Quels sont les coûts engendrés par un mauvais pilotage cyber ?

Un pilotage cyber de plus en plus complexe et coûteux

De nouvelles exigences

Lorsque par le passé, la protection des systèmes se résumait souvent à de simples mesures préventives, la diversité et la sophistication des menaces exigent aujourd’hui des stratégies plus élaborées.

Une tendance observée dans le choix des cibles des cyberattaquants, comme l’explique Baptiste David, Head Of Market Strategy chez Tenacy : « Non seulement les cybercriminels démontrent une forte capacité à innover, mais ils semblent également avoir de moins en moins de limites éthiques. Ce constat est flagrant quand on observe des institutions comme la Croix-Rouge ou des hôpitaux se faire attaquer en pleine crise de la COVID-19. ».

Un changement de paradigme qui demande aux entreprises de s’adapter. Car s’il y a 10 à 15 ans, les sociétés adoptaient une approche minimaliste, en installant par exemple un antivirus sans y adjoindre une action de suivi, cette démarche n’est plus suffisante aujourd’hui. L’antivirus, parmi tant d’autres outils, nécessite désormais une documentation, un suivi, et doit s’inscrire dans une stratégie plus large de cybersécurité. Baptiste David insiste sur ce point :  « La conformité, c’est faire, mais c’est aussi faire savoir et c’est aussi tracer et documenter ».

Dans un contexte de pénurie de main-d’œuvre et sous le poids de ces contraintes réglementaires, le pilotage de la cybersécurité semble être une mission périlleuse. Au mieux, on obtient une vision parcellaire du système d’information, et au pire une augmentation des risques pour l’entreprise.

Un empilement inutile de solutions

Le premier effet d’un mauvais pilotage est d’entraîner des investissements importants dans des solutions de sécurité qui, au lieu d’offrir une protection adéquate, sont simplement empilées les unes sur les autres.

Un cas communément observé est celui d’investir dans plusieurs solutions de protection anti-malware dans le but de bénéficier d’une double barrière, alors qu’en réalité, ces outils pourraient entrer en conflit et diminuer l’efficacité de la détection.

Les risques de non-conformité

La conformité impose de documenter et de maintenir les solutions de cybersécurité utilisées dans l’entreprise. Sans un bon pilotage cyber, il est difficile d’évaluer où se situe une organisation en termes de conformité réglementaire.

C’est notamment le cas pour les opérateurs d’importance vitale (OIV) qui ont l’obligation de se mettre en conformité avec la Loi de Programmation Militaire (LPM) sous peine de sanctions. Pour cela, l’ANSSI et d’autres services étatiques peuvent effectuer des contrôles de sécurité pour vérifier que les règles sont bien appliquées. En cas de non-respect, l’opérateur concerné recevra une injonction à se mettre en règle. Si les manquements persistent, cela peut aboutir à des sanctions financières allant de 150 000 à 750 000 euros.

La perspective d’une perte de business

Dans un cas plus extrême, une non-conformité peut aboutir à une perte de certification et par extension à la perte des partenaires commerciaux. Le standard ISO 27001 est par exemple requis dans le cadre d’appels d’offres. La perte de tels agréments peut rendre plus difficile l’acquisition de nouveaux clients tout en compromettant les relations commerciales existantes.

Des dommages à la réputation

Les amendes publiques ou les sanctions nuisent aussi à la réputation de l’entreprise. En effet, une mauvaise presse concernant des problèmes de cybersécurité peut entraîner une perte de confiance des clients, des partenaires et des investisseurs. C’est notamment le cas après une violation majeure des données.

Une dépendance excessive à l’égard d’une seule personne

Les entreprises ont tendance à s’appuyer fortement sur leur RSSI pour gérer la cybersécurité de leurs systèmes d’information. Toutefois, cette dépendance peut poser problème si aucun mécanisme de suivi n’est établi, rendant l’entreprise vulnérable lors de l’absence ou l’indisponibilité de ce dernier.

L’importance d’un bon pilotage réside donc dans la mise en place d’un outil de suivi centralisé tel que Tenacy : puisqu’il ne dépend pas d’un seul individu, il permet de partager l’information au sein des équipes. Cela peut se traduire par des plans d’action, des indicateurs et une feuille de route offrant une direction claire. Si un RSSI quitte l’entreprise ou si de nouveaux membres rejoignent l’équipe, une gestion structurée facilite le transfert de compétences et l’intégration de ces nouvelles ressources.

