À l’intention des DSI, des RSSI et des responsables du recrutement au sein de ces services
Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de présenter un diaporama à ce sujet
C’est au niveau du poste de directeur que la sécurité devient une réalité ou reste un simple document. Le RSSI définit l’orientation ; le directeur veille à ce que la détection fonctionne, que la réponse soit mise en œuvre, que les ingénieurs livrent leurs résultats et que les indicateurs aient un sens. J’ai occupé ce poste à un niveau où l’on sait encore comment fonctionnent les outils et où l’on peut repérer quand le tableau de bord de l’équipe ne reflète pas la réalité, et je l’ai exercé suffisamment longtemps pour savoir quels problèmes sont d’ordre technique et lesquels sont liés à des personnes qui n’ont pas reçu les pouvoirs nécessaires.
Ce que ce poste attend de moi
Une vingtaine d’années d’expérience pratique dans la réponse aux incidents et les Opérations de sécurité, et trente ans à la tête de projets de sécurité. J’ai constitué des équipes, mis en place des opérations et repris celles qui devaient être restructurées sans que l’entreprise ne remarque de rupture de service. Je sais recruter, car je sais reconnaître les compétences lorsqu’elles ne figurent pas sur un diplôme. Je sais gérer un budget sans surprises. Et je sais organiser un briefing à la hiérarchie de manière à ce que le RSSI obtienne ce dont il a besoin de la part du conseil d’administration, car j’ai déjà été des deux côtés de cette conversation.
Concrètement, je m’attendrais à avoir en charge une combinaison des domaines suivants : opérations de sécurité et ingénierie de détection ; réponse aux incidents et préparation à cet égard ; ingénierie et architecture de sécurité ; choix des fournisseurs et des outils ; ainsi que le travail de programme qui transforme une stratégie en actions concrètes mises en œuvre chaque mardi.
Comment je dirige une équipe
Une responsabilité clairement définie pour chaque capacité, la personne qui en est responsable étant en mesure de l’expliquer à moi-même et à un auditeur. Des mesures qui nous mettraient dans l’embarras si elles s’avéraient inadéquates, et non des mesures choisies simplement parce qu’elles sont « vertes ». Une règle selon laquelle personne n’est blâmé pour avoir soulevé un problème et où chacun est interrogé sur les raisons pour lesquelles il l’a passé sous silence. Et des simulations : l’équipe s’entraîne à gérer les situations importantes avant qu’elles ne se produisent réellement, y compris les aspects délicats où l’entreprise est en désaccord avec le confinement.
L’adéquation honnête
Ce modèle fonctionne lorsque le RSSI souhaite disposer d’un directeur capable de lui faire part de la réalité des faits, et lorsque l’organisation est prête à conférer à ce directeur une réelle autorité sur les opérations. Il ne fonctionne pas lorsque le directeur est censé être un analyste senior doté d’un titre plus prestigieux, ou lorsque les décisions dépassant un certain seuil sont soumises à un comité qui se réunit une fois par mois. Si votre procédure de gestion des incidents nécessite une réunion pour isoler un serveur, je tiendrai à remédier à cela au cours du premier trimestre, et je préfère que vous le sachiez dès maintenant.
D'où cela vient-il ?
J’ai occupé le poste d’expert en la matière auprès d’entreprises de premier plan, de start-ups, d’ONG et d’administrations à tous les niveaux, et j’ai dirigé les opérations de réponse lors d’incidents réels. La plupart des détails restent couverts par un accord de confidentialité. Ce que je peux dire ici, je le dis ; le reste, nous en discuterons en toute confidentialité.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment savoir si votre SOC est réellement efficace ?
- Recherche : Comment définir une charge de travail viable pour une équipe de sécurité ?
- Recherche : Comment savoir si un contrôle de sécurité fonctionne toujours après une modification ?
- En bref : Qui est responsable d’un incident lorsque les services informatiques et la sécurité ne parviennent pas à s’entendre ?
- En bref : Le RSSI vient de démissionner : comment garantir l’efficacité des décisions en matière de sécurité
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Un directeur des opérations de sécurité qui mesure le confinement des incidents, et non le nombre d’alertesDirection de la détection et de la réponse : le SOC, les ingénieurs, les guides d’intervention et les mesures qui nous mettraient dans l’embarras si elles s’avéraient inadéquates.
- Un directeur de programme qui concrétise la stratégie en actions tangibles. Maîtrise totale du programme de sécurité de bout en bout : planification, budget, personnel, dépendances et rapports honnêtes sur ce qui est réellement accompli.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les RSSI qui ont besoin d’un directeur capable de diriger les opérations sans être encadré minute par minute.
- Les DSI d’organisations ne disposant pas de RSSI et qui ont besoin d’un responsable de la sécurité de haut niveau comprenant les enjeux de l’entreprise.
- Recruteurs occupant un poste de directeur, de responsable ou de directeur principal nécessitant une expertise opérationnelle approfondie.