L’alchimie entre numérique et business est devenue tellement forte que l’immense majorité des entreprises parlent couramment en 2017 de leurs enjeux de transformation et du pilotage de celle-ci. Par contre, elles sont encore nombreuses à exclure de cette réflexion la nouvelle place de la cybersécurité.
Historiquement, la sécurité globale de nombreuses entreprises s’est constituée en briques organisationnelles qui ont séparé sécurité physique (la sûreté) et SSI (la sécurité du système d’information). Lors d’une récente table-ronde sur la « Gouvernance de la sécurité numérique », Thierry Augier, deputy CIO/CSO du groupe Lagardère avait adroitement résumé les risques d’une pensée hémiplégique : « A trop séparer,on crée de l’inefficacité. Ce dont les entreprises ont besoin, c’est au contraire d’une osmose au niveau de leur perception et de leur gestion du risque global. » Trop souvent, cette approche en silos est d’ailleurs asymétrique : la sûreté est prise en compte directement au niveau du comité exécutif alors que la SSI est reléguée dans les profondeurs techniques de l’entreprise.
Pourtant, il est devenu de plus en plus difficile de distinguer une sécurité « numérique » d’une sécurité « physique ». La sûreté est devenue dépendante du numérique comme tous les autres aspects de l’entreprise. Et les innovations business dont s’emparent les entreprises sont pertinentes justement car elles sont à la frontière des deux mondes.
« Le sujet IoT est déjà très fort et ne cesse de gagner en importance mois après mois », illustre par exemple un manager dans une grande entreprise française du secteur de l’automobile, en s’interrogeant : « Comment va-t-on gérer une approche security by design vu les enjeux d’intégration actuels de l’IoT dans nos processus industriels ? Comment en assurer un suivi pertinent alors que les composants ainsi connectés vont sans doute rester en activité pendant 15 ou même 30 ans ? » Le cas de l’IoT – devenu une urgence des directions de l’innovation – est révélateur de la nouvelle place que doit prendre la sécurité dans une entreprise qui se transforme. Et pourtant bon nombre d’entre elles sont encore loin d’une telle réflexion. Didier Pawlak, DSI du groupe Pénélope, agence d’hôtes et d’hôtesses d’accueil, le reconnaît : « Pour moi, trouver les bons leviers pour améliorer la perception des collaborateurs sur le sujet sécurité est toujours aussi important après toutes ces années. Aujourd’hui, la question de la gestion des accès au système d’information me paraît centrale, que ce soit au sein même des murs de l’entreprise ou à partir de terminaux différents, en mobilité. Et cela commence par des sujets malheureusement très simples, comme travailler à ce que des salariés ne laissent pas leurs sessions ouvertes sur leur poste ou à travers leur VPN… » Or, pour une DSI qui ne dispose pas de responsable dédié à la sécurité, ces efforts sont déjà conséquents.
« Les entreprises ont besoin d’une osmose au niveau de leur perception et de leur gestion du risque global » Thierry Auger, deputy CIO/CSO de Lagardère
Lier RSSI, risques et Comex
Pour les structures de plus grande taille, le problème est ailleurs. Gil Dellile, Ciso du groupe Crédit Agricole a dû créer il y a déjà trois ans un poste de responsable relation métier-SSI afin de mieux animer les échanges entre les RSSI et l’ensemble des interlocuteurs métiers. Cette décision s’est faite en parallèle de la mise en place d’une nouvelle gouvernance de la sécurité des systèmes d’information du groupe, pour éviter que les RSSI ne soient trop « seuls » et qu’ils se rabattent sur des missions de contrôle, au détriment d’une approche plus globale de la sécurité. Chaque RSSI a pu être rattaché à un membre du Comex afin de systématiser une vision harmonieuse de la sécurité à tous les niveaux de l’organisation. Une avancée pour essayer de trouver un équilibre entre une vision stratégique de la transformation numérique globale et des réalités de terrain auxquelles il faut répondre immédiatement.
Gilles Berthelot, RSSI Groupe SNCF, témoigne de sa propre expérience : « Pendant des années les RSSI ont eu l’impression de jouer les Cassandre, mais les faits nous ont donné raison. La sensibilisation du Comex est donc beaucoup moins un sujet que par le passé. » Cela a permis de faire prendre à la sécurité une place beaucoup plus transverse, y compris au plus haut niveau. « A la SNCF, chaque membre du Comex s’occupe personnellement d’un type de risques, parmi ceux-ci, deux concernent expressément la sécurité du système d’information, ce n’est pas anodin », explique le RSSI Groupe.
Un équilibre à trouver avec l’écosystème
Et cette nouvelle gouvernance qui s’installe ne concerne plus seulement les propres services internes d’une entreprise. « L’un des points de vigilance à avoir pour un RSSI aujourd’hui vient des changements majeurs qui se jouent dans les relations avec les fournisseurs et la nature des contrats passés. C’est une remarque valable pour l’entreprise en général, mais avec des effets de bord potentiels très importants pour identifier les responsabilités en cas de risques liés à la sécurité du système d’information », détaille Mahmoud Denfer, Ciso Group de l’industriel Vallourec, quand on l’interroge sur ses priorités actuelles. En se transformant, l’entreprise s’ouvre et elle doit absolument prendre en compte dans sa nouvelle approche de la sécurité le rôle de ses prestataires, de ses partenaires, de ses clients, et les responsabilités de plus en plus entrelacées de tout son écosystème. La pression des législateurs pousse les entreprises à clarifier rapidement la donne. « L’arrivée de cadres réglementaires comme la PSSIE* et le RGPD** va permettre aux décideurs de pouvoir s’appuyer sur un cadre commun normatif bien défini. Elle va sans doute aider à définir les priorités dans le domaine de la gestion de la SSI pour des organisations qui ont un héritage comme la nôtre », reconnaît Adoté Chilloh, adjoint DSI, ROSSI et chef du service support et production de la Bibliothèque Nationale de France (BNF). Les acteurs publics ne sont bien sûr pas les seuls concernés : le Règlement général sur la protection des données personnelles (RGPD) s’applique non seulement à tous les secteurs économiques, mais implique de plus une véritable maîtrise de la chaîne de responsabilité prestataire-client.
*Politique de sécurité des systèmes d’information de l’Etat
** Règlement général sur la protection des données paru au journal officiel de l’Union européenne
Cet article est extrait du livret SECURITE à télécharger sur Alliancy.