Pour les dirigeants qui disposent d’un budget suffisant pour constituer une équipe et souhaitent que celle-ci soit performante
Constituer une équipe de sécurité capable d’accomplir le travail, et pas seulement de réussir l’entretien
J’ai recruté de nombreux spécialistes de la sécurité, et je me suis suffisamment souvent trompé pour avoir modifié ma façon de procéder. Le CV comportant le plus d’acronymes appartenait rarement à la personne capable de détecter l’intrusion. C’était généralement le candidat discret, qui avait passé des années à réparer des systèmes défaillants, qui en était capable. Pour constituer une équipe performante, il faut d’abord définir le travail à accomplir, puis recruter en fonction des compétences avérées pour l’accomplir, et enfin diriger de manière à ce que les personnes compétentes aient envie de rester. Aucune de ces étapes n’est compliquée. Or, elles sont toutes négligées.
Définissez le travail avant de définir les rôles
La plupart des descriptions de poste ne sont qu’un tiroir d’acronymes déversé sur une page. Commencez plutôt par ce que l’équipe doit être capable de faire : mener une enquête sur une alerte jusqu’à une conclusion, rédiger un scénario de détection et prouver qu’il se déclenche, restaurer un système, expliquer un risque à un responsable métier, assurer une permanence à 2 h du matin. Le cadre de référence du NIST relatif aux effectifs fournit un vocabulaire de tâches, de connaissances et de compétences précisément à cet effet, et je l’utilise comme une liste de contrôle, et non comme un modèle. Une fois les tâches répertoriées, les rôles en découlent naturellement, tout comme l’effectif réaliste nécessaire.
Recrutez en fonction des compétences des candidats
Un certificat vous indique qu’une personne est capable de reconnaître la bonne réponse sur un écran. Un exercice court et réaliste vous permet de savoir si elle est capable de la trouver lorsque la réponse ne figure pas parmi les choix proposés. Je soumets les candidats à des scénarios délimités et pertinents pour le poste, avec une notation cohérente, et j’accorde plus d’importance à ces résultats qu’aux diplômes. J’ai expliqué pourquoi dans Le problème de compétence du secteur de la certification. Cela prend un peu plus de temps par candidat, mais permet de gagner un an par recrutement raté.
Structure visant à couvrir l’ensemble des thèmes, et non à respecter la symétrie d’un organigramme
La détection, la réponse, l’ingénierie de détection et la gouvernance nécessitent des profils et des mesures différents. Les petites équipes ont besoin de généralistes possédant chacun une spécialité approfondie ; les plus grandes ont besoin de spécialistes dont les compétences se recoupent suffisamment pour qu’aucun ne constitue un point de défaillance unique. La structure doit répondre à deux questions : qui est de service lorsqu’un incident survient, et qui détient la connaissance que seule une personne possède ? Si l’une des réponses est "il faudrait appeler Dave,", c’est que la structure n’est pas au point.
Conservez ceux qui méritent d’être conservés
Les professionnels de la sécurité partent pour trois raisons : ils n’apprennent pas, on ne leur fait pas confiance, ou on leur reproche d’avoir signalé des problèmes. L’équipe que je dirige bénéficie d’un parcours de progression clair, d’une autorité à la hauteur des responsabilités, et d’une règle selon laquelle signaler un problème est récompensé, tandis que le passer sous silence est ce qui vous attire des ennuis. La rémunération a son importance, mais c’est rarement la raison pour laquelle les meilleurs partent.
D'où cela vient-il ?
Trente ans à la tête d’équipes de sécurité, au sein d’organisations allant des start-ups aux administrations publiques, ainsi que plusieurs décennies consacrées à l’élaboration de programmes de formation et à l’évaluation des compétences. La plupart de ces informations sont couvertes par un accord de confidentialité. Ce que je peux dire ici, je le dis.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment évaluez-vous les candidats en cybersécurité avant de les recruter ?
- Recherche : Quand un poste dans le domaine de la cybersécurité doit-il exiger une certification ?
- Recherche : Comment savoir si la formation à la cybersécurité influe sur les performances professionnelles ?
- En bref : Le RSSI vient de démissionner : comment garantir l’efficacité des décisions en matière de sécurité
- En bref : Que doit accomplir un nouveau RSSI au cours de ses 90 premiers jours ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
- À l’attention des recruteurs et des cabinets de recrutement : les postes pour lesquels je suis le profil recherché, et ceux pour lesquels je ne le suis pas. Une réponse claire à l’intention des cabinets de recrutement : postes, adéquation, inadéquation, et comment obtenir rapidement une réponse positive ou négative de ma part.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Les RSSI et les directeurs chargés de mettre en place ou de restructurer une équipe de sécurité.
- Les organisations qui continuent à recruter des personnes certifiées et qui continuent à rencontrer les mêmes problèmes.
- Les dirigeants qui souhaitent bénéficier d’un accompagnement pour définir les postes, les évaluations et la structure avant de recruter.