Arrêtez de jouer avec le rôle de RSSI. Corriger le leadership en matière de cybersécurité

Nous avons passé des années à dire aux responsables de la sécurité de l’information (RSSI) qu’ils devaient s’aligner davantage sur l’entreprise. Ils doivent comprendre la stratégie. Ils doivent parler la langue du conseil d’administration. Ils doivent établir des relations avec les chefs d’entreprise. Ils doivent traduire le cyber-risque en risque commercial.

Je crois de plus en plus que nous demandons au RSSI de résoudre un problème que son rôle n’a jamais été conçu pour résoudre.

L’alignement commercial n’est pas principalement un problème de communication. Il s’agit d’un problème de leadership et de conception organisationnelle.

Et si nous voulons vraiment résoudre ce problème, nous devrions cesser d’essayer de transformer chaque RSSI en chef de tout.

Le RSSI est devenu trop de choses

Le RSSI moderne doit être un technologue, un stratège, un responsable des risques, un leader en contact avec les régulateurs, un conseiller du conseil d’administration, un gestionnaire de crise, un responsable de la transformation et un partenaire commercial.

Parfois tout à la fois.

Il s’agit d’une gamme extraordinaire de responsabilités pour un seul rôle.

Le problème n’est pas que tous les RSSI sont incapables de développer des compétences plus larges. Beaucoup ont fait exactement cela, et les meilleurs d’entre eux sont devenus des chefs d’entreprise hautement crédibles. Mais beaucoup ont également connu des difficultés, et beaucoup luttent encore.

Le problème est structurel.

Le rôle du RSSI reste fondamentalement ancré dans le domaine de la technologie et de la sécurité de l’information, tout en étant de plus en plus amené à influencer les décisions dans l’ensemble de l’entreprise.

L’organisation souhaite que le RSSI soit responsable de la cybersécurité, mais s’attend également à ce qu’il influence les décisions commerciales sur lesquelles il n’a aucune autorité directe.

Cela crée une tension inhérente.

Le CSO est une proposition différente

Je préconise depuis un certain temps que les organisations devraient envisager un rôle de chef de la sécurité plus élevé.

Pas simplement comme un nouveau titre pour le RSSI. Pas comme un autre niveau de gestion. Et certainement pas dans le but de diminuer l’importance du RSSI.

Bien au contraire.

La cybersécurité constituerait un élément majeur de ce portefeuille de protection des entreprises, mais elle viendrait côtoyer des domaines tels que la protection des données, la continuité des activités, la résilience et, le cas échéant, la protection réglementaire.

Le rôle consiste à protéger la capacité de l’organisation à fonctionner, à être compétitive et à remplir ses obligations envers les actionnaires, les clients, les employés et, dans le cas des opérateurs critiques nationaux, la société dans son ensemble.

Cela nécessite un profil très différent de celui du technologue en sécurité traditionnel.

Cela nécessite une expérience en gestion, un jugement politique, une crédibilité auprès des autres dirigeants, une compréhension de la manière dont l’organisation fonctionne et gagne de l’argent.

Et surtout, le pouvoir de rassembler les différentes parties de l’entreprise lorsque leurs intérêts s’opposent inévitablement.

C’est là que l’alignement peut commencer à être conçu.

Donner au CSO le mandat de connecter l’organisation

Considérez le problème typique de cybersécurité.

La sécurité identifie une exposition importante. La technologie doit y remédier. Les opérations ne veulent pas de perturbations. L’entreprise souhaite protéger ses revenus. Le service juridique s’inquiète des conséquences réglementaires. Le risque veut que l’exposition soit documentée. La finance veut comprendre le coût.

Tout le monde est impliqué.

Mais personne n’a nécessairement pour mandat de concilier toutes ces perspectives.

Le RSSI peut expliquer le problème de sécurité. Le DSI peut expliquer les implications technologiques. Le chef d’entreprise peut expliquer les conséquences opérationnelles.

Mais à qui appartient la décision globale en matière de protection ?

Cela est fondamentalement différent de demander au RSSI de persuader tout le monde d’adopter la position de l’équipe de sécurité.

Il ne s’agit pas de créer un autre silo de sécurité

C’est pourquoi la distinction entre les deux rôles est importante.

Le RSSI doit conserver la responsabilité de la capacité technique de cybersécurité : architecture, ingénierie, opérations de sécurité, identité, gestion des vulnérabilités et autres disciplines nécessaires à la protection du patrimoine technologique.

Il s’agit de fournir le leadership au niveau de l’entreprise nécessaire pour que toutes ces capacités fonctionnent ensemble dans le contexte des priorités commerciales.

Cela crée une combinaison puissante.

Aucun des deux rôles ne doit prétendre être l’autre, et ensemble, ils peuvent créer quelque chose que le modèle actuel a souvent du mal à fournir : l’appropriation par les dirigeants du programme de protection des entreprises combinée à une véritable expertise technique.

