Transcription

• Speaker #0

  En 2025, j'ai encore eu un DRH qui m'a dit « Ah mais moi je ne suis pas concerné par votre ISO 27001, c'est de la sécurité informatique » . Et là, j'ai su qu'on démarrait déjà très mal. Heureusement, ce n'était pas lui le sponsor. Quel beau pléonasme. Parce que oui, on est en 2026, et non, tu ne peux plus faire l'amalgame entre sécurité informatique et sécurité de l'information. Bienvenue dans Compliance Without Coma, le podcast où on parle cybersécurité, gouvernance et leadership, sans jargon et surtout sans coma. Je suis Fabrice De Paepe et aujourd'hui, on va parler d'un mal très répandu, le DRH qui pense qu'il n'a rien à voir avec l'ISO 27001. Mais ça se guérit, tu vas voir comment. Oublie pas de t'abonner et de liker, ça permet de continuer de porter la voix du podcast et de bien démarrer l'année pour mes KPI. Alors tu as peut-être déjà été confronté à un RH qui bloquait. Souvent d'ailleurs c'est plus masculin que féminin. Donc je ne sais pas pourquoi, mais c'est souvent plus des hommes qui bloquent ou qui ont un mindset différent. Et tu veux savoir quoi lui dire pour faire avancer ton projet ? Tu frappes à la bonne porte. Allez viens, je t'explique la suite et ce que tu dois répondre à ce genre de personnes. Mais promets-moi... que tu vas les enfermer d'abord avec toi 30 minutes dans une salle de réunion pour décristalliser leurs croyances et les recristalliser. Alors ça commence par cette phrase, le DRH qui me dit « C'est ton ISO 27001, pas le mien. » Ensuite, d'abord, ce n'est pas mon ISO 27001, je ne l'ai pas écrite, je ne suis pas son papa, et je ne suis même pas fâché avec toi. On m'a juste demandé de t'aider en fait, parce que ton organisation veut être certifiée, pas la mienne. Et là, je sais qu'on part dans le mythe de la caverne de Platon d'emblée. J'ai un épisode dessus, il est dans le top 5 d'ailleurs, si tu me découvres aujourd'hui, va l'écouter. Alors, je vais te parler de la grande confusion entre sécurité informatique et sécurité de l'information. Alors oui, on est en 2026, et tu me confonds encore ça. Tu vois que je parle au moment des RH, c'est-à-dire que tu confonds sécurité informatique... les firewalls, les serveurs, les antivirus, l'époque où on téléchargeait des virus en 56 Kb de bande passante et qu'on les mettait sur les floppy disks. Donc, tu as au moins 30 ans de retard comme Mindset RH. Et si tu as moins de 30 ans tout court, tu n'as pas connu ce monde-là non plus. Deuxièmement, la sécurité de l'information, qu'est-ce que c'est ? On va parler de confidentialité, d'intégrité, de disponibilité, de... toutes les infos pertinentes pour ton organisation. Mais si tu penses également à l'allégorie de la caverne de Platon, c'est ça. Décristalliser, car t'es au fond de ta grotte et t'as jamais vu la lumière, mais que des reflets. Transformer, le chemin de la connaissance est long et périlleux. Et recristalliser, ça y est, t'es sorti, t'as vu le soleil. Tu as, et tu vas pouvoir aller le dire aux autres qui sont encore dans la grotte. Donc attention quand tu descends, c'est glissant et très escarpé. Bon. Là, je viens de te résumer l'épisode 5 du podcast sous un autre angle encore. Va l'écouter si tu me découvres aujourd'hui. Bon, parlons au RH. Et devine ce qui circule dans ton département, cher DRH. De l'information et de la sensible. Donc le DRH est directement concerné par au moins 8 contrôles ISO. La vérification préalable à l'embauche. En anglais, on dit screening, c'est plus court. Les clauses et conditions du contrat de travail. le processus disciplinaire, la responsabilité après la fin ou la modification du contrat de travail, la confidentialité et l'accord de non-divulgation, le travail à distance, merci Covid, et le mécanisme de signalement des événements de la sécurité de l'information. Et avec tout ce qui se passe avec Dora, NIS 2, si tu n'as pas dormi dans ta grotte pendant 30 ans, tu dois reporter les incidents de sécurité et les événements. Et les autres aussi. Il y a la sensibilisation. Bon, admettons que tu ne la choisisses pas. Il y a le double effet Kiss Kool, car elle est également dans la clause obligatoire de la clause 7. Ensuite, il y en a d'autres. Tu as le process JML, qui officiellement n'est pas dans l'ISO. J'en parle dans un podcast précédent également. Mais ce process regroupe ce que tu dois faire quand tu fais rentrer quelqu'un dans ton organisation, quand il bouge et quand il quitte. Ah oui, j'oubliais, tu travailles aussi probablement avec un secrétariat social. Et là... C'est un fournisseur et du RGPD. Donc deux autres aspects. Et RGPD, c'est devenu une loi, quelque part. Et la loi est au-dessus de l'ISO. Donc, échec et mat également. Et je m'arrête là. Car le reste va fortement dépendre de ton organisation. Donc, quand tu me dis que ça ne te concerne pas, c'est comme dire, je conduis une voiture, mais je ne suis pas concerné par le code de la route. Et puis, il y a les lois aussi. Parce que l'ISO ne remplace pas la loi. Tu peux décider de ne pas... pas appliquer un contrôle ISO, ok, fine. Mais tu ne peux pas décider d'ignorer la loi. GDPR, le droit du travail, la protection des données salariales, l'AI Act. Oui, tu devras former tout ton personnel en 2026. La transparence salariale, tes obligations comme employeur, et je suis loin d'être exhaustif. Donc, quand tu dis que tu n'es pas dans le périmètre, je veux bien, mais la loi, elle, elle t'y met de force. Et puis tu vas aussi participer, cher DRH, à des audits. Bienvenue dans la vraie vie. Parce qu'un SMSI ISO 27001, ce n'est pas juste des serveurs et des antivirus. C'est une culture. Et devine qui porte la culture ? Les RH, entre autres. Pas les firewalls. Bon, le CISO va t'aider un petit peu pour la culture, t'inquiète. Mais tu vas devoir expliquer à un auditeur comment tu évalues la compétence des gens, comment tu les formes, comment tu gères les accès quand ils arrivent, bougent et partent. même si ce n'est pas toi qui le fais en D2D, on est d'accord. Comment tu assures la confidentialité salariale ? Comment tu vas reporter les incidents, RH ou autres ? Comment tu analyses tes risques ? Et comment tu suis ta conformité ? Oui, tu es dans le SMSI, que tu le veuilles ou non. Et puis, on a aussi tous les process métiers. Merci, l'ISO 9001. La nouvelle version de 27001, donc la version 2022, adore un truc. Les process qui viennent du métier. Donc oui. on va venir regarder comment vous faites les choses dans les RH, pour de vrai, pas dans un PowerPoint. Et en guise de conclusion, cher DRH, cher DAF, cher manager, tu n'es pas dans la sécurité informatique, mais tu es au cœur de la sécurité de l'information. Et si tu veux être certifié, il va falloir accepter une idée simple. Le SMSI n'est pas un projet IT, c'est un projet d'entreprise, et tu en fais partie. Voilà, j'espère que je t'ai apporté assez de preuves pour ton platiste. Je compare le DRH à un platiste. La terre est plate, n'est-ce pas ? Et je te dis déjà à la semaine prochaine pour un nouvel épisode de Compliance Without Coma. Pense à liker, partager, commenter et surtout, tu en discutes avec un DRH platiste. À la semaine prochaine.