Transcription

• Speaker #0

  Bienvenue dans Compliance Without Coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001, sans te plonger dans le commun. Je suis Fabrice De Paepe, et depuis plus de 20 ans, j'aide les entreprises à construire des systèmes de management de la sécurité de l'information qui fonctionnent vraiment. Ici, je te partage ce que je vois concrètement sur le terrain, les erreurs, les bonnes pratiques, et surtout ce qui marche. Alors aujourd'hui, je vais te poser une question toute simple. Un pilote de ligne retourne régulièrement dans un simulateur. Un policier retourne au stand de tir. Un pompier participe à des exercices tout le temps. Un médecin continue à étudier des cas. Mais un professionnel de la GRC, il fait quoi pour continuer à s'entraîner ? Il renouvelle sa certif ? Il regarde un webinaire ? Il lit une nouvelle réglementation ? Il écoute mon podcast, tiens, très bonne idée d'ailleurs. Mais est-ce que cela suffit réellement pour entretenir ta capacité à agir sur le terrain ? Parce qu'en GRC, connaître une norme, c'est pas encore savoir l'appliquer. Il existe d'ailleurs une grande différence entre savoir et savoir-faire. Connaître une méthode de gestion de risque, ce n'est pas encore savoir-faire accepter un risque à une direction. Connaître les exigences d'un audit, C'est pas encore savoir réagir lorsque l'auditeur pose une question que personne n'avait anticipée. Et c'est de cela que je veux te parler aujourd'hui. Pas de la valeur des certifs, pas du prix des examens, pas du nombre de batchs que tu peux afficher sur ton LinkedIn. Non, je veux te parler de ce qui se passe après. Quand la formation est terminée, quand l'examen est réussi, quand tu arrives devant une vraie entreprise, avec de vraies personnes, de vraies contraintes. et rarement une réponse parfaite. Et donc la certification n'est que le permis de conduire. Une certification peut t'apporter énormément, on est d'accord. Elle peut te donner un cadre, une méthode, un vocabulaire. Elle peut structurer des connaissances que tu avais apprises de manière peut-être désordonnée. Elle peut te donner confiance, elle peut aussi rassurer, mais rassurer également un employeur, un client ou un partenaire. Mais une certif ne fait pas automatiquement de toi un praticien expérimenté. C'est un peu comme le permis de conduire. Le jour où tu obtiens ton permis, tu as démontré que tu pouvais conduire dans certaines conditions. Mais personne ne prétend que tu as déjà rencontré toutes les situations possibles. Tu n'as peut-être jamais conduit sous la neige. Tu n'as peut-être jamais eu un pneu qui éclate à 120 sur l'autoroute. Tu n'as peut-être jamais dû éviter un accident sur une autoroute avec un conducteur fantôme. Tu serres ta droite ou ta gauche. Tu possèdes en fait le socle minimum. Ensuite, tu apprends réellement à conduire en... conduisant. Et en GRC, c'est pareil. Tu peux réussir un examen sur ISO 27001, tu peux connaître sur le bout des doigts les clauses 4 à 10, tu peux expliquer la différence entre une menace et une vulnérabilité, mais le terrain va rapidement te poser des questions qui ne se trouvaient pas dans le syllabus. Comment convaincre une direction qui ne voit aucun intérêt dans ton projet ? Comment travailler avec un département qui refuse de te transmettre des preuves ? Comment gérer un risque important lorsque le budget n'existe pas ? Comment réagir quand deux experts arrivent à des conclusions complètement opposées ? Tu tranches ? Comment finalement décider lorsqu'une exigence réglementaire reste très ambiguë ? Ce sont ces moments-là qui construisent réellement la compétence. Et en GRC, pas de chance pour nous, il n'y a pas de cockpit standard. Le pilote peut retourner dans un simulateur parce que le cockpit peut être reproduit. Les instruments sont connus, les procédures sont définies, les comportements de l'appareil peuvent être modélisés. Bien sûr, chaque incident réel reste différent. Mais le simulateur peut créer des situations. Et ces situations sont suffisamment proches de la réalité pour observer les