L’OSC devrait s’approprier le « comment » et le « qui »

Depuis plus de deux décennies, le secteur de la cybersécurité est devenu de plus en plus sophistiqué pour expliquer ce que les organisations devraient faire.

Nous avons des cadres, des normes, des contrôles, des architectures, des technologies et des exigences réglementaires. Les conseils ne manquent pas sur les besoins à mettre en œuvre en matière de cyberprotection.

Pourtant, les organisations continuent de se battre avec le et le .

• Qui va prendre la décision ?
• À qui appartient le risque ?
• Qui doit changer ?
• Qui résoudra le conflit entre la sécurité et les priorités opérationnelles de l’entreprise lorsqu’ils apparaîtront ?
• Qui garantit que la transformation survivra au prochain changement de stratégie commerciale ?
• Qui fait avancer l’organisation lorsque des résistances apparaissent inévitablement ?

Ce sont des questions de leadership.

Le conseil d’administration a également un rôle à jouer

Ce modèle a une conséquence importante pour les conseils d’administration.

Les conseils d’administration devraient cesser de traiter la cybersécurité comme une question qui peut simplement être déléguée à un RSSI caché dans l’organisation.

La responsabilité du conseil d’administration est de tenir l’équipe de direction responsable de la protection de l’entreprise.

Cela signifie exiger de la clarté sur les rôles, les responsabilités et les résultats. Cela signifie se demander à qui appartient en fin de compte la protection des entreprises. Et cela signifie s’assurer que la structure exécutive donne à cet individu suffisamment d’autorité pour agir.

Cela pourrait également permettre au RSSI de réussir

Il existe un avantage supplémentaire dont on parle rarement.

Aujourd’hui, de nombreux RSSI passent énormément de temps à essayer d’opérer en dehors de leur domaine naturel d’expertise.

Ils naviguent dans les politiques du conseil d’administration, négocient les priorités commerciales, gèrent les attentes réglementaires, se disputent sur la propriété organisationnelle et tentent de parvenir à un consensus au sein de la direction.

Toutes ces activités sont importantes, mais elles peuvent se faire au détriment de la discipline technique et opérationnelle que la cybersécurité requiert encore fondamentalement.

Cela ne signifie pas renvoyer le RSSI dans un silo technique étroit : cela signifie donner à ce rôle une mission cohérente.

Le RSSI devient responsable du bon fonctionnement de la cybersécurité.

C’est une répartition des responsabilités beaucoup plus saine.

L’avenir du leadership en cybersécurité dépend peut-être moins du RSSI

Le secteur de la cybersécurité est devenu trop concentré sur l’évolution du rôle du RSSI.

Nous débattons des lignes hiérarchiques, des budgets, de l’accès au conseil d’administration, de la rémunération, de l’indépendance, des compétences techniques par rapport aux compétences stratégiques.

Tous ces débats ont de la valeur, mais nous posons peut-être la mauvaise question.

La question n’est peut-être pas : « Comment faire du RSSI un meilleur dirigeant d’entreprise ?

Peut-être est-ce la question suivante : « De quelle structure exécutive l’entreprise a-t-elle réellement besoin pour se protéger ?

Un cadre supérieur de confiance, faisant visiblement partie de l’équipe de direction, chargé de rassembler la cybersécurité et les autres dimensions de la protection de l’entreprise.

Une personne possédant suffisamment d’autorité et de sérieux personnel pour engager le PDG, le CIO, le CFO, le COO, le directeur juridique et les dirigeants des unités commerciales en tant que pairs.

Une personne capable de traduire le risque en décisions et les décisions en exécution.

Et une personne qui peut tenir l’organisation responsable de la protection de l’entreprise.

L’alignement n’est pas une compétence. C’est une structure

Vous ne concevez pas la cybersécurité et l’alignement commercial en demandant au RSSI de mieux communiquer.

Vous le concevez en créant la bonne structure de leadership :

• Vous établissez une propriété claire.
• Vous donnez à cette propriété une autorité suffisante.
• Vous séparez la protection de l’entreprise de la fourniture technique sans séparer les deux sur le plan organisationnel.
• Vous confiez au RSSI la responsabilité de l’exécution technique de la cybersécurité.
• Et vous donnez au CSO le mandat de relier cette exécution aux besoins de l’entreprise.

L’objectif n’est pas de créer une autre hiérarchie de sécurité. Il s’agit de créer un mécanisme de leadership et de gouvernance grâce auquel la sécurité devient partie intégrante de la façon dont l’organisation fonctionne et prend des décisions.

Car finalement, la cybersécurité n’existe pas pour protéger la technologie. Il existe pour protéger l’entreprise.

Et si nous croyons sincèrement cela, il est peut-être temps que nos structures organisationnelles le reflètent.