Direction générale
Tout ce que j’ai écrit sur la direction générale, en commençant par les articles de recherche. Chacun d’entre eux se termine par une action concrète que vous pouvez mettre en œuvre dès lundi.
Vous êtes confronté à l’un de ces problèmes ? Je travaille avec des organisations qui ont besoin de réponses, pas d’une énième présentation PowerPoint. Discutons-en.
Que contient un court métrage à cinq angles ?
La plupart des sujets présentés ici occupent une page et comportent cinq courtes sections, toujours dans cet ordre. Chacune est identifiée par une couleur spécifique au sein de l’article, ce qui vous permet d’accéder directement à celle qui vous intéresse.
- 1Par où je commencerais : la première mesure que je prendrais et la question que je poserais avant de dépenser quoi que ce soit.
- 2 Lorsque les plans échouent : les points sur lesquels les plans relatifs à ce sujet échouent généralement, et l’hypothèse que je vérifierais en premier lieu.
- 3Au-delà du jargon : ce que le sujet signifie réellement une fois le langage commercial mis de côté.
- 4 À quoi ressemble un bon résultat : le résultat qui vous indiquerait que cela a fonctionné, et le chiffre que je surveillerais.
- 5 Le défi que les dirigeants ne peuvent éluder : la décision que la direction doit prendre, et les éléments dont elle a besoin pour la prendre.
Recruter un responsable de la sécurité →
Services associés : RSSI virtuel.
-
Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
Relever le défi des tendances en matière de risques de cybersécurité grâce à des mesures comparables, des contrôles éprouvés, une incertitude explicitée et une assurance indépendante liée aux conséquences pour l’entreprise.
-
Faut-il acheter un nouvel outil de sécurité ou améliorer les contrôles dont vous disposez déjà ?
Comparez les investissements en matière de sécurité en vous appuyant sur des preuves opérationnelles, les coûts globaux, les retards de mise en œuvre et les incertitudes. Évaluez dans quels cas un nouvel outil s’avère plus efficace que l’amélioration des contrôles existants.
-
Votre conseil d’administration a besoin d’une décision, pas d’un nouveau tableau de bord de sécurité
Ce que j’examine dans les rapports destinés au conseil d’administration en matière de cybersécurité, les décisions qu’ils imposent, et à quoi ressemblent des preuves crédibles avant de réaliser des dépenses.
-
Un fournisseur a été victime de ransomware : que devez-vous faire ?
Évaluez votre exposition après une attaque par ransomware visant un fournisseur, limitez les connexions à risque, maintenez les opérations critiques et exigez des preuves avant de rétablir l’accès.
-
Les quatre-vingt-dix premiers jours d’un nouveau responsable de la sécurité
La tentation est grande d’arriver avec un plan tout prêt. Il vaut mieux arriver avec des questions et repartir avec un plan que l’organisation reconnaît comme étant le sien.
-
Conseil consultatif
Je ne commencerais pas le conseil d’administration en achetant une autre plateforme ou en lançant un programme de grande envergure. Je déterminerais d’abord le périmètre, le responsable, et un scénario…
-
Les dirigeants et administrateurs peuvent-ils être tenus personnellement responsables d’une violation de données ?
Rarement pour la violation elle-même. Plutôt pour ce qui s’ensuit : dissimulation, fausses déclarations et négligences qui n’existaient pas. Ce que les affaires Uber et SolarWinds ont réellement mis en évidence.
-
Formation des cadres
Je ne commencerais pas la formation des cadres en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je commencerais par définir le périmètre, désigner le responsable et choisir un sc...
-
Engagement d’un RSSI à temps partagé
Je ne commencerais pas la mise en place d’un poste de RSSI à temps partagé par l’achat d’une nouvelle plateforme ou le lancement d’un programme de grande envergure. Je commencerais par définir le périmètre, identifier le responsable et…
-
Responsable de la sécurité des systèmes d’information (RSSI) à temps plein ou à temps partagé : comment faire votre choix ?
Choisissez le leadership en matière de sécurité en fonction du pouvoir de décision, de la portée de la réponse, de la capacité d’exécution et de l’indépendance. Comparez les modèles à temps partiel et à temps plein avant d’examiner les coûts.
