et travaillent ensemble au quotidien, des Tech Leads avec un haut niveau de compétence technique, une exigence élevée de qualité sur chaque sprint, la chasse à la dette technique… c’est clairement le terreau rêvé pour une sécurité de l’information concrète et orientée métier ! »