Certains jours, on attend de vous que vous soyez magicien. Convoqué dans des réunions sans aucun contexte. Chargé de corriger des systèmes que vous ne contrôlez pas. Tenu responsable de pannes que vous n'avez pas causées. Censé « tout résoudre » en temps réel.
La cybersécurité n'est pas difficile parce que les menaces sont complexes. Elle est difficile parce que la moitié de l'organisation refuse de faire son travail.
Disons ce que tous les praticiens du secteur savent déjà.
Un CISO ne peut pas délivrer un programme de sécurité mature si :
- l'IT ne parvient pas à stabiliser son infrastructure,
- personne ne prend en charge l'hygiène de base,
- la gestion des changements est facultative,
- et l'organisation traite la sécurité comme un service de dépannage.
La sécurité n'est pas une couche magique que l'on saupoudre sur le chaos. C'est un système qui dépend du fait que les autres équipes fassent leur part.
Quand ces fondations s'effondrent, la sécurité s'effondre avec elles.
1. La cybersécurité échoue quand l'hygiène IT échoue
On ne peut pas bâtir un programme de sécurité sur :
- des serveurs non patchés,
- des actifs inconnus,
- des endpoints non gérés,
- des GPO défaillantes,
- des configurations incohérentes,
- des comptes orphelins,
- des systèmes non documentés.
Nombre d'organisations échouent sur les deux premiers contrôles SANS/CIS (les bases absolues), et prétendent pourtant disposer d'un « programme de sécurité complet ».
La sécurité ne peut pas compenser la négligence opérationnelle. Si l'IT faillit à l'hygiène, la cybersécurité devient du théâtre.
2. Le CISO n'est pas le responsable de chaque problème
D'une façon ou d'une autre, la sécurité se retrouve impliquée dans :
- les pannes réseau,
- les défaillances d'authentification,
- les problèmes de performance,
- les charges de travail cloud mal configurées,
- les erreurs de déploiement,
- les mauvais choix d'architecture.
Et quand les choses cassent ? Les outils de sécurité sont montrés du doigt.
Non pas parce qu'ils sont en cause, mais parce que personne ne veut mettre la pression sur les équipes qui ont créé le problème.
Le résultat : la cybersécurité devient le bouc émissaire de problèmes qu'elle n'a pas créés et ne peut pas résoudre.
3. La responsabilité disparaît quand le management évite les questions difficiles
Si le DSI ou le directeur IT refuse d'imposer la discipline, rien ne change.
On se retrouve avec :
- des ingénieurs qui ne dépannent jamais,
- des administrateurs qui ne documentent jamais,
- des équipes qui ne montent jamais en compétence,
- et des pannes récurrentes qui deviennent comme par magie « la faute de la sécurité ».
L'évitement du management = chaos opérationnel.
La sécurité est censée compenser, alors même qu'elle ne contrôle pas les équipes qui ont créé le risque.
Ce n'est pas de la gouvernance. C'est de l'abdication.
4. La gestion des changements est traitée comme une formalité administrative facultative
Dans les organisations matures, la gestion des changements prévient les pannes. Dans les organisations immatures, elle « ralentit les gens ».
Que se passe-t-il à la place ?
- les systèmes tombent en panne,
- les journaux disparaissent,
- les flux d'identité s'effondrent,
- la supervision devient aveugle,
- les incidents se multiplient.
Et qui est appelé pour nettoyer le chantier ? La sécurité.
Sans véritable gestion des changements, la réponse aux incidents devient une affaire de conjecture et toute votre posture de sécurité devient structurellement instable.
5. La sécurité ne peut pas répondre aux incidents sans accès. Point.
Les équipes de réponse aux incidents sont censées être des super-héros sans aucun outil.
Aucun droit d'administration. Aucune visibilité. Aucune journalisation. Aucun accès aux systèmes qu'ils doivent analyser. Et aucun privilège de réponse quand le chronomètre tourne.
Le management s'étonne ensuite que les investigations prennent une éternité.
On ne peut pas exiger de la rapidité quand on prive les équipes de réponse de toute capacité à répondre.
6. Des réunions partout, de l'exécution nulle part
Quand votre agenda est rempli de :
- appels d'alignement,
- appels de suivi,
- pré-réunions avant la vraie réunion,
- points de crise,
- « questions rapides »,
- revues de statut…
…il ne reste plus de temps pour piloter un programme de sécurité.
La gouvernance s'effondre sous le poids de son propre bruit.
Les responsables de la sécurité n'échouent pas parce qu'ils sont incompétents. Ils échouent parce qu'ils sont enterrés vivants sous les lourdeurs organisationnelles.
7. Le burnout n'est pas causé par les attaquants ; il est causé par les dysfonctionnements internes
L'épuisement ne vient pas des malwares, des ransomwares ou du phishing. Il vient de :
- mener les mêmes batailles internes chaque semaine,
- compenser les mêmes lacunes IT chaque mois,
- courir après des accès demandés depuis des années,
- expliquer des risques que personne ne veut prendre en charge,
- porter un travail qui devrait être partagé entre les équipes.
La sécurité est collaborative par conception. Mais la collaboration échoue quand chaque autre équipe suppose que la cybersécurité va « s'en occuper d'une façon ou d'une autre ».
Pour conclure
La cybersécurité ne peut pas réussir en vase clos. Elle réussit quand :
- l'IT prend en charge l'hygiène,
- le management impose la responsabilité,
- les équipes disposent des accès nécessaires pour faire leur travail,
- les changements sont contrôlés,
- et l'organisation comprend la notion de responsabilité partagée.
La sécurité n'est pas de la magie. C'est de la structure, de la discipline et du travail d'équipe. Et sans cette fondation, le CISO devient le réceptacle de tous les échecs de l'organisation.
La cybersécurité n'a pas besoin de plus d'outils. Elle a besoin de partenaires.
Si vous souhaitez construire une fonction cybersécurité qui fonctionne réellement, bâtie sur la gouvernance, la responsabilité et la responsabilité partagée, c'est exactement ce que nous enseignons dans les programmes Cyber Academy Lead Implementer. Rejoignez la prochaine session et pilotez la sécurité sans porter toute l'organisation sur vos épaules.