Comment anticiper et limiter les coûts de pilotage ?

Définir ses objectifs et ses priorités

Chaque société, en fonction de sa structure, de sa mission et de ses priorités, possède des besoins spécifiques en matière de cybersécurité. Pour certaines, la priorité pourrait être axée sur la protection des postes de travail, pour d’autres, ce serait davantage la gestion des identités et des accès.

L’identification précise des besoins de l’organisation permet de déterminer les zones prioritaires et d’orienter les ressources. Ainsi, il est nécessaire pour un RSSI de se poser plusieurs questions.

• Quels sont les risques associés aux systèmes d’information actuels ?
• Comment mesurer l’efficacité des mesures de sécurité ?
• Quels sont les outils et indicateurs pour surveiller, détecter et répondre aux incidents de sécurité ?
• Les employés sont-ils suffisamment formés et conscients des menaces potentielles ?
• Comment les objectifs de sécurité s’alignent-ils avec les objectifs globaux de l’entreprise ?

Une fois que les objectifs sont établis, il convient de les faire valider par la direction et d’indiquer les rôles et responsabilités de chacun au travers d’une PGSI (Politique Générale de Sécurité de l’Information).

Fonder le pilotage cyber sur des faits

Un système d’information est un environnement en constante évolution qui impose au RSSI de s’adapter en permanence.

Comme le précise Baptiste David, « un RSSI ne doit pas exclusivement se fier à son instinct ou ses convictions. Même si les leçons tirées des expériences antérieures sont importantes, il faut garder à l’esprit que ce qui a fonctionné par le passé dans un contexte donné n’est pas toujours transposable à une autre entreprise. »

Il s’agit donc de privilégier une approche basée sur des faits et des données.

Si l’on prend l’exemple d’une solution antivirus, sa simple acquisition ne suffit pas. Il faut :

• s’assurer de son déploiement ;
• surveiller son efficacité en temps réel ;
• instaurer des indicateurs clairs pour évaluer sa couverture fonctionnelle et le niveau de protection dans l’entreprise comme le nombre d’attaques enregistrées ou le nombre de malwares stoppés.

Les RSSI ont donc plus que jamais besoin d’utiliser des outils de pilotage des actions de cybersécurité dans leur entreprise. Pour ce faire, la solution Tenacy propose un ensemble de fonctionnalités permettant de suivre les objectifs et les actions de sécurité en temps réel au travers de tableaux de bords dédiés.

Tenacy : trois leviers pour maîtriser le coût de votre pilotage cyber

Le coût d'un pilotage défaillant ne se lit jamais sur une seule ligne budgétaire. Il se répartit entre des heures de consolidation manuelle, des licences qui se recouvrent et des rattrapages d'audit non provisionnés. Une plateforme GRC agit sur ces trois postes simultanément, parce qu'elle traite la donnée de sécurité une seule fois pour l'ensemble de vos entités et de vos référentiels.

Récupérer le temps que la consolidation manuelle vous coûte

Dans les organisations qui pilotent leur cybersécurité sous Excel, la seule agrégation des indicateurs mobilise couramment une semaine complète par mois, autrement dit un temps passé à collecter la donnée sans pouvoir se concentrer sur son analyse. Tenacy remonte automatiquement les indicateurs depuis vos sources techniques via ses connecteurs natifs, applique les mêmes plans de contrôle à chaque entité et historise les résultats. Chez Tessi, leader européen des Business Process Services présent dans quinze pays, cette industrialisation a libéré près de 12 semaines par an sur la consolidation et le reporting.

L'effet le plus tangible se mesure ensuite en effectifs. Deux administrateurs suffisent aujourd'hui au groupe pour piloter 53 entités, 22 indicateurs mensuels et trimestriels et plus de 500 actions de remédiation. Sans cette automatisation, la même charge aurait mobilisé quatre personnes supplémentaires : dans un marché en pénurie de compétences cyber, c'est un coût de recrutement évité autant qu'un risque de turnover en moins, les équipes restant