réactions du pilote. Mais en GRC, nous avons un problème supplémentaire. Je n'ai pas encore trouvé de cockpit standard. Chaque entreprise possède son propre environnement, ses métiers, ses systèmes. Ses clients, ses contrats, ses contrôles, ses réglementations, ses habitudes, sa culture, ses conflits internes. Parfois, tu ne les vois pas. Et ses propres définitions également, de urgent et critique. Deux entreprises peuvent être certifiées ISO 27001 et ne rien avoir en commun dans leur manière de travailler et avoir les mêmes contrôles dans les SOA. Tu sais, le Statement of Applicability. Chez l'une, la gestion des risques influence réellement les décisions. Chez l'autre. Le registre des risques est un fichier Excel que l'on ouvre deux jours avant l'audit. Chez l'une, la direction est impliquée. Chez l'autre, la direction signe la politique une fois par an et considère que son travail est terminé. Chez l'une, un incident déclenche une analyse. Chez l'autre, il déclenche d'abord une discussion pour savoir qui va devoir expliquer le problème. Comment créer un simulateur capable de reproduire tout cela ? C'est presque impossible. Mais cela ne signifie pas qu'on ne peut pas s'entraîner. Il faut simplement arrêter d'essayer de simuler toute l'entreprise. Il faut entraîner les capacités que nous utilisons dans toutes les entreprises. Par contre, ce qui reste identique d'une entreprise à l'autre, malgré que les sociétés sont différentes, ce sont les difficultés rencontrées par les professionnels GRC. Ça se ressemble souvent en fait. Les informations sont incomplètes, les personnes ne sont pas toujours disponibles, les priorités changent. Tout le temps. Le budget est limité. Ça, merci. Je suis toujours confronté à ça, en fait. Donc, il faut être très ingénieux. Les responsabilités sont floues. Souvent, en début de mission ou en début de projet. Les preuves sont parfois faibles. Les décisions sont rarement purement techniques. Et tu dois malgré tout avancer. Tu dois comprendre la situation. Poser les bonnes questions. Identifier ce qui manque. Ça, c'est le gap analysis. Séparer les faits. des opinions, proposer une décision, bah oui, sinon à quoi tu sers en tant que consultant ? Expliquer les conséquences, des choix ou des non-choix, et accepter que quelqu'un puisse ne pas être d'accord avec toi. Ça, ça m'arrive quand même souvent. C'est là qu'en fait se situe l'entraînement en GRC. Pas dans la reproduction exacte d'une entreprise, c'est pas possible, mais dans la confrontation régulière à l'incertitude, aux contraintes et aux arbitrages. Je vais te donner un exemple de situation en GRC. Imagine que tu arrives chez un client. Il te présente un risque que lui considère comme critique. Il souhaite que tu rédiges immédiatement un plan de traitement. Mais lorsque tu poses quelques questions, tu découvres que personne ne sait réellement quels actifs sont concernés. Les impacts ont été copiés d'une ancienne analyse. La menace est décrite de manière très vague. La probabilité a été notée 5 sur 5 parce que quelqu'un a lu un article inquiétant sur Internet. Et la solution proposée coûte 200 000 euros. Que fais-tu ? A. Tu complètes proprement le tableau. B. Tu suis la méthode sans poser de questions. C. Tu expliques que le risque est mal écrit ou mal décrit. D. Tu recommences l'analyse. Ça ressemble à un QCM. Allez, je te rajoute un petit E. Tu vas voir les métiers. Petit F. Tu proposes une mesure temporaire ? Petit G, tu demandes une décision de la direction ? Et je pourrais continuer ainsi encore et encore. Il n'existe pas nécessairement une seule bonne réponse, tu m'as compris. La réponse dépendra de l'organisation, de l'urgence, des impacts possibles, du budget et des informations disponibles. Mais on peut observer ta manière de travailler. Quelles questions poses-tu ? Quelles hypothèses refuses-tu d'accepter ? Quelles preuves demandes-tu ? Comment expliques-tu que le risque n'est pas encore suffisamment compris ? Comment évites-tu de bloquer complètement la situation ? Voilà, c'est là-dessus qu'il faut s'entraîner. Et on a