À l’intention des agences, des prestataires et des institutions publiques à tous les niveaux
Le leadership en matière de sécurité pour les pouvoirs publics et les organisations qui les servent
Le travail de sécurité au sein du gouvernement obéit à des règles qui lui sont propres. Les adversaires sont différents, la responsabilité est publique, les cadres réglementaires ne sont pas facultatifs, les procédures de passation de marchés suivent leur propre rythme, et la mission ne peut généralement pas être interrompue pendant que l’on remédie aux problèmes. J’ai occupé le poste d’expert en la matière auprès des gouvernements américains et alliés, du niveau municipal au niveau national, ainsi qu’auprès des prestataires et des institutions qui travaillent à leurs côtés. Je connais la différence entre un contrôle qui satisfait un évaluateur et celui qui permettrait d’empêcher une intrusion, et je sais que les deux sont souvent nécessaires.
Ce que j’apporte à un poste dans le secteur public
Expérience opérationnelle : environ vingt ans d’expérience pratique dans la réponse aux incidents et les opérations de sécurité, ce qui revêt une importance particulière dans les environnements où l’incident relève de la sécurité nationale ou de la sécurité publique plutôt que d’une simple interruption d’activité. Maîtrise des référentiels : les familles de recommandations du NIST considérées comme des outils de travail plutôt que comme de la paperasserie de conformité, ainsi qu’une compréhension de la manière dont l’autorisation, la surveillance continue et le signalement des incidents sont réellement mis en œuvre au sein d’une agence ou chez un prestataire. Une formation universitaire solide, acquise grâce à un doctorat axé sur la cybersécurité, l’intelligence artificielle et l’utilisation criminelle des technologies, ainsi qu’une formation en droit qui s’avère utile lorsqu’il s’agit de déterminer ce qu’exigent réellement les règles. Sans oublier la patience requise pour mener à bien des missions dans le secteur public.
Les types de rôles
Direction de la sécurité au sein d’une agence ou d’un ministère. Direction de la sécurité au sein d’un prestataire ou d’un intégrateur de systèmes travaillant pour le compte du gouvernement. Direction de programme pour une autorisation, une modernisation ou une refonte motivée par un incident. Rôles de conseil auprès d’institutions publiques, de services publics et d’opérateurs d’infrastructures critiques placés sous la tutelle du gouvernement. Ainsi que les variantes militaires et internationales de chacune de ces fonctions, dans lesquelles j’ai également exercé.
Ce que je ne prétends pas ici
Les agences, programmes et missions spécifiques restent soumis à un accord de confidentialité (NDA), et je ne publie aucune information relative aux habilitations de sécurité ou aux conditions d’emploi. Si un poste requiert des conditions d’éligibilité particulières, nous en discuterons en privé et dès le début du processus.
L’adéquation honnête
Cela fonctionne lorsque la direction recherche une personne capable de diriger les opérations et de maîtriser le langage du référentiel, et lorsque le poste dispose de l’autorité nécessaire pour agir entre deux cycles de contrôle. Cela ne fonctionne pas lorsque le poste dédié à la sécurité a pour seule mission de produire de la documentation, sans autre responsabilité.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment définir une charge de travail viable pour une équipe de sécurité ?
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- Recherche : Quels risques de cybersécurité liés aux technologies opérationnelles (OT) devez-vous traiter en priorité ?
- En bref : Qui devons-nous informer après une violation, et dans quel délai ?
- En bref : Qui est responsable d’un incident lorsque les services informatiques et la sécurité ne parviennent pas à s’entendre ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
- À l’attention des recruteurs et des cabinets de recrutement : les postes pour lesquels je suis le profil recherché, et ceux pour lesquels je ne le suis pas. Une réponse claire à l’intention des cabinets de recrutement : postes, adéquation, inadéquation, et comment obtenir rapidement une réponse positive ou négative de ma part.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Agences et institutions publiques aux niveaux fédéral, régional et local recrutant des cadres supérieurs spécialisés dans la sécurité.
- Les prestataires et intégrateurs travaillant pour le gouvernement qui ont besoin d’un responsable de la sécurité ayant une expérience des deux côtés.
- Gouvernements alliés et organisations internationales ayant des exigences comparables.