Cybersécurité : une rentrée sous le signe de la remise à plat

De sérieuses réflexions sur l’organisation

Et puis l’heure est peut-être moins aux questions de solutions technologiques que d’organisation. De quoi aussi venir ponctionner les budgets. Chez Wavestone, Matthieu Garin constate « depuis quelques mois, de plus en plus de demandes liées à l’organisation de la filière cybersécurité », en interne. Un phénomène « tel qu’on n’en avait pas vu depuis 7 ou 8 ans ». Parce qu’une très large majorité des clients du cabinet sont organisés suivant « des schémas classiques » où des RSSI entités sont rattachés à un RSSI groupe. Et dans de nombreux cas, la fonction RSSI est elle-même rattachée à la fonction DSI.

Las, conseil d’administration ou comité de direction veulent « de plus en plus disposer d’une vision claire de la stratégie et de sa mise en œuvre homogène à l’échelle du groupe », une chose « compliquée » avec de telles organisations très éclatées. Et c’est sans compter avec des facteurs externes comme les recommandations de l’autorité bancaire européenne sur la gestion des risques IT.

Pour beaucoup, le débat reste largement ouvert. Mais dans certains secteurs, notamment industriels, où la sûreté est essentielle, la tentation peut être de rapprocher la cybersécurité de la sûreté, justement, « pour profiter de sa maturité ». Mais si Matthieu Garin a une certitude, c’est que la gouvernance est appelée à être plus contrainte, « avec un renforcement des programmes et des mécanismes de contrôle de leur réalisation ». Et cela aussi en réponse à des besoins d’optimisation financière.

Quentin Bédéneau, consultant indépendant en cybersécurité pour Data Templar, relève de son côté que, si les processus de gouvernance du domaine ont été longtemps alignés sur ceux de l’IT, c’est de moins en moins le cas, notamment dans les grands groupes. Au point que la fonction RSSI apparaît de plus en plus organisée comme un centre de services interne. De quoi aider « à rompre avec l’image de la sécurité centre de coût », mais également venir concurrencer des ESN externes.

Mais s’il y a bien deux points sur lesquels les regards de Matthieu Garin et de Quentin Bédéneau se rejoignent, c’est sur l’objectif d’industrialisation – et avec elle, notamment, l’optimisation financière – et de visibilité complète, cohérente et précise, au plus haut niveau de la hiérarchie.

Jusqu’à la définition des crises

« J’observe une prise de conscience du fait qu’une crise cyber n’est pas une crise IT. »

Le regard de Jérôme Saiz, du cabinet Opfor Intelligence, est plus centré sur la gestion des crises. Mais lui aussi pointe dans la direction d’une cybersécurité se détachant de l’IT : « j’observe une prise de conscience du fait qu’une crise cyber n’est pas une crise IT ; que les plans de continuité et de reprise de l’activité historiques n’y sont pas adaptés ». Selon lui, certains « s’en rendent compte dans la douleur », quand d’autres le réalisent en spectateurs de ce que subissent des pairs.

La principale différence tient au fait qu’un PRA traditionnel ne tient pas compte de la présence d’un assaillant : il s’agit de « remettre l’outil informatique debout le plus vite possible », quitte à effacer des traces ou à prendre des raccourcis susceptibles de conduire à une recompromission très rapide. Par exemple, « dans une crise cyber, il faut considérer que l’on n’a plus confiance en ses moyens de communication », avec tout cela peut avoir de vastes implications – or, « les plans de secours informatiques considèrent, implicitement ou explicitement, que les moyens de communication sont accessibles ».

Dès lors, explique Jérôme Saiz, « aujourd’hui, de nombreux clients me demandent de me pencher sur leurs PRA pour prendre en compte une composante malveillante ». Et cela peut aller plus loin : « comment gérer une crise IT sans passer à côté de la crise de cybersécurité qu’elle peut cacher ? »