aussi la curiosité. Pour moi, c'est une des premières capacités essentielles en GRC, c'est la curiosité. Pourtant, elle est rarement présente dans les référentiels de certification. On évalue si tu connais la méthode, si tu sais définir un risque, si tu reconnais une exigence, mais on évalue rarement ton envie réelle de comprendre. Face à une procédure, est-ce que tu vérifies uniquement qu'elle existe ? Ou est-ce que tu cherches à savoir si les personnes l'utilisent ? Face à un contrôle, est-ce que tu demandes une capture d'écran ? Ou est-ce que tu demandes aussi à voir ce qui se passe lorsqu'il échoue ? Face à un indicateur, les fameux KPI, est-ce que tu regardes la valeur ? Ou est-ce que tu demandes comment elle a été calculée ? La curiosité, c'est ce qui te fait poser la question suivante. Et puis encore une autre, pas pour compliquer inutilement la vie du client. mais pour comprendre ce qui se trouve derrière la première réponse. Un professionnel sans curiosité applique un référentiel. Un professionnel curieux comprend l'organisation. Et en GRC, tu ne peux pas protéger, auditer ou gouverner correctement ce que tu ne comprends pas. Il te faut aussi une certaine capacité d'abstraction et d'absorption. C'est aussi pour ça que j'ai fait le podcast. C'est, si tu veux, ta capacité à comprendre le principe derrière l'outil. Tu peux avoir appris à réaliser une analyse de risque avec une matrice particulière, mais que fais-tu si ton nouveau client utilise une autre méthode ? Tu peux avoir appris à créer un registre des actifs avec 20 colonnes, mais que fais-tu si tu arrives dans une PME qui n'a ni les ressources, ni la maturité pour la maintenir ? Tu peux aussi avoir utilisé un modèle de politique dans une banque, mais est-ce que tu vas copier le même document dans une société de 15 personnes ? Tu vois, la personne qui ne maîtrise que l'outil va tenter de reproduire exactement ce qu'elle connaît. Le même modèle, le même tableau, le même niveau de détail. La même manière de présenter les choses. Et la personne qui comprend le principe peut adopter la forme. Elle sait qu'il faut absolument préserver. Elle sait aussi ce qui peut être simplifié. Et c'est cela, la capacité d'attraction. Comprendre pourquoi une méthode fonctionne. Puis être capable de la reconstruire dans un environnement complètement différent. C'est une compétence fondamentale en GRC, je trouve, parce qu'aucun client ne ressemble exactement au précédent. Et la résilience professionnelle alors ? Je ne te parle pas ici de résilience de l'organisation, je te parle de la tienne de résilience. Que fais-tu lorsque ton projet n'avance pas ? Lorsque les personnes ne répondent pas ? Lorsque la direction change d'avis ? Lorsque le sponsor quitte l'entreprise ? Crois-moi, ça arrive. Lorsque tu découvres que les informations utilisées depuis trois mois sont en fait incorrectes ? Lorsque l'auditeur refuse son argument ? Lorsque le client te dit « Chez nous, ce n'est pas possible » , est-ce que tu bloques ? Est-ce que tu te braques ? Est-ce que tu répètes encore plus fort ? La même recommandation, où est-ce que tu cherches un autre chemin ? La résilience professionnelle, c'est pas accepter tout et n'importe quoi, c'est pas continuer à pousser un projet mort pendant 6 mois, c'est savoir absorber le choc, revenir au fait, comprendre ce qui a changé, adapter l'approche, et continuer à avancer sans perdre l'objectif. Un peu comme l'entreprenariat en fait. Tu me fermes la porte, ok, je crée une fenêtre, t'imagines, je dessine la fenêtre en 2D, et je trouve un moyen de rentrer. je trouve la solution. Ou comme l'eau, je m'adapte et je trouve toujours un chemin. Tu peux avoir mémorisé toutes les clauses d'une norme, si tu t'effondres à la première résistance d'une direction, tu vas avoir beaucoup de difficultés à mener un projet réel. Et le jugement ? Eh bien le professionnel GRC ne manque généralement pas de problèmes à identifier. Donne-moi accès à une entreprise pendant quelques jours et je pourrai probablement produire une liste de dizaines d'améliorations. Mais c'est