Pour les organisations dont le responsable de la sécurité a quitté ses fonctions ou est sur le point de
Un Responsable de la sécurité de l'information (RSSI) par intérim qui assure la continuité pendant que vous recrutez le bon candidat
Lorsqu’un RSSI quitte ses fonctions, l’organisation dispose d’environ une semaine avant que cette vacance ne commence à avoir un coût : une décision que personne ne prend, un questionnaire que personne ne signe, une réunion du conseil d’administration avec un siège vide, un incident pour lequel personne n’est responsable. Un dirigeant par intérim a pour rôle de combler cette lacune dès le premier jour et de la maintenir comblée suffisamment longtemps pour vous permettre de recruter la personne adéquate. Une mauvaise nomination d’un RSSI effectuée dans la précipitation coûte deux ans. Une gestion efficace de cette vacance ne coûte qu’un trimestre. J’ai rédigé Que faire au cours des 30 premiers jours sans RSSI ?; une mission d’intérim avec moi, c’est cette liste, menée à bien.
Ce dont je m’occupe
Responsabilité totale des risques de sécurité pendant une période convenue, généralement de trois à six mois, assortie des pouvoirs nécessaires. Dès la première semaine : la capitalisation des connaissances du dirigeant sortant avant son départ, la sécurisation et la rotation de tous les identifiants et relations avec les fournisseurs dont il disposait, le remplacement des désignations réglementaires qui lui étaient attribuées, l’examen des incidents en cours et des acceptations de risques, et l’information de l’équipe sur la situation par la personne effectivement en charge. Puis, le travail quotidien lié à la fonction : les décisions, le conseil d’administration, les auditeurs, les clients et tout ce que le trimestre vous réserve.
Ce que vous obtenez à la fin
Une fonction stable, une description écrite du programme tel qu’il se présente réellement, une liste concise des points que le prochain dirigeant devra régler en priorité, ainsi qu’une description de poste pour le poste permanent qui reflète les besoins de l’organisation pour les trois prochaines années plutôt que les tâches que la personne précédente s’est trouvée amenée à accomplir. Je me ferai un plaisir de vous aider dans la recherche et la passation de pouvoirs, et je ne suis pas candidat au poste permanent, à moins que nous n’en décidions ainsi ensemble, dès le début et en toute transparence.
Pourquoi « intérimaire » plutôt que « par intérim » ?
Confier au DSI ou à un cadre supérieur le rôle de "CISO par intérim" est une pratique courante, ce qui signifie généralement que cette fonction ne bénéficie que du temps restant après l’exercice de ses véritables fonctions. Un responsable par intérim n’a pas d’autre fonction. C’est là toute la différence entre le fait de « couvrir » une fonction et le fait de « l’exercer ».
D'où cela vient-il ?
Trente ans d’expérience à la pointe de la sécurité et une vingtaine d’années de pratique concrète dans la réponse aux incidents et les opérations de sécurité, en tant qu’expert en la matière pour des organisations allant des start-ups aux gouvernements nationaux. J’ai été amené à intervenir dans des situations réelles à plusieurs reprises. La plupart des détails restent couverts par un accord de confidentialité ; ce que je peux révéler ici, je le fais.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- Recherche : Quelles preuves indiquent qu’un cyberincident est confiné ?
- En bref : Le RSSI vient de démissionner : comment garantir l’efficacité des décisions en matière de sécurité
- En bref : Que doit accomplir un nouveau RSSI au cours de ses 90 premiers jours ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Un RSSI à temps partagé qui définit les règles et prend les décisions difficilesUne direction de la sécurité à temps partiel : la stratégie, les décisions difficiles, le conseil d’administration et les questionnaires, tandis qu’une personne compétente de votre équipe gère les opérations quotidiennes.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- PDG, directeurs des opérations et directeurs juridiques qui viennent de perdre leur responsable de la sécurité et ont besoin que cette fonction soit assurée de manière adéquate.
- Les conseils d’administration et les comités d’audit qui souhaitent s’assurer que cette lacune est comblée par une personne responsable.
- Opérateurs de capital-investissement et de portefeuille dont l’entreprise figure parmi les leaders en matière de sécurité.