{"id":20095,"date":"2023-02-09T12:00:43","date_gmt":"2023-02-09T10:00:43","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=20095"},"modified":"2023-02-09T12:34:08","modified_gmt":"2023-02-09T10:34:08","slug":"business-soc-communications","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/business-soc-communications\/20095\/","title":{"rendered":"Am\u00e9liorer la communication entre les \u00e9quipes InfoSec et les cadres dirigeants"},"content":{"rendered":"

Aucune entreprise ne peut fonctionner correctement s\u2019il n\u2019y a pas une bonne coop\u00e9ration entre la direction g\u00e9n\u00e9rale et les sp\u00e9cialistes responsables de diff\u00e9rents secteurs de l\u2019entreprise. \u00c9videmment, cette coop\u00e9ration exige une bonne communication, ce qui peut parfois s\u2019av\u00e9rer difficile puisque les cadres et les sp\u00e9cialistes travaillent dans des bulles d\u2019information diff\u00e9rentes et ne parlent pas la m\u00eame langue. Les cadres dirigeants pensent au profit, aux co\u00fbts et au d\u00e9veloppement alors que le service de s\u00e9curit\u00e9 informatique ne fait pas exception et pense \u00e0 ces propres t\u00e2ches techniques.<\/p>\n

Lors d\u2019une \u00e9tude r\u00e9cente<\/a> r\u00e9alis\u00e9e par nos coll\u00e8gues, ils ont d\u00e9couvert que les probl\u00e8mes persistent m\u00eame si les cadres dirigeants et les sp\u00e9cialistes en s\u00e9curit\u00e9 informatique arrivent \u00e0 mieux se comprendre et que la situation s\u2019am\u00e9liore. En r\u00e9alit\u00e9, 98 % des dirigeants interrog\u00e9s ont reconnu avoir d\u00e9j\u00e0 eu un probl\u00e8me de communication avec le d\u00e9partement de s\u00e9curit\u00e9 informatique. Quant aux cons\u00e9quences directes de cette mauvaise compr\u00e9hension, 62 % ont reconnu qu\u2019elle a provoqu\u00e9 au moins un incident de s\u00e9curit\u00e9 alors que 61 % ont signal\u00e9 des effets n\u00e9gatifs sur l\u2019entreprise (pertes, d\u00e9parts d\u2019employ\u00e9s importants ou d\u00e9gradation de la communication entre les \u00e9quipes). D\u2019autre part, les professionnels en s\u00e9curit\u00e9 n\u2019ont pas toujours conscience des probl\u00e8mes\u00a0: 42 % des dirigeants aimeraient que les experts en s\u00e9curit\u00e9 communiquent plus clairement, mais 76 % de ces m\u00eames sp\u00e9cialistes pensent que tout le monde les comprend parfaitement\u00a0!<\/p>\n

Beaucoup de probl\u00e8mes d\u00e9coulent du langage utilis\u00e9\u00a0: les responsables ne comprennent g\u00e9n\u00e9ralement pas tous les termes techniques utilis\u00e9s par l\u2019\u00e9quipe de s\u00e9curit\u00e9 informatique. La terminologie n\u2019est pas le seul probl\u00e8me de communication entre les dirigeants et les sp\u00e9cialistes en s\u00e9curit\u00e9. En r\u00e9alit\u00e9, ce n\u2019est pas non plus le probl\u00e8me principal. Essayons de comprendre tous les autres probl\u00e8mes avec l\u2019aide de Patrick Miller, directeur associ\u00e9 \u00e0 Archer International, et de son discours<\/a> prononc\u00e9 lors de la Kaspersky Industrial Cybersecurity Conference 2019<\/em>.<\/p>\n

\u00a0<\/p>\n

Une approche diff\u00e9rente du risque<\/h2>\n

La plupart des sp\u00e9cialistes en s\u00e9curit\u00e9 informatique ont un seuil de tol\u00e9rance au risque tr\u00e8s bas. C\u2019est plut\u00f4t le contraire pour une entreprise\u00a0: il n\u2019y a pas de b\u00e9n\u00e9fice sans risque, et les dirigeants sont souvent pr\u00eats \u00e0 prendre plus de risques. Pour le PDG, l\u2019objectif principal est de trouver l\u2019\u00e9quilibre parfait entre les pertes et les profits potentiels. Quant \u00e0 l\u2019\u00e9quipe de s\u00e9curit\u00e9 de s\u00e9curit\u00e9, aussi \u00e9trange que cela puisse para\u00eetre, son v\u00e9ritable objectif n\u2019est pas d\u2019\u00e9liminer toutes les menaces mais d\u2019aider l\u2019entreprise \u00e0 gagner autant d\u2019argent que possible.<\/p>\n