pas cela qui apporte le plus de valeur ? La valeur consiste à savoir ce qui compte réellement, quel risque doit être traité immédiatement, quelle faiblesse est acceptable temporairement, quel document est indispensable, quelle formalité peut être simplifiée, quelle recommandation va réellement diminuer le risque, et laquelle va surtout produire plus de papier. Ça, c'est la compliance, mais avec du commun. Et le jugement consiste à prioriser, à choisir, à renoncer parfois, à accepter qu'on ne peut pas tout faire en même temps. C'est aussi ça, savoir expliquer pourquoi. Et alors, tu dois être à même de dire à la direction, voici les trois sujets sur lesquels vous devez agir maintenant, et être capable de défendre ce choix. Le jugement ne se mesure pas facilement avec une question ou une seule réponse est correcte, comme dans un examen. Il se développe par l'expérience, par la confrontation des idées, par la discussion avec d'autres professionnels, et surtout, par l'analyse de décisions passées. Ça, c'est ta propre expérience qui fait ça. Et puis, tu dois aussi être capable de savoir changer d'avis. C'est pas retourner sa veste, c'est pas faire de la girouette, mais dans beaucoup d'environnements professionnels, changer d'avis est perçu comme un signe de faiblesse. Tu avais recommandé une solution, une nouvelle information apparaît, et maintenant, tu devrais reconnaître que ton analyse initiale était incomplète. Mais c'est pas ta faute, t'avais pas toutes les infos à l'instant T. Et on t'a dit que c'était exhaustif. Donc, certaines personnes vont aussi continuer à défendre leur première position. L'escalade d'engagement, on appelle ça. Et plus tu as été loin dans le projet, plus ton ego, ou plutôt celui de la direction, va te faire continuer à dépenser de l'argent, alors que tout le monde sait, autour de la table, que ça va péter. Mais personne ne prend la décision d'arrêter, et on laisse le groupe décider. Comme ça, personne ne décide, et personne ne se mouille. Parce qu'en fait, elles ne veulent pas perdre la face. Elles ont déjà pressenti et présenté leurs recommandations à la direction, et elles ont peur de paraître, elles, incompétentes. Mais un bon professionnel GRC doit être capable de dire « Écoutez les gars, avec les informations disponibles à ce moment-là, ma conclusion était raisonnable. Maintenant que nous disposons de nouveaux faits, de nouveaux éléments, elle doit évoluer. » C'est un peu comme un enquêteur judiciaire. Alors pour moi, ce n'est pas une faiblesse. C'est exactement ce que nous attendons d'une approche fondée sur les risques. Si les faits changent, la décision peut changer. Peut changer, pas doit changer. s'accrocher à une réponse devenue fausse simplement parce qu'on l'a donnée en premier, ce n'est pas du leadership. C'est de l'entêtement. Et tu vois, l'IA ne remplace pas ces capacités-là. L'IA peut aujourd'hui t'aider à produire énormément de choses. Une politique, une procédure, un plan d'audit. J'en ai déjà fait un podcast d'ailleurs. Une liste de risques, une analyse réglementaire. Mais elle ne connaît pas ton organisation. Elle ne voit pas les enjeux de pouvoir et les jeux de pouvoir. Elle ne sait pas nécessairement qu'une personne ne dira jamais la vérité devant son manager. Elle ne comprend pas toujours qu'une procédure parfaite est inutilisable sur le terrain. Elle peut produire une réponse qui semble excellente, mais ça a à toi de décider si elle est adaptée. L'IA rend donc certaines compétences encore plus importantes. La curiosité pour vérifier, l'abstraction pour adapter, le jugement pour choisir, la résilience pour corriger et la capacité à changer d'avis lorsque la réponse produite ne tient pas face à la réalité. Donc l'IA peut t'aider à aller plus vite. Oui, et à travailler plus, en fait, parce que tu optimises, ça c'est un autre débat. Mais si ton raisonnement est faible, elle peut aussi t'aider à produire une mauvaise réponse beaucoup plus rapidement. Alors comment s'entraîner en GRC ? Tu vois que c'est compliqué d'avoir un simulateur. Nous n'avons peut-être pas de