À l’intention des PDG, des conseils d’administration et des cadres supérieurs qui souhaitent obtenir un deuxième avis sans qu’il y ait de visée commerciale
Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre
La plupart des conseils en matière de sécurité que reçoit un PDG proviennent de personnes qui ont quelque chose à vendre : un fournisseur, un cabinet de conseil cherchant à remplir son carnet de commandes, ou une équipe interne devant défendre son budget. Ce n’est pas de la malhonnêteté ; c’est la structure même du système. Ce qui manque généralement, c’est une personne sans produit, sans équipe et sans intérêt particulier dans la réponse, qui a été suffisamment confrontée à des failles de sécurité et a siégé à suffisamment de conseils d’administration pour vous dire ce qui compte et ce qui ne compte pas. C’est ce type de relation de conseil que je propose, et je la maintiens à une échelle suffisamment réduite pour garantir mon honnêteté.
Ce qu’il couvre
Les décisions qui atterrissent sur le bureau de la direction et ne peuvent être déléguées : savoir si le responsable de la sécurité dont vous disposez est celui dont vous avez besoin ; si le budget est bien structuré ; ce qu’il convient de communiquer au conseil d’administration, et comment, après un incident ou avant le déploiement d’une IA ; s’il faut payer une rançon et qui en décide ; si l’assurance interviendra ; ce qu’un régulateur ou un plaignant pourrait demander ; et parmi les sujets dont on vous dit de vous préoccuper, lesquels méritent réellement votre attention. J’ai abordé plusieurs de ces points dans les pages destinées aux dirigeants, notamment ce que le conseil d’administration devrait demander au RSSI et où se situe réellement la responsabilité personnelle.
Fonctionnement
Un accord permanent, quelques heures par mois avec une ligne téléphonique à laquelle on répond lorsqu’un incident survient, ou une mission bien définie : un deuxième avis sur une évaluation, la préparation d’une réunion du conseil d’administration, un point de vue indépendant lors d’un incident. Tout cela en toute confidentialité, tout par écrit si vous le souhaitez, et aucune recommandation que je ne serais pas prêt à défendre devant votre auditeur.
Ce que ce n’est pas
Il ne s’agit pas d’un poste de RSSI à temps partagé ; je vous conseille, je ne dirige pas ce service. Ce n’est pas une évaluation, même si je vous indiquerai quand vous en aurez besoin et comment l’interpréter. Et ce n’est pas une simple assurance. Si vous souhaitez qu’on vous dise que tout va bien, il existe des moyens moins coûteux.
D'où cela vient-il ?
Trente ans d’expérience à la pointe de la sécurité, une vingtaine d’années de pratique concrète dans la réponse aux incidents, un doctorat axé sur la cybersécurité, l’IA et l’utilisation criminelle de la technologie, ainsi qu’une longue expérience de conseil auprès de conseils d’administration et de dirigeants d’organisations allant des start-ups aux pouvoirs publics. La majeure partie de ce travail est couverte par un accord de confidentialité. Ce que je peux dire ici, je le dis.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Étude : votre conseil d’administration a besoin d’une décision, pas d’un nouveau tableau de bord de sécurité
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- Recherche : Devriez-vous acheter un nouvel outil de sécurité ou améliorer les contrôles dont vous disposez déjà ?
- En bref : Que devrait demander le conseil d’administration au RSSI ? Sept questions qui obtiennent des réponses concrètes
- En bref : Les dirigeants et administrateurs peuvent-ils être tenus personnellement responsables d’une violation de données ?
- En bref : Notre cyberassurance nous indemnisera-t-elle réellement ? Ce qu’il faut vérifier avant le renouvellement
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Un RSSI à temps partagé qui définit les règles et prend les décisions difficilesUne direction de la sécurité à temps partiel : la stratégie, les décisions difficiles, le conseil d’administration et les questionnaires, tandis qu’une personne compétente de votre équipe gère les opérations quotidiennes.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- À l’attention des recruteurs et des cabinets de recrutement : les postes pour lesquels je suis le profil recherché, et ceux pour lesquels je ne le suis pas. Une réponse claire à l’intention des cabinets de recrutement : postes, adéquation, inadéquation, et comment obtenir rapidement une réponse positive ou négative de ma part.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les PDG et directeurs des opérations qui souhaitent pouvoir compter sur un avis indépendant en matière de sécurité avant de prendre une décision.
- Les conseils d’administration et les comités d’audit recherchent un conseiller dont l’intérêt n’est pas lié à la réponse.
- Les fondateurs et les investisseurs sont confrontés à une décision en matière de sécurité dont les conséquences perdureront bien au-delà du mandat des personnes qui la recommandent.