Transcription

• Speaker #0

  Imagine une entreprise. Elle possède un firewall, un pare-feu, et de dernière génération. Un SOC, Security Operating Center. Un EDR, Endpoint Detection and Response. Des audits réguliers, des formations de sensibilisation, des politiques de sécurité. Bref, elle a investi énormément dans la cyber, et pourtant, un jour, elle subit un incident majeur. Comment est-ce possible ? Parce que la cybersécurité n'est pas seulement un problème de technologie, c'est avant tout un problème de gouvernance. Bienvenue dans Compliance Without Coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001 sans plonger dans le coma. Je suis Fabrice De Paepe, et depuis plus de 20 ans, j'accompagne les organisations à mettre en place des systèmes de management qui fonctionnent vraiment. Et aujourd'hui, j'aimerais t'expliquer pourquoi la gouvernance est probablement le sujet le plus important, et pourtant le plus mal compris. Tout d'abord, coma breaker, sais-tu réellement faire la différence entre la gouvernance et le management ? Parce que ces deux mots sont souvent utilisés comme s'ils voulaient dire la même chose. alors qu'ils n'ont pas du tout le même rôle. La gouvernance répond à une question très simple. Est-ce que nous faisons les bonnes choses ? Le management répond à une autre question. Comment allons-nous bien faire ces choses ? Autrement dit, la gouvernance fixe la direction. Le management met le moteur en route. Bon, si tu préfères les définitions plus académiques, j'en ai aussi. Ne bouge pas. La gouvernance, en fait, elle va s'assurer que les besoins des parties prenantes sont évalués. Elle permet de définir les objectifs de l'entreprise, de donner une direction. Elle va prioriser. Elle prend les décisions. Et elle surveille ensuite les performances ainsi que la conformité. Le management, lui, planifie, déploie, vérifie, corrige. En d'autres mots, il exécute. Tiens, ça te rappelle pas quelque chose ? Plan, do, check, act. Mais oui, tu l'as, le fameux PDCA. Alors pourquoi a-t-on besoin de gouvernance ? Eh bien parce que beaucoup d'entreprises ne traitent pas les vrais problèmes. Elles répondent aux incidents, elles ajoutent des contrôles, elles achètent un nouvel outil. Mais elles ne remettent jamais en question les décisions qui ont conduit à cette situation. Les programmes de sécurité ne répondent plus aux besoins réels du métier. Les budgets sont toujours insuffisants. Ou parfois simplement investis au mauvais endroit. Et lorsque des projets échouent, je veux dire sur le plan de la sécurité, ce n'est généralement pas un échec technologique, c'est un échec de gouvernance. Et j'entends encore souvent cette réaction. Bah, c'est pas grave, on va simplement ajouter un contrôle supplémentaire. Non. Ajouter un contrôle sans corriger le problème de gouvernance, c'est aussi efficace que d'essayer d'arrêter un char avec une caisse à bananes. Le contrôle ne corrigera jamais une mauvaise décision prise en amont. Et en fait, la gouvernance ne consiste pas uniquement à protéger des serveurs. Elle doit protéger l'ensemble des ressources qui contiennent de l'info. Elle doit tenir compte de leurs valeurs. de leur criticité, de leur complexité, et surtout, elle doit être portée par le conseil d'administration, ou par le board, ça dépend. C'est là que commencent les vraies décisions. D'ailleurs, une petite astuce. Quand une entreprise décide de mettre en place un ISO 27001, observe un peu d'où vient la demande. Est-ce que ça vient du RSSI, du directeur IT ou la DSI, du CTO, ou bien du board ? La réponse te donnera souvent une très bonne indication sur la maturité de gouvernance de l'organisation. Parce qu'un Board mature ne voit pas ISO 27001 comme une simple certif. Il comprend qu'il s'agit avant tout d'un système de gouvernance. Et lorsque cette gouvernance existe, le Board devient ton meilleur allié. Vous parlez alors le même langage. Et