À l’intention des conseils d’administration, des PDG et des cabinets de recrutement de cadres
Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci
Si vous recrutez un RSSI, vous avez probablement lu une quarantaine de CV qui mentionnent tous "strategic" et "risk-basedapproach.". Voici ce que le mien précise en plus de cela. J’ai passé trente ans à diriger des équipes de sécurité, dont une vingtaine à gérer directement des incidents réels et les opérations permettant de les contrer. J’ai mis en place des opérations de sécurité à partir de rien et j’en ai réorganisé d’autres qui semblaient très actives mais qui ne l’étaient pas. J’ai fait face aux conseils d’administration pendant et après une violation de données. Et j’ai mené des travaux universitaires, dans le cadre d’un doctorat en génie informatique axé sur la cybersécurité, l’IA et l’utilisation criminelle de la technologie ; mon jugement s’appuie donc sur une base théorique solide.
Ce que je ferais concrètement à ce poste
Le rôle ne consiste pas à donner à l’organisation le sentiment d’être en sécurité. Il s’agit de déterminer où elle en est, de décider ce qu’il faut conserver et ce qu’il faut corriger, puis de mettre en place un dispositif capable de prouver son efficacité. Concrètement, cela se traduit par trois actions que j’entreprendrais dès le premier trimestre : une évaluation honnête incluant ce que le précédent responsable n’a pas dit ; les trois risques qui auraient un impact réel sur l’activité, accompagnés d’un plan adapté au budget dont vous disposez ; et un processus de gestion des incidents, avec des décideurs clairement désignés, qui a été testé au moins une fois sur papier. J’ai noté Ce qu’un nouveau RSSI devrait accomplir en 90 jours, et je m'y tiendrais.
Au-delà du premier trimestre : des opérations de sécurité évaluées en termes de détection et de confinement plutôt qu’en nombre d’alertes, une relation avec le conseil d’administration fondée sur des décisions plutôt que sur des tableaux de bord, et une équipe capable de diriger les opérations en mon absence. Je n’achète pas d’outils avant d’avoir compris le problème, et je ne réorganise pas une équipe avant de l’avoir comprise.
Ce qui me correspond, et ce qui ne me correspond pas
Je m’adresse aux organisations pour lesquelles la sécurité est indissociable de leur droit d’exercer leur activité ou de leur produit : secteurs réglementés, infrastructures critiques, tout ce qui implique des données sensibles ou des adversaires redoutables. Je corresponds aux conseils d’administration qui préfèrent une vérité dérangeante à une présentation rassurante. Je corresponds aux PDG qui confèrent à ce poste le pouvoir d’interrompre des activités et un budget qui ne peut être discrètement réaffecté, car sans cela, ce titre n’est qu’une simple fonction honorifique.
Je ne corresponds pas à un poste où l’on rend compte à quelqu’un dont l’évaluation repose sur la mise en production de fonctionnalités, sans aucune perspective d’accès au conseil d’administration. Je ne corresponds pas à une organisation qui souhaite doter sa fonction de conformité d’un titre de cadre supérieur. Et je ne suis pas le genre de personne à vous dire que tout va bien.
D'où cela vient-il ?
Une grande partie de mon travail ne peut être décrite en public, et certains aspects ne peuvent absolument pas être divulgués. Ce que je peux dire, c’est que j’ai exercé en tant qu’expert en la matière auprès d’entreprises de premier ordre, de start-ups, de particuliers fortunés, d’ONG, ainsi que des gouvernements américains et alliés, du niveau municipal au niveau national. J’ai participé à des missions qui ont fait la une des journaux et à d’autres qui n’y ont pas été mentionnées. Quant au reste, nous en discutons en toute confidentialité.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- Étude : votre conseil d’administration a besoin d’une décision, pas d’un nouveau tableau de bord de sécurité
- Recherche : Comment savoir si votre SOC est réellement efficace ?
- En bref : Que doit accomplir un nouveau RSSI au cours de ses 90 premiers jours ?
- En bref : Le RSSI doit-il rendre compte au DSI ou au PDG ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Un RSSI à temps partagé qui définit les règles et prend les décisions difficilesUne direction de la sécurité à temps partiel : la stratégie, les décisions difficiles, le conseil d’administration et les questionnaires, tandis qu’une personne compétente de votre équipe gère les opérations quotidiennes.
- Un Responsable de la sécurité de l'information (RSSI) par intérim qui assure la continuité pendant que vous recrutez le bon candidat. Une responsabilité totale en matière de sécurité pendant une période définie, afin que le processus de recrutement puisse prendre le temps nécessaire pour trouver le bon candidat.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les conseils d’administration et les PDG qui recherchent un responsable de la sécurité ayant lui-même fait l’expérience d’une faille de sécurité, et non pas simplement lors d’un briefing.
- Cabinets de recrutement de cadres supérieurs spécialisés dans le recrutement de RSSI, pour lesquels le client a besoin à la fois d’une expertise opérationnelle approfondie et d’une présence sur le terrain.
- Mise en relation entre des dirigeants souhaitant discuter d’une mission d’intérim ou d’une prise de fonction à temps partiel pendant leur recherche d’emploi.