-
Comment dire « non » à l’entreprise sans se faire contredire
Les responsables de la sécurité qui disent souvent « non » se font contourner. Ceux qui ne disent jamais « non » se font reprocher leur attitude par la suite. La solution ne réside pas dans un « non » mieux formulé, mais dans une meilleure proposition.
-
Direction en cas d’incident
Je ne commencerais pas à mettre en place une gestion des incidents en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et un seul...
-
Notre budget de cybersécurité est-il suffisant ? Comment le savoir sans référence ?
Les références en pourcentage des dépenses informatiques vous indiquent ce que les autres dépensent, et non ce dont vous avez besoin. Évaluez le budget en fonction de sa capacité à couvrir vos principaux risques, et de votre capacité à le prouver.
-
Planification des discours d’ouverture
Je ne commencerais pas la planification d’un discours d’ouverture par l’achat d’une nouvelle plateforme ou le lancement d’un vaste programme. Je commencerais par identifier le périmètre, le responsable et un scénario…
-
Diriger des équipes interfonctionnelles
Je ne commencerais pas à diriger des équipes interfonctionnelles en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je chercherais à définir les limites, à identifier le responsable...
-
Culture de la sécurité
Je ne commencerais pas à instaurer une culture de la sécurité en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et choisir un scénario...
-
Recrutement de responsables de la sécurité
Je ne commencerais pas le recrutement de responsables de la sécurité par l’acquisition d’une nouvelle plateforme ou le lancement d’un programme de grande envergure. Je commencerais par définir le périmètre, identifier le responsable et…
-
Transition au sein de la direction de la sécurité
Je ne commencerais pas la transition du leadership en matière de sécurité par l’acquisition d’une nouvelle plateforme ou le lancement d’un programme de grande envergure. Je chercherais à définir les limites, à identifier le responsable...
-
Le RSSI doit-il rendre compte au DSI ou au PDG ?
La ligne hiérarchique importe moins que trois éléments : un accès direct et sans filtre au conseil d’administration, le pouvoir d’interrompre un projet, et un budget que le DSI ne peut pas réaffecter en toute discrétion. Comment les obtenir, quelle que soit la structure adoptée.
-
Conception d’ateliers techniques
Je ne commencerais pas la conception d’un atelier technique par l’achat d’une nouvelle plateforme ou le lancement d’un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et…
-
Le RSSI vient de démissionner : comment garantir l’efficacité des décisions en matière de sécurité
Assurer la continuité des décisions en matière de sécurité après la démission d’un RSSI : transférez les pouvoirs, conservez les preuves, remplacez les droits d’accès et testez la passation de pouvoirs avant de la clôturer.
-
À quelles questions un rapport du comité de cybersécurité devrait-il réellement répondre ?
Un conseil d’administration n’a pas besoin d’une visite guidée du tableau de bord de sécurité. Il doit savoir ce qui pourrait mal tourner, dans quelle mesure l’organisation pourrait en pâtir, si la déf…
-
Que doit accomplir un nouveau RSSI au cours de ses 90 premiers jours ?
Un état des lieux honnête de la situation de l’organisation, les trois risques les plus importants, un plan assorti de dates et un processus opérationnel de gestion des incidents. Ce n’est pas un nouvel outil. À quoi s’attendre et comment l’évaluer.
-
Que devrait demander le conseil d’administration au RSSI ? Sept questions qui obtiennent des réponses concrètes
Oubliez la question « Sommes-nous en sécurité ? ». Demandez plutôt ce qui nous porterait le plus préjudice, comment nous le saurions, qui en décide, ce que nous avons testé et ce dont vous avez besoin de notre part. Sept questions et les réponses auxquelles s’attendre.
-
Qui peut accepter un risque cyber au nom de l’entreprise ?
Le dirigeant responsable du résultat métier menacé par le risque, dans les limites fixées par le conseil d’administration, par écrit et avec une date d’expiration. Ce n’est ni l’équipe de sécurité, ni toute autre personne souhaitant que le projet soit mis en production.
-
Notre cyberassurance nous indemnisera-t-elle réellement ? Ce qu’il faut vérifier avant le renouvellement
Vous y gagnerez si les contrôles que vous avez certifiés étaient en place, si vous avez signalé l’incident dans les délais, si vous avez fait appel à des prestataires agréés et si le sinistre n’est pas exclu. Cinq points à vérifier avant de renouveler votre contrat.
Aucune correspondance. Essayez un autre mot ou posez-moi directement la question.