Pour les organisations disposant d’une stratégie de sécurité, mais dont la mise en œuvre est insuffisante
Un directeur de programme qui concrétise la stratégie
La plupart des stratégies de sécurité échouent à mi-parcours : non pas au niveau de la réflexion ni des outils, mais au cours des dix-huit mois pendant lesquels le plan doit résister aux contrôles de changement informatique, à une équipe financière qui exige des chiffres, à des fournisseurs qui ne respectent pas leurs engagements et à une entreprise qui ne cesse de demander des dérogations. Le rôle d’un directeur de programme consiste à prendre en main cette phase intermédiaire. Je l’ai fait en m’appuyant sur une expertise technique suffisante pour distinguer une étape clé réelle d’une simple étape déclarée, et sur la patience organisationnelle nécessaire pour mener les projets à bien.
Ce dont je serais responsable
Le plan, avec des priorités suffisamment modestes pour être menées à bien. Le budget, dont les dépenses sont affectées en fonction des risques qu’il est censé réduire plutôt qu’en fonction des factures reçues. Les dépendances vis-à-vis de l’informatique, de l’ingénierie, des achats et du service juridique, qui constituent les principaux freins à la mise en œuvre de la plupart des programmes de sécurité. Les fournisseurs, tenus de respecter ce qu’ils ont vendu. Les mesures, choisies de telle sorte que « "terminé" » signifie que le contrôle fonctionne, et non que le projet est clos. Et le compte rendu à la hiérarchie : ce qui a été livré, ce qui a pris du retard, ce qui a été accepté comme un risque faute de financement, et qui en a assumé la responsabilité. J’ai déjà expliqué pourquoi un programme est une opération, et non un document, et c’est ainsi que je mènerais le vôtre.
Comment je collabore avec le RSSI et l’entreprise
Le RSSI définit l’orientation stratégique et mène le dialogue sur les risques avec le conseil d’administration. Je concrétise cette orientation et j’apporte les preuves au RSSI. Avec les services opérationnels, je négocie : je repousse une échéance pour une raison opérationnelle valable, par écrit, en réévaluant le risque, mais je ne la repousse pas pour une simple préférence. Cette règle, appliquée de manière cohérente, constitue l’essentiel de la gestion de programme.
L’adéquation honnête
Ce poste trouve toute sa place lorsque la direction souhaite obtenir des résultats et est disposée à écouter ce qui fait obstacle à leur réalisation. Il ne fonctionne pas lorsque le programme sert de zone d’attente pour des décisions que personne ne souhaite prendre, ou lorsque le terme "directeur de programme" désigne en réalité un "coordinateur de projet sans aucune autorité." Je souhaiterais consulter le plan, le budget et les trois derniers rapports d’avancement avant que nous puissions discuter sérieusement ; ils me permettront de déterminer si ce poste est bien réel.
D'où cela vient-il ?
Trente ans passés à diriger des programmes de sécurité et de développement au sein d’organisations allant des start-ups aux gouvernements nationaux, y compris celles où le plan avait été rédigé à trois reprises sans jamais aboutir à aucun résultat. La plupart de ces activités sont couvertes par un accord de confidentialité. Ce que je peux dire ici, je le dis.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment définir une charge de travail viable pour une équipe de sécurité ?
- Recherche : votre évaluation des lacunes en matière de cybersécurité est terminée. Et maintenant ?
- Recherche : Devriez-vous acheter un nouvel outil de sécurité ou améliorer les contrôles dont vous disposez déjà ?
- En bref : Notre budget de cybersécurité est-il suffisant ? Comment le savoir sans référence comparative ?
- En bref : Qui peut accepter un risque cyber au nom de l’entreprise ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Un leadership de transformation pour une fonction de sécurité qui doit évoluer, et pas seulement se développer. Diriger la refonte : le modèle opérationnel, l’équipe, le parc d’outils et la gouvernance, dans un ordre qui permette d’assurer la continuité des activités tout au long de cette évolution.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les RSSI qui ont besoin d’une personne chargée de la mise en œuvre afin de pouvoir se concentrer sur la gestion des risques.
- Les DSI et les directeurs des opérations dont le programme de sécurité dispose d’une stratégie et d’un budget, mais qui ne cesse de prendre du retard.
- Les responsables de la transformation qui ont besoin que la sécurité soit intégrée au sein d’un programme de changement plus large.