simulateur de cockpit, mais nous pouvons créer des habitudes d'entraînement. Alors la première habitude d'entraînement, pour moi, elle consiste à travailler sur des cas. Pas uniquement des cas parfaits, ça n'existe pas. Donc des cas où toutes les informations sont disponibles. Non. Tu peux avoir des situations ambiguës, un périmètre mal défini, un fournisseur qui refuse une preuve, il ne veut pas te donner son SOA, ni son scope, mais il dit que son DC est certifié. Bah, à toi de gérer. Tu pourrais avoir une direction qui ne veut pas traiter un risque, une non-conformité contestée, peu importe l'origine, une analyse d'impact incohérente, une politique qui existe, mais que personne ne connaît. Et entraîne-toi avec ça. Deuxième habitude d'entraînement, C'est confronter le raisonnement. Donc présenter sa décision à quelqu'un d'autre. Expliquer pourquoi on a choisi cette approche. Accepter les questions. Accepter les objections. Et éventuellement reconnaître qu'une autre solution était meilleure. Ou parce que tu n'as pas toutes les infos. D'ailleurs je dis toujours, je n'ai pas la vérité. J'ai une vérité, mais le business en a certainement d'autres également. Donc la troisième en fait, elle consiste à analyser ce qui n'a pas fonctionné. Nous parlons beaucoup des succès. beaucoup moins des projets qui ont bloqué, des recommandations ignorées, des audits mal préparés, des documents inutilisables. Pourtant, ces situations contiennent souvent les meilleurs enseignements. Enfin, aussi, il faut rester exposé à des environnements différents. Si tu travailles depuis 10 ans dans le même secteur financier, par exemple, avec les mêmes méthodes et les mêmes collègues, tu peux devenir extrêmement efficace dans ce contexte-là. Mais tu peux aussi perdre ta capacité à t'adapter. C'est aussi pour ça que j'adore travailler chez différents clients, de différents secteurs d'ailleurs, parce que je n'ai pas envie de mourir dans un secteur particulier. Et certes, je serais très efficace dans ce secteur-là, ce serait même très facile pour moi, mais j'ai l'impression que je perdrais ma capacité d'adaptation. Et je trouve ça super important en GRC. Et je tomberais alors dans le facile. Et avec du facile, ça c'est plutôt personnel, j'apprends plus rien, ou alors beaucoup moins vite. Donc, découvrir d'autres entreprises, d'autres approches, et d'autres contraintes, permet de continuer à développer sa capacité d'abstraction. Et la GRC, c'est comme un sport de contact, en fait. La GRC n'est pas une discipline que l'on maîtrise uniquement dans des livres, c'est un sport de contact. Tu dois parler à des personnes qui ne sont pas d'accord avec toi, ou qui ne t'aiment pas. La bonne chance. Aussi, comment tu fais avancer une personne qui ne t'aime pas ? et prends les décisions qui vont à l'encontre de la société, juste pour te dégager. Question d'examen, ça. Non, je déconne. Mais je peux te dire que chez certains clients, des gens ne m'aiment pas. Et alors ? Je m'en fiche. Note, j'aime bien savoir qui ne m'aime pas. Je ne juge pas. Mais ça me permet de savoir comment adapter mes voiles. Je vis bien avec ça. Ma mission n'est pas qu'ils m'aiment, ma mission est de les aider à atteindre leurs objectifs. On ne peut pas être aimé de tout le monde. Je vis très bien avec ça. Mais donc tu dois défendre une décision, une position, parfois annoncer de mauvaises nouvelles, gérer des intérêts opposés, rendre une expérience compréhensible, transformer un principe abstrait, Dieu sait que l'ISO est abstrait, en une action concrète. Et tu dois aussi parfois accepter que la meilleure solution théorique ne sera pas applicable immédiatement. J'en vois plein qui me disent « Ouais, on va utiliser une GED, gestion électronique de documents. » Oui, c'est super, avec des workflows, oui. Tu fais quoi quand le client a encore du papier ? Ça ne couvre pas tout, petit exemple. Mais tu peux apprendre les règles du sport dans un livre. Mais à un moment donné, tu dois entrer sur le terrain. On est d'accord, non ? Et si tu ne joues pas pendant plusieurs années, tu perds forcément