Pour les entreprises, les risques peuvent \u00eatre accept\u00e9s, \u00e9vit\u00e9s, r\u00e9duits ou transf\u00e9r\u00e9s (aux assurances, par exemple). Les responsables vont essayer de prendre autant de risques que possible afin d\u2019augmenter les b\u00e9n\u00e9fices. Pour eux, la s\u00e9curit\u00e9 informatique n\u2019est qu\u2019une petite part du tableau\u00a0: il est probable qu\u2019ils n\u2019aient m\u00eame pas envie d\u2019y penser.<\/p>\n

Par cons\u00e9quent, les sp\u00e9cialistes en s\u00e9curit\u00e9 informatiques ne devraient pas chercher \u00e0 corriger toutes les failles mais devraient essayer d\u2019identifier et de neutraliser les menaces qui pourraient vraiment provoquer d\u2019importants d\u00e9g\u00e2ts. C\u2019est pourquoi ils doivent aussi se demander comment expliquer aux responsables pourquoi ces d\u00e9penses valent le coup.<\/p>\n

Le FUD ne fonctionne pas<\/h2>\n

L\u2019utilisation de certaines techniques comme le FUD (peur, incertitude et doute) pour convaincre les responsables ne va pas fonctionner puisque l\u2019entreprise ne paie pas le service de s\u00e9curit\u00e9 informatique pour avoir peur. Les sp\u00e9cialistes sont l\u00e0 pour r\u00e9soudre des probl\u00e8mes, et dans l\u2019id\u00e9al personne ne devrait les avoir remarqu\u00e9s.<\/p>\n

L\u2019autre probl\u00e8me du FUD est que les responsables sont d\u00e9j\u00e0 assez stress\u00e9s simplement parce que la moindre erreur pourrait aussi \u00eatre leur derni\u00e8re erreur\u00a0: n\u2019importe qui saisirait l\u2019occasion pour prendre leur place, ils ne font pas vraiment confiance aux autres, etc. Inutile de leur ajouter d\u2019autres facteurs de crainte.<\/p>\n

Enfin, aucun patron n\u2019aime montrer qu\u2019il ignore quelque chose. Ainsi, toute tentative qui cherche \u00e0 bombarder les responsables de termes qui ont l\u2019air pr\u00e9tentieux est \u00e9videmment vou\u00e9e \u00e0 l\u2019\u00e9chec.<\/p>\n

Pensez comme les cadres dirigeants<\/h2>\n

L\u2019objectif principal de n\u2019importe quelle entreprise commerciale est de gagner de l\u2019argent. Tous les responsables abordent n\u2019importe quel sujet de cette fa\u00e7on. C\u2019est ce qu\u2019ils savent faire. Ainsi, si un sp\u00e9cialiste en s\u00e9curit\u00e9 informatique les aborde et leur dit qu\u2019 \u00ab\u00a0une menace a \u00e9t\u00e9 d\u00e9tect\u00e9e et qu\u2019il faut investir X euros pour la neutraliser\u00a0\u00bb le responsable comprend \u00ab\u00a0si nous prenons un risque et que nous ne faisons rien, nous allons \u00e9conomiser X euros\u00a0\u00bb. Cela peut sembler \u00e9trange mais c\u2019est exactement comme \u00e7a que les entreprises pensent.<\/p>\n

Pour le responsable, cela s\u2019explique principalement par le fait que son action (ou inaction) entra\u00eene des chiffres financiers positifs, m\u00eame s\u2019il s\u2019av\u00e8re que ce chiffre positif est la diff\u00e9rence entre deux nombres n\u00e9gatifs. Ainsi, le sp\u00e9cialiste doit d\u00e9crire la situation au responsable de fa\u00e7on \u00e0 ce qu\u2019il puisse bien la comprendre : \u00ab\u00a0Il y a une menace avec une probabilit\u00e9 de Z % de provoquer Y euros de d\u00e9g\u00e2ts pour l\u2019entreprise. Nous devons d\u00e9penser X euros pour la neutraliser.\u00a0\u00bb Cette \u00e9quation parle aux dirigeants d\u2019entreprise.<\/p>\n

\u00c9videmment, il n\u2019est pas toujours possible de pr\u00e9dire de fa\u00e7on r\u00e9aliste les \u00e9ventuels d\u00e9g\u00e2ts. Dans ce cas, vous pouvez utiliser des valeurs connues comme le temps d\u2019arr\u00eat (pendant lequel les cons\u00e9quences de l\u2019incident seront \u00e9limin\u00e9es), la quantit\u00e9 et le type de donn\u00e9es qui pourraient \u00eatre perdues ou en danger, les effets au niveau de la r\u00e9putation, etc. L\u2019entreprise peut ensuite convertir ces renseignements en chiffres compr\u00e9hensibles gr\u00e2ce aux sp\u00e9cialistes pertinents. C\u2019est encore mieux si l\u2019\u00e9quipe de s\u00e9curit\u00e9 informatique peut le faire elle-m\u00eame puisque cela permettrait de gagner beaucoup de temps.<\/p>\n