si tu connais un peu ISO 27001, tu retrouves d'ailleurs cette logique dès le début de la norme. Comprends tes enjeux internes, comprends tes enjeux externes. comprendre les besoins des parties intéressées, définir une direction. Tout cela, c'est déjà de la gouvernance. Alors, point essentiel, le senior management est responsable de la gouvernance de la sécurité de l'information. La gouvernance doit créer de la valeur pour les parties prenantes. Et cela implique de faire des arbitrages, de négocier, de prendre des décisions. Toutes les attentes ne peuvent pas être satisfaites en même temps. La gouvernance consiste justement à choisir. Et au passage, spoiler alert, lorsque tu lis le mot management, dans une norme ISO ou dans une certification, ne pense pas uniquement au manager, pense à un processus. Un processus possède des entrées, des sorties, un responsable, des objectifs. des indicateurs, une certaine maturité. Et lorsque tu vois management, le management est un processus qui permet finalement d'exécuter efficacement, donc on atteint l'objectif, les décisions prises par la gouvernance. Cette manière de voir les choses aide énormément à comprendre les normes ISO. Et si tu ne devais finalement retenir qu'une seule chose de cet épisode, c'est celle-ci. Tu peux avoir les meilleurs experts, les meilleurs outils. Les meilleures procédures. Si personne ne décide des bonnes priorités, tu construis simplement une organisation très performante qui avance dans la mauvaise direction. Et c'est exactement pour cette raison que dans GRC, le G de gouvernance vient avant le R de risque et avant le C de conformité. C'est pas un hasard. Sans gouvernance, le reste n'est qu'une question d'exécution. Et si dans ton quotidien, tu te retrouves... Face à une décision de sécurité, tu sais, ce genre de situation où plusieurs options semblent toutes défendables, tu hésites entre sécurité, contraintes métiers, budget, conformité, expérience d'utilisateur ou tout simplement gouvernance. Tu te demandes quelles sont les bonnes questions à te poser avant de prendre une décision. C'est exactement pour ça que j'ai créé Compliance Without Comma Solo. Tu peux me soumettre ton cas concret, une architecture, une analyse de risque, une décision qui te fait hésiter. L'objectif n'est pas que je décide à ta place. L'objectif est de t'aider à prendre du recul, à voir ce que tu n'avais peut-être pas vu, et surtout, à te poser les bonnes questions avant de décider, parce qu'au fond, c'est exactement ça la gouvernance. Et avec l'académie, on va encore plus loin. Tu apprends à raisonner comme un consultant ou comme un CISO, tu comprends pourquoi une mesure est pertinente, mais aussi dans quel contexte elle ne l'est plus. Tu développes ton jugement, plutôt que d'appliquer des recettes toutes faites. Et tu progresses, grâce à des cas réels. Ce que je rencontre finalement sur le terrain depuis plus de 20 ans. Parce qu'au final, une certification valide des connaissances, ça on est d'accord, mais c'est ton raisonnement qui fera la différence. Le jour où quelqu'un te regardera et te demandera « Qu'est-ce qu'on fait ? » Si cet épisode t'a plu, partage-le avec un collègue qui répond un peu trop vite aux problèmes de sécurité, ou avec quelqu'un qui pense qu'une bonne réponse est plus importante qu'une bonne question. Et si tu veux vraiment soutenir le podcast, prends 30 secondes de ton temps s'il te plaît, laisse 5 étoiles sur Spotify ou Apple Podcast, Va jeter un oeil aussi à la version YouTube. La narration y est différente. Repose-le quand tu le vois apparaître dans ton fil LinkedIn, par exemple. Mais voilà. Merci d'être toujours plus nombreux à rejoindre les ComaBreaker. On se retrouve vendredi prochain déjà pour un nouvel épisode de Compliance Without Coma. D'ici là, continue à poser les bonnes questions avant de chercher les bonnes réponses et prends soin de toi, Coma Breaker.