,
Nous avons en fait un problème de cybersécurité, mais ce n’est pas celui que nous pensons avoir. La question demeure dans la façon dont nous considérons les problèmes de cybersécurité. Beaucoup d’entre nous sont coincés dans une boucle réactive, à la recherche d’options miracles, alors que nous devons plutôt changer notre façon de voir les problèmes de cybersécurité.
Pour les RSSI des entreprises du monde entier, sur tous les marchés, la bataille est réelle. Il y a un événement, et l’organisation réagit. Fréquemment, la réaction sera d’acheter un nouveau produit logiciel qui est finalement destiné à cesser de fonctionner, en recommençant le cycle réactif une fois de plus.
La difficulté avec cette technique est qu’elle exclut la possibilité d’être proactif au lieu de réactif, et compte tenu des enjeux croissants, nous avons vraiment besoin d’une technique holistique. Aux États-Unis, le coût typique d’une violation de données dépasse désormais les 4 millions de dollars, et cela peut ne pas inclure les dépenses en aval, telles que les taux de cyber-assurance plus élevés et les revenus que l’entreprise pourrait subir en raison des atteintes à sa réputation.
Nous avons besoin d’une nouvelle méthode, et les leçons d’il y a une génération peuvent nous orienter dans la bonne direction. À cette époque, les spécialistes de la cybersécurité ont élaboré des plans de guérison des catastrophes et de connexion de l’organisation, calculant les temps d’arrêt et leurs effets perturbateurs pour valider l’investissement financier dans une méthode holistique. Nous pouvons le faire une fois de plus, mais il faudra moins se concentrer sur les outils et plus de clarté sur la fonction.
Clair comme de la boue : la complexité du marché et la cybersécurité variée exigent
L’un des obstacles à la clarté est le volume et la sophistication croissants des dangers et la prolifération correspondante d’outils pour contrer ces dangers. La croissance rapide des options de cybersécurité était déjà une tendance avant la pandémie, mais les procédures de travail à domicile ont considérablement élargi la surface d’attaque, ce qui a suscité un regain d’intérêt pour la sécurité et de nombreux nouveaux entrants sur le marché des solutions.
L’accessibilité des nouveaux outils n’est pas la préoccupation : de nombreux services de cybersécurité actuellement disponibles sur le marché sont exceptionnels et indispensables. L’expansion d’un marché déjà encombré, ainsi que la prolifération des dangers et la progression des surfaces d’attaque, rendent encore plus difficile pour les RSSI de savoir quelle voie choisir.
Pour compliquer davantage les choses, il est vrai que chaque entreprise a des exigences particulières en matière de cybersécurité. Ils ont différents actifs à protéger, et le schéma idéal diffère considérablement d’une organisation à l’autre en fonction de la taille, des installations (cloud ou sur site, etc.), de la circulation de la main-d’œuvre, de la zone et d’autres aspects. Gagner en clarté nécessite un changement d’état d’esprit.
Gagnez en clarté en vous concentrant sur les résultats plutôt que sur les outils
Les RSSI coincés dans une boucle réactive peuvent commencer à se libérer de ce schéma en se concentrant sur les résultats plutôt que sur les outils. La citation de Theodore Isaac Rubin en haut de cet article est utile ici ; le problème ne peut pas être résolu en changeant un outil défaillant, bien que selon les scénarios, cela puisse être nécessaire.
Le problème est l’état d’esprit sur le problème plus large, c’est-à-dire l’idée fausse que nous pouvons résoudre nos problèmes de cybersécurité en trouvant le produit idéal. Le problème est d’être choqué lorsque cela ne fonctionne pas, de manière cohérente.
Il est plutôt temps de se concentrer sur le résultat souhaité – un résultat unique à chaque organisation en fonction de son paysage de menaces – et de rechercher options à travers les individus, les processus et les innovations pour atteindre cet état souhaité. Il ne peut pas s’agir uniquement de logiciels et de plates-formes. Si les années de pandémie nous ont appris quelque chose, c’est que les individus et les procédures doivent également faire partie de la solution.
L’analyse de rentabilisation d’une toute nouvelle approche
Une concentration sur les résultats et un plan qui intègre les individus, les processus et les innovations est une méthode moderne qui emprunte une page des stratégies de reprise après sinistre et de continuité des activités du passé parce qu’elle est extensive. Cela explique l’impact sur les revenus lié à l’exposition à la cybersécurité et justifie l’investissement financier dans une toute nouvelle technique pour éviter ces coûts – cela fait partie de l’analyse de rentabilisation.
Un autre argument en faveur du changement est qu’il est nécessaire de faire attention à la vitesse à laquelle les vecteurs de menace se développent et la défense de possession doit progresser aujourd’hui. Dans de nombreuses entreprises, la posture de cybersécurité existante est analogue à la méthode utilisée par les systèmes d’exploitation pour être régulièrement mis à jour par rapport aux mises à jour en direct sur lesquelles nous comptons maintenant. Tout ce qui va plus vite maintenant, donc attendre une toute nouvelle version n’est pas acceptable.
Une toute nouvelle méthode nécessitera des informations plus complètes pour formuler une réaction suffisante, car les dangers sont plus dispersés que jamais. Les RSSI ont besoin de la contribution interne des membres du personnel et des dirigeants des unités de l’entreprise. Ils ont besoin de détails du FBI et des leaders d’opinion en matière de cybersécurité. Beaucoup auront besoin d’un partenariat pour diriger l’organisation tout au long de ce voyage et permettre à l’entreprise de se concentrer sur son cœur de métier.
Découvrir la bonne solution de cybersécurité
Déterminer la bonne solution de cybersécurité commence par définir les biens critiques de l’entreprise et un résultat souhaité. Pour les RSSI qui choisissent de s’associer à un expert pour les aider à réussir dans ce voyage, c’est une bonne idée de découvrir un groupe qui n’essaie pas d’offrir un outil spécifique. Il est également essentiel de parler avec des experts qui comprennent que la résolution du problème de cybersécurité impliquera des individus, des procédures et des innovations.
Les gens seront toujours la première ligne de défense, il sera donc crucial de construire une culture axée sur la sécurité et de faire correspondre les processus. Un partenaire qui comprend le rôle essentiel que jouent les gens est donc nécessaire. Il est également conseillé d’exiger des preuves des partenaires potentiels, comme l’accès à un client qui a effectivement traité avec l’équipe via une brèche.
Notre problème de cybersécurité n’est pas ce que nous pensons qu’il est. Le véritable problème est de ne pas accepter qu’il n’y a pas de solution miracle et que seule une méthode holistique qui tient compte de l’ampleur réelle du danger – et de tous les éléments de la surface d’attaque – représente la difficulté. Les RSSI qui acceptent cela peuvent rompre la boucle réactive et réduire de manière proactive le risque organisationnel.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