Naturellement, il se pourrait que le r\u00e9sultat de l\u2019\u00e9quation ne soit pas en faveur de la s\u00e9curit\u00e9 informatique. Il ne s\u2019agit pas toujours d\u2019un probl\u00e8me de communication. Peut-\u00eatre que les responsables ont tr\u00e8s bien entendu et compris de quoi il s\u2019agit mais qu\u2019ils pr\u00e9f\u00e8rent prendre le risque parce que c\u2019est plus rentable. Ce peut \u00eatre pour cette raison ou parce que le sp\u00e9cialiste en s\u00e9curit\u00e9 informatique n\u2019a pas su d\u00e9fendre son point de vue et les convaincre parce qu\u2019il n\u2019a pas appris \u00e0 penser comme eux.<\/p>\n

Le plus important est de bien savoir quel est le r\u00f4le du service de s\u00e9curit\u00e9 informatique au sein de l\u2019entreprise et quel b\u00e9n\u00e9fice il g\u00e9n\u00e8re. Cela permet de mieux \u00e9valuer et de mieux classer les \u00e9ventuelles menaces, de vous faire gagner du temps et d\u2019\u00e9viter aux autres d\u2019en perdre ou de stresser \u00e0 propos d\u2019initiatives qui ne m\u00e8neront \u00e0 rien et, de fa\u00e7on g\u00e9n\u00e9rale, de travailler plus efficacement.<\/p>\n

Le facteur temps et les dates limites<\/h2>\n

Le facteur temps est crucial pour l\u2019\u00e9quipe de s\u00e9curit\u00e9\u00a0: il faut imm\u00e9diatement se prot\u00e9ger contre certaines menaces. Le temps est aussi important pour les entreprises puisque le temps c\u2019est de l\u2019argent. Vous pouvez d\u00e9penser X euros aujourd\u2019hui mais, si vous le faites dans un mois, et avec les personnes comp\u00e9tentes, ces X euros pourraient devenir X*n euros et il restera X*(n-1) euros sur le compte bancaire.<\/p>\n

M\u00eame si les responsables comprennent bien le probl\u00e8me et savent qu\u2019il doit \u00eatre r\u00e9solu, ils ne vont pas se pr\u00e9cipiter et d\u00e9penser de l\u2019argent sauf s\u2019ils ont une date butoir claire et justifi\u00e9e. Il faut aussi leur communiquer qu\u2019au-del\u00e0 de la date \u00e9tablie, ils deviennent automatiquement responsables du risque indiqu\u00e9 puisque l\u2019\u00e9quipe de s\u00e9curit\u00e9 informatique ne peut s\u2019occuper que des cons\u00e9quences.<\/p>\n

Cette date limite devrait \u00eatre aussi r\u00e9aliste que possible. Si l\u2019\u00e9quipe de s\u00e9curit\u00e9 informatique r\u00e9clame toujours une d\u00e9cision qui aurait d\u00fb \u00eatre prise \u00ab\u00a0hier\u00a0\u00bb, les responsables ne vont plus l\u2019\u00e9couter et vont la consid\u00e9rer comme l\u2019enfant qui criait au loup. D\u2019autre part, si elle dit toujours qu\u2019ils pourront \u00ab\u00a0d\u00e9cider dans l\u2019ann\u00e9e\u00a0\u00bb, l\u2019\u00e9quipe sera vir\u00e9e d\u00e8s le premier incident (ou directement). L\u2019\u00e9quipe doit \u00eatre capable d\u2019\u00e9valuer la situation, de mettre en avant les risques et d\u2019\u00e9tablir une date limite r\u00e9elle.<\/p>\n

Il convient de souligner que tr\u00e8s peu d\u2019entreprises gardent simplement de l\u2019argent sur leurs comptes et attendent que le responsable de la s\u00e9curit\u00e9 informatique vienne voir les responsables pour leur dire comment le d\u00e9penser d\u00e8s que possible. Les fonds qui permettront de r\u00e9soudre le probl\u00e8me devront \u00eatre emprunt\u00e9s de quelque part, ou retir\u00e9s d\u2019un autre projet, et ce processus prend du temps. D\u2019ailleurs, pour comprendre quels sont les d\u00e9lais, il est essentiel de savoir comment l\u2019entreprise fonctionne et est financ\u00e9e.<\/p>\n

Faites du marketing<\/h2>\n

Pour communiquer efficacement, les sp\u00e9cialistes en s\u00e9curit\u00e9 informatique doivent avoir quelques connaissances en marketing avant de vendre leurs solutions au(x) cadre(s) dirigeant(s)\u00a0:<\/p>\n