Pour les organisations recrutant des cadres supérieurs en sécurité sans contrainte géographique
Un responsable de la sécurité de haut niveau qui travaille à distance, et ce depuis des années
La direction de la sécurité est un métier qui s’exerce à distance depuis bien plus longtemps que la plupart des autres. Les incidents ne se produisent pas au bureau, les centres d’opérations fonctionnent 24 heures sur 24 à travers les fuseaux horaires, et les personnes dont vous avez besoin à 3 h du matin se trouvent où qu’elles soient. J’ai dirigé les activités de sécurité pour des organisations dont je ne partageais que rarement les locaux, et j’ai appris ce qui doit être mis en place pour que cela fonctionne, ainsi que ce qui doit impérativement se faire en présentiel.
Ce qui fonctionne à distance, et ce pour quoi je me rends chez vous
La quasi-totalité du poste s’exerce à distance : les opérations, la cellule de crise, les décisions relatives aux fournisseurs et aux outils, le recrutement, les indicateurs de performance, les entretiens individuels, les briefings écrits. Les seules tâches qui ne s’effectuent pas à distance sont celles où la confiance se construit ou est mise à l’épreuve : les premières semaines avec une nouvelle équipe, la réunion du conseil d’administration après un incident grave, la visite d’une usine ou d’un centre de données, la conversation difficile avec un dirigeant qui s’oppose au confinement. Je planifie ces moments-là et je me déplace pour y assister. L’accord conclu au préalable précise la fréquence et les dates.
Comment je dirige une fonction de sécurité décentralisée
Des décisions consignées par écrit, afin que personne n’ait à se souvenir de ce qui a été dit lors d’un appel. Un rythme sur lequel l’équipe peut compter, avec un créneau horaire fixe pendant lequel je suis disponible pour toute question. Des pouvoirs de décision explicites, afin que la personne qui constate un problème à minuit sache ce qu’elle est autorisée à faire sans me réveiller, et sache que je préfère être réveillé plutôt que d’en prendre connaissance plus tard. Les simulations se déroulent à distance, car l’incident réel se produira de la même manière. Et un dispositif opérationnel permettant de suivre ce qui se passe sans avoir à se déplacer sur le terrain, ce qui constitue une bonne discipline, que le responsable soit à distance ou non.
Les limites de l’honnêteté
Le leadership à distance échoue dans les organisations qui assimilent la présence à l’engagement, ou dont la culture fait que les décisions se prennent dans les couloirs. Il échoue également si le dirigeant considère le travail à distance comme une excuse pour s’absenter. Je souhaiterais comprendre comment votre équipe de direction générale prend réellement ses décisions avant que l’un ou l’autre d’entre nous ne s’engage.
D'où cela vient-il ?
Trente ans d’expérience à la pointe de la sécurité, dont une vingtaine consacrés à la réponse aux incidents et aux opérations de sécurité sur le terrain, au service d’organisations allant des start-ups aux gouvernements, souvent à distance et sur plusieurs fuseaux horaires. La plupart des détails sont couverts par un accord de confidentialité. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment savoir si votre SOC est réellement efficace ?
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- En bref : Qui est responsable d’un incident lorsque les services informatiques et la sécurité ne parviennent pas à s’entendre ?
- En bref : ce qu’un PDG doit faire dans l’heure qui suit une violation de sécurité
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Un RSSI à temps partagé qui définit les règles et prend les décisions difficilesUne direction de la sécurité à temps partiel : la stratégie, les décisions difficiles, le conseil d’administration et les questionnaires, tandis qu’une personne compétente de votre équipe gère les opérations quotidiennes.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Organisations recrutant un RSSI ou un directeur de la sécurité dont le meilleur candidat ne réside pas à une distance permettant de se rendre au travail quotidiennement.
- Entreprises décentralisées dont la fonction de sécurité est déjà exercée à distance et qui ont besoin d’un responsable sachant comment la diriger.
- Les conseils d’administration et les cabinets de recrutement envisagent le leadership à distance pour un poste de haut niveau dans le domaine de la sécurité.