certains réflexes. Et en fait, c'est exactement la raison pour laquelle j'ai créé Compliance Without Coma. À la fois la partie solo et la partie académie, pas pour te donner une certification supplémentaire. Tu n'as pas besoin de moi pour ça. Pas pour remplacer les formations, pas pour ajouter un batch de plus à ton profil. Solo, il est là. Lorsque tu rencontres une situation concrète et que tu ne veux pas rester seul avec ton problème, tu dois préparer une décision, défendre une approche, interpréter une exigence, répondre à un auditeur, adapter un modèle. Tu peux poser ta question et confronter ton raisonnement. Je suis là. Et au moins, tu auras un regard extérieur, avant de perdre parfois plusieurs jours dans une mauvaise direction. Je ne te dis pas que tu vas travailler trois jours dessus, mais tu peux avoir trois jours de délai. Tandis que si tu m'appelles, bah... Tu l'as quasiment tout de suite. Et l'académie, c'est l'entraînement continu. Il y a des cas, des retours d'expérience, des décisions, des discussions, des sujets qui évoluent, des situations pour lesquelles il n'existe pas toujours une réponse unique. Et là, on décrit l'ISO, tous ensemble. Et donc, l'objectif n'est pas seulement d'ajouter de nouvelles connaissances dans l'académie. L'objectif est de développer les capacités qui font réellement la différence sur le terrain. La curiosité, le jugement, la résilience, la capacité d'abstraction. la capacité à expliquer, et la capacité à remettre en question sa propre réponse. Donc les pilotes, eux, qu'est-ce qu'ils font ? Ils retournent au simulateur, les policiers retournent au tir. Mais les professionnels GRC, eux aussi, ils ont besoin d'un endroit pour entretenir leur réflexe. Donc on est d'accord, une certification peut te donner une base, elle peut structurer ton apprentissage, elle peut t'ouvrir des portes, mais elle ne peut pas prévoir toutes les situations que tu rencontreras en GRC. D'ailleurs, aucune entreprise ne ressemble exactement à une autre. On est d'accord. Aucun projet ne se déroule exactement comme prévu, pas qu'en GRC d'ailleurs, dans le bâtiment c'est pareil, et aucune méthode ne peut remplacer totalement le jugement professionnel. Donc la vraie compétence apparaît lorsque les informations sont incomplètes, lorsque la priorité s'oppose, lorsque la première solution, celle à laquelle on pense tous, ne fonctionne pas, lorsque tu dois adapter ton approche, lorsque tu dois expliquer une décision difficile. Et lorsque tu dois reconnaître que, oui, tu dois changer d'avis. Donc la question n'est donc pas seulement qu'as-tu appris pour obtenir ta certification ? La vraie question est, que fais-tu aujourd'hui pour continuer à t'entraîner ? Parce qu'un pilote ne considère pas que son dernier examen suffit pour toute sa carrière. Et en GRC, nous ne devrions peut-être pas le considérer non plus. Et toi, comme un breaker, c'est quoi ton simulateur ? Comment entretiens-tu ta compétence entre deux formations ? Est-ce que tu confrontes régulièrement tes décisions ? Est-ce que tu analyses tes erreurs ? Est-ce que tu travailles encore ta curiosité, ton jugement, ta capacité d'adaptation ? Dis-le-moi en commentaire ou envoie-moi directement ta réponse. Et si tu veux arrêter de rester seul devant les cas que les manuels ne prévoient pas, tu peux rejoindre Compliance Without Comma Solo ou Académie. Et si cet épisode a été utile, partage-le avec quelqu'un qui possède beaucoup de certifications, mais qui a peut-être oublié que la compliance s'entretient aussi sur le terrain. prends 30 secondes pour mettre 5 étoiles sur Spotify ou Apple Podcast, c'est super important pour moi, ça m'aide, ça me motive aussi et ça aide énormément le podcast, et qui sait, peut-être qu'on sera encore 3ème en Bulgarie tu peux aussi me retrouver sur LinkedIn, Youtube, Instagram et TikTok, et je te dis à vendredi prochain déjà, pour un nouvel épisode de Compliance with Dotcoma, d'ici là prends soin de toi comme un breaker, et rappelle-toi la certification te donne peut-être le permis, mais elle ne conduit pas à ta place