Pour les organisations dont le programme de sécurité doit être repensé, et non pas simplement enrichi d’une couche supplémentaire

Un leadership de transformation pour une fonction de sécurité qui doit évoluer, et pas seulement se développer

La transformation de la sécurité commence généralement par un événement douloureux : une violation, un audit infructueux, une acquisition qui a doublé le parc informatique, l’arrivée d’un nouvel organisme de régulation, ou encore un conseil d’administration qui a enfin posé la question à laquelle personne ne pouvait répondre. La tentation est alors de réagir en mettant en place un programme comprenant une centaine d’initiatives. J’ai moi-même mené ce type de changement, et les organisations qui s’en sont sorties ont mis en œuvre moins d’actions, mais dans le bon ordre, tout en assurant la continuité de leurs activités existantes.

Discutez d’un poste de direction Fonctionnement

Comment je mènerais le changement

Tout d’abord, identifiez ce dont vous disposez. Il ne s’agit pas d’un score de maturité, mais d’une image fidèle de ce qui est détecté, de ce à quoi l’on réagit, de ce dont on a la responsabilité et de ce que l’on présume. La plupart des transformations échouent parce qu’elles reposent sur le programme tel qu’il est décrit plutôt que sur le programme tel qu’il est réellement.

Deuxièmement, corrigez les éléments qui rendent tout le reste possible. L’identité, la visibilité des actifs, la télémétrie et les droits de décision. Rien de ce qui repose sur ces éléments ne fonctionne s’ils sont défaillants, et ils le sont généralement.

Troisièmement, modifiez le modèle opérationnel, puis les outils. Qui est responsable de chaque capacité, comment s’organisent les flux de travail, quels indicateurs sont mesurés, à quoi l’entreprise peut-elle s’attendre ? Les outils achetés avant que ces questions ne soient réglées sont configurés selon l’ancien modèle et doivent être refaits.

Quatrièmement, l’équipe. La transformation modifie les postes. Les collaborateurs doivent savoir en quoi consiste désormais leur fonction, qui reste en poste et à quoi ressemble désormais l’excellence. Si cela est mal géré, c’est là que les compétences s’en vont.

Tout au long du texte : assurer la continuité des opérations. C’est l’incident qui survient pendant la transformation qui détermine si celle-ci sera couronnée de succès. La capacité de réaction est protégée du changement, et non sacrifiée au profit de celui-ci.

Ce que vous obtenez

Une fonction de sécurité dotée d’un modèle opérationnel clair, d’un parc d’outils plus restreint et mieux compris, de mesures qui ont un sens, d’une gouvernance exploitable par le conseil d’administration, et d’une équipe qui maîtrise son fonctionnement. Et un compte rendu honnête, tout au long du processus, de ce qui a été accepté plutôt que corrigé, afin que le résultat final soit le fruit d’une décision et non d’une surprise.

L’adéquation honnête

Il s’agit d’un poste de haut niveau, à durée déterminée et exigeant. Cela fonctionne lorsque la direction a décidé qu’un changement est nécessaire et qu’elle est prête à le financer et à le soutenir. Cela ne fonctionne pas lorsqu’il s’agit d’un titre attribué à une personne censée gérer la fonction existante et la transformer pendant son temps libre, ni lorsque chaque changement doit être approuvé par un comité.

D'où cela vient-il ?

Trente ans à la pointe de la sécurité, marqués par des transformations induites par des incidents, des acquisitions et des évolutions réglementaires au sein d’organisations allant des start-ups aux administrations publiques. La plupart des détails sont couverts par un accord de confidentialité. Ce que je peux dire ici, je le dis.

Ce que j’ai écrit à ce sujet.

Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.

Travaux connexes.

Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.

Un directeur de programme qui concrétise la stratégie en actions tangibles. Maîtrise totale du programme de sécurité de bout en bout : planification, budget, personnel, dépendances et rapports honnêtes sur ce qui est réellement accompli.
Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.

Discutez d’un poste de direction.

Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.

Discutez d’un poste de direction Trois façons de travailler avec moi

Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.

Les PDG, les DSI et les conseils d’administration qui ont décidé que la fonction de sécurité devait évoluer et souhaitent qu’elle soit dirigée par une personne ayant déjà fait ses preuves dans ce domaine.
Des opérateurs de capital-investissement remettent en place la sécurité au sein d’une société de leur portefeuille après son acquisition.
Les RSSI qui souhaitent un responsable de la transformation afin de pouvoir continuer à diriger cette fonction.