[Brief Cybersécurité] Comment sensibilisez-vous vos dirigeants aux enjeux de cybersécurité ?

Sandro Lancrin, RSSI de Radio France

« L’actualité a été très forte cette année pour un média. Les attentats de Paris de début janvier ont alerté nos dirigeants sur les enjeux de sécurité physique... l’attaque sur TV5 Monde en avril leur a montré que les mises en garde sur les risques cyber, sur la perte de contrôle sur le système d’information, étaient également bien réelles. En parallèle, mon poste a gagné en transversalité à la faveur de notre réorganisation interne en 2013. J’ai donc acquis plus de légitimité ces dernières années, mais le sujet reste délicat. L’argument financier, du ROI, est difficile à utiliser dans le cadre d’une structure publique. Par contre, le rapport à la loi fonctionne. Les pénalités juridiques, voire les conséquences pénales, peuvent avoir une influence forte sur les managers et les dirigeants, même s’il restera toujours des personnes pour ne pas se sentir concernées. » 

Jean-François Louâpre, vice-président du CESIN, RSSI de CNP Assurances

« La place du RSSI dans l’entreprise et le poids relatif du budget sécurité font débat depuis que le poste existe. Mais quels que soient les choix faits par l’entreprise, la sensibilisation, et tout particulièrement celle du top management, sont les facteurs clé d’une démarche de sécurité. Rappeler aux dirigeants que la protection des données de l’entreprise et de ses clients n’est pas un sujet technique mais relève de la gestion de risques est vital. Une intervention externe, telles celles proposées par la DGSI ou l’ANSSI peuvent aider à faire passer le message auprès d’un COMEX. D’autres modes d’intervention permettent également de « faire son effet », il faudra trouver celui le plus adapté à l’entreprise, à son contexte, à sa culture et à la réceptivité de ses dirigeants » 

Jean-Claude Laroche, DSI d’EDF – Administrateur du CIGREF

« Avant d’être DSI du groupe EDF, j’ai été simultanément DSI et DRH d’une de nos directions : cette association est très intéressante et bien moins incongrue qu’il n’y paraît, notamment lorsqu’il s’agit d’aborder les questions de sécurité. L’homme, ses habitudes, sa façon de voir le changement sont en effet au cœur du sujet au moment où nos entreprises opèrent leur transformation numérique. Le système d’information n’est pas une entité abstraite à protéger, Il en va en réalité de la responsabilité des utilisateurs, à tous les niveaux.
Cette importance de l’individu et de son comportement est au premier plan. C’est d’ailleurs l’une des raisons pour laquelle le CIGREF a lancé la «Hack Academy, une campagne de sensibilisation du grand public », sur une tonalité ludique et humoristique, mais avec un objectif de marquer les esprits sur les gestes de base à accomplir… ce qui vaut aussi pour les collaborateurs dans les entreprises. » 

Loïc Guézo, Evangéliste sécurité de l’information pour l’Europe du Sud, Trend Micro

« L’individu est clairement la cible dans l’entreprise. C’est à son niveau que se joue l’intégration d’une culture cyber… qu’il soit dirigeant ou simple collaborateur. Aujourd’hui, on voit des entrées dans le système d’information se faire sans aucune subtilité. Les attaquants insistent à outrance sur quelques personnes dans l’organigramme, en multipliant spam, phishing, social engineering… Au bout d’un moment, ils parviennent à entrer : il ne suffit que d’une fois, d’un moment d’inattention pour permettre la première étape d’une propagation bien plus importante. Que l’on soit directeur général ou secrétaire, la menace est là. Communiquer, éviter la centralisation à l’excès, favoriser une vision globale, est donc plus que jamais important. La médiatisation du sujet cybersécurité est l’occasion de faire passer ces messages clés au plus haut niveau. »