RSA Conference Amsterdam - "Il ne fait aucun doute que les professionnels de la sécurité sont aujourd’hui soumis à de rudes épreuves. L’adoption de nouvelles technologies, par les sociétés, se traduit par d’énormes défis à relever dans le domaine de la sécurité informatique. Les spécialistes en sécurité sont dès lors obligés de revoir les stratégies en vigueur afin d’être mieux préparés à faire face aux cyber-attaques sophistiquées et à une menace sans cesse croissante." Cela dit Corné van Rooij, directeur régional Benelux & Suisse chez RSA, la division Sécurité d’EMC, pendant le RSA Conference à Amsterdam, un des plus grands évènements de sécurité IT en Europe.

Voyez plutôt: il y a de cela à peine plus de cinq ans, le premier iPhone faisait son apparition sur le marché tandis que les plates-formes de médias sociaux étaient sur le point de déclencher un énorme battage médiatique. Aujourd’hui, les entreprises éprouvent les plus grandes difficultés à tenir le rythme de l’énorme flux de données que génèrent ces plates-formes et nous ne pouvons plus imaginer notre quotidien sans appareils mobiles. Ces développements sont à la base du dernier rapport en date du Security for Business Innovation Council (SBIC), rapport intitulé “Designing a State-of-the-Art Extended Team“.

RSA a constitué, au sein du SBIC, un groupe d’éminents spécialistes en sécurité qui travaillent pour les 1.000 plus importantes sociétés au monde. Ce comité consultatif se penche sur d’importantes problématiques de sécurité et recherche la manière d’utiliser la protection informatique afin de faire face aux menaces et de stimuler l’innovation.

Rapport
Le dernier rapport en date du SBIC révèle que la liste des tâches confiées aux responsables sécurité ne cesse de s’allonger. Le SBIC estime que “le rôle de la sécurité informatique doit évoluer au-delà du périmètre des différents services d’une entreprise et se transformer en une activité transversale dans le cadre de laquelle les processus de sécurité deviendront une composante essentielle des processus métier”. Pour continuer à garantir une protection efficace, l’équipe de sécurité doit devenir un métissage de spécialistes venus de l’IT ainsi que de divers départements tels que les achats, le marketing et le service juridique. Le noyau de l’équipe doit piloter et coordonner l’ensemble des actions et prendre en charge les tâches qui exigent des compétences spécialisées. Le rapport comporte en outre une série d’idées portant sur la recherche, l’identification et le développement de talents dans le registre de la sécurité.

7 conseils
S’appuyant sur ces conseils, le SBIC propose sept mesures devant aider les entreprises et organisations à constituer une équipe de sécurité professionnelle et résistant à l’épreuve du temps.

1. Renforcez vos compétences-clé
Concentrez-vous, avec le noyau de l’équipe, sur l’enrichissement des connaissances et des compétences dans quatre domaines-clé: cyber risk intelligence & security data analytics, security data management, risk consultancy, et controls design & assurance.

2. Déléguez les activités de routine
Transférez les processus de sécurité qui sont reproductibles et qui ont été bien assimilés vers le département IT, un département et/ou des prestataires de services externes.

3. Empruntez ou louez des experts
Pour certaines spécialisations spécifiques, faites appel à des experts venant tant de la société que d’autres horizons.

4. Désignez des “propriétaires risque”
Travaillez en collaboration étroite avec les entités opérationnelles afin de combattre les cyber-risques et assurez la coordination d’une stratégie cohérente. Veillez à sa simplicité et responsabilisez les personnes concernées au sein de votre entreprise ou organisation.

5. Impliquez des spécialistes en matière d’optimisation de processus
Intégrez à l’équipe des personnes qui ont de l’expérience et/ou disposent d’une certification dans la gestion de qualité, de projet ou de programme, dans l’optimisation des processus et dans la livraison de services.

6. Investissez dans des relations qui comptent
Veillez à une position de force qui vous permette d’avoir de l’influence sur des acteurs-clé, tels que les “propriétaires des bijoux de la couronne”, les cadres et les prestataires de services d’externalisation.

7. Raisonnez “en dehors du cadre” pour déceler les futurs talents
Compte tenu de la pénurie de compétences immédiatement disponibles, la seule solution à long terme qui s’offre à la plupart des organisations consiste à développer et à former des talents. Recherchez dès lors des personnes ayant de précieuses connaissances en matière d’administration de bases de données, de développement de logiciels, d’analyse métier, de règles juridiques ou de vie privée, de gestion/science des données, de mathématiques ou d’histoire.

Ces dernières années, les équipes de sécurité informatique ont constamment été forcées d’adapter leur rythme à un environnement d’entreprise qui ne cesse de gagner en criticité et à une situation où la menace des cyber-attaques se fait de plus en plus prégnante. L’évolution du positionnement de ces équipes- d’un rôle purement technique vers une responsabilité transversale- constitue un pas dans la bonne direction. Si elles mettent en pratique les recommandations citées ci-dessus, les entreprises peuvent bâtir une équipe de classe mondiale qui saura relever avec succès le défi de la sécurité dans une perspective à long terme.