La cybersécurité entre dans les salles de conseil

La cybersécurité est de plus en plus souvent à l'ordre du jour des conseils d'administration, même si elle n'est pas toujours gérée efficacement. Les entreprises communiquent souvent sur des indicateurs techniques, comme le nombre d'incidents détectés, de vulnérabilités corrigées ou de sessions de formation, qui ne reflètent pas pleinement leur capacité à résister à une cyberattaque majeure.

Comprendre l'impact opérationnel

Le défi pour les administrateurs consiste à déterminer quelles activités de l'entreprise pourraient être perturbées, pendant combien de temps, et quelles en seraient les conséquences. La cybersécurité ne relève plus seulement de la technologie : elle concerne le risque, la continuité et la capacité à reprendre les activités après une attaque.

La réglementation change la perspective

De nouvelles réglementations, comme NIS2 et DORA, ont contribué à faire passer la cybersécurité d'une simple préoccupation technique à un risque d'entreprise plus large. Toutefois, ce changement peut entraîner une confusion, où la conformité est assimilée à une véritable gestion des risques.

La conformité ne garantit pas la résilience

Une entreprise peut respecter les exigences légales et disposer d'outils de sécurité performants, tout en peinant à réagir rapidement à une cyberattaque majeure. Elle peut également disposer d'une infrastructure solide tout en ne définissant pas clairement les priorités de rétablissement des opérations critiques en cas de crise.

Se concentrer sur des scénarios réalistes

La gouvernance de la cybersécurité devrait commencer par des scénarios concrets, comme la défaillance d'un système critique ou une fuite de données. Ces situations révèlent si les mesures de sécurité sont efficaces dans la pratique, et pas seulement en théorie.

Les discussions au conseil évoluent

Le dialogue entre les administrateurs et le directeur de la sécurité des systèmes d'information (RSSI) est en train de changer. Le nombre de menaces bloquées ou de vulnérabilités identifiées compte moins que la capacité à détecter rapidement les compromissions graves et à rétablir les opérations essentielles dans les délais requis.

Passer de la protection à la résilience

L'idée selon laquelle davantage de technologies de sécurité créeraient une défense infranchissable est dépassée. Les entreprises ont déployé de nombreux outils, mais cela n'a pas nécessairement amélioré leur capacité à réagir rapidement aux attaques. Le temps est un facteur critique lors d'un incident de cybersécurité.

Associer technologie et expertise humaine

La cyberdéfense moderne combine technologie, automatisation et expertise humaine. Des services comme la détection et la réponse gérées (Managed Detection and Response) aident en surveillant les systèmes en continu et en réagissant aux menaces. L'intelligence artificielle peut analyser rapidement les données, mais elle a toujours besoin du jugement humain pour évaluer les risques et décider des réponses à apporter.

Mesurer la maturité, et non seulement les dépenses

Les administrateurs ne devraient pas juger la maturité en cybersécurité au nombre d'outils ou à la hausse des budgets. La véritable maturité se mesure à la capacité de détecter les menaces, de mobiliser les expertises et de tester les plans de réponse dans des conditions réalistes.

Les décisions stratégiques exigent une évaluation des cyberrisques

Les grandes décisions de l'entreprise, comme une migration vers le cloud ou la signature de nouveaux contrats avec des fournisseurs, peuvent introduire de nouveaux cyberrisques. Ces risques doivent être pris en compte avant la prise de décision, et non après coup. La prochaine étape pour la maturité des conseils consiste à discuter de la cybersécurité non pas davantage, mais de manière plus stratégique et plus éclairée.

La véritable épreuve de la stratégie cyber

La véritable épreuve de la stratégie cyber d'une entreprise n'intervient pas lorsque tout semble fonctionner normalement. Elle survient lorsque les premières lignes de défense cèdent et que l'entreprise doit montrer qu'elle peut poursuivre ses activités ou les reprendre rapidement.