Quand le travail de sécurité existe, mais pas la confiance dans la sécurité

Aujourd’hui, la plupart des organisations font déjà de la sécurité de l’information.

Elles tiennent des inventaires d’actifs. Elles lancent des analyses de vulnérabilités. Elles revoient les droits d’accès. Elles rédigent des politiques.

Et pourtant, ce moment inconfortable survient toujours :

« Pouvons-nous prouver que cela était maîtrisé au dernier trimestre ? »

Silence.

Non pas parce que le travail n’a pas été fait, mais parce que ce travail est dispersé.

Les courriels relatifs à la sécurité restent dans les boîtes de réception. Les registres des risques résident dans des tableurs. Les contrôles sont consignés dans des documents. Les responsabilités, elles, sont dans la tête des personnes.

Ainsi, lorsqu’un audit, un incident ou un questionnaire client se présente, les équipes ne vérifient pas la sécurité : elles la reconstituent.

C’est dans cet écart entre l’exercice de la sécurité et sa démonstration que de nombreux systèmes de management de la sécurité de l’information (SMSI) échouent en pratique.

Le véritable problème n’est pas l’absence de contrôles

C’est l’absence de continuité

En théorie, un SMSI est simple : identifier les actifs, évaluer les risques, appliquer des contrôles, procéder à des revues régulières.

La sécurité est continue, alors que la documentation est périodique.

Les équipes évaluent les risques au lancement des projets, mais pas lorsque les environnements évoluent. Les actifs sont recensés lors de leur mise en service, mais pas lorsque le shadow IT se développe. Les contrôles sont définis, mais leur fonctionnement n’est pas visible dans le temps.

L’organisation devient alors conforme à certains instants, sans être sécurisée dans la durée.

Un logiciel de SMSI n’est utile que s’il change la manière dont le travail de sécurité s’effectue au quotidien, et pas seulement en période d’audit.

Ce qu’un SMSI devrait réellement permettre

1. La sécurité devrait suivre l’actif, pas le tableur

Lorsqu’une vulnérabilité apparaît, les questions essentielles sont toujours opérationnelles :

• Quel système est concerné ?

• Qui en est le propriétaire ?

• Quelles données traite-t-il ?

• Quel risque en découle ?

Si les réponses exigent trois réunions et deux exports, le SMSI relève de la documentation, non de la gestion.

Un SMSI opérationnel relie les actifs, les risques, les contrôles et les responsabilités, de sorte que l’impact soit immédiatement visible, et non reconstitué ultérieurement.

2. La preuve devrait être un produit dérivé du travail

Les équipes sécurité consacrent souvent plus de temps à prouver leurs actions qu’à les réaliser.

Une approche mature du SMSI signifie :

vous ne préparez pas les preuves. Elles s’accumulent automatiquement au fil du travail.

Revues, validations, évaluations des risques et vérifications de contrôles laissent une trace sans que quiconque ait à « produire une preuve d’audit » de manière délibérée.

3. La sécurité est transverse : le système devrait le refléter

La sécurité de l’information n’incombe pas uniquement à la DSI :

• Les RH déclenchent les événements du cycle de vie des identités

• Les achats introduisent des risques fournisseurs

• Les métiers classifient les données

• La direction juridique définit les obligations

Si la sécurité repose sur un service unique qui collecte les mises à jour auprès des autres, elle devient périodique. Si chaque équipe travaille au sein d’une structure partagée, elle devient continue.

4. La surveillance compte davantage que la documentation

De nombreuses organisations disposent de politiques parfaitement rédigées et subissent malgré tout des incidents.

Car la véritable question n’est pas :

« Le contrôle a-t-il été conçu ? »

Mais :

« Le contrôle fonctionnait-il mardi dernier ? »

C’est la visibilité continue, et non l’exhaustivité des politiques, qui définit la maturité de la sécurité opérationnelle.

Où se situent des outils comme Swiss GRC

Lorsque la sécurité n’existe que sous forme documentaire, la confiance repose sur la mémoire. Lorsqu’elle existe sous forme de système, la confiance repose sur des enregistrements.

Cette différence se révèle lors :

• des audits

• des incidents

• des diligences menées par les clients

• des revues des autorités de supervision

Les organisations ne rencontrent pas de difficultés parce qu’elles manquent de travail de sécurité. Elles en rencontrent parce qu’elles n’en ont pas de visibilité dans le temps.

Un SMSI efficace ne rend pas une entreprise « plus sécurisée » du jour au lendemain. Il rend la sécurité observable, et dès lors qu’une chose est observable, elle devient pilotable.

C’est généralement à ce moment-là que la sécurité cesse d’être vécue comme un projet annuel pour fonctionner comme une activité quotidienne.

Le résultat concret

Lorsque la sécurité n’existe que sous forme documentaire, la confiance repose sur la mémoire. Lorsqu’elle existe sous forme de système, la confiance repose sur des enregistrements.

Cette différence se révèle lors :

• des audits

• des incidents

• des diligences menées par les clients

• des revues des autorités de supervision

Les organisations ne rencontrent pas de difficultés parce qu’elles manquent de travail de sécurité. Elles en rencontrent parce qu’elles n’en ont pas de visibilité dans le temps.

Un SMSI efficace ne rend pas une entreprise « plus sécurisée » du jour au lendemain. Il rend la sécurité observable, et dès lors qu’une chose est observable, elle devient pilotable.

C’est généralement à ce moment-là que la sécurité cesse d’être vécue comme un projet annuel pour fonctionner comme une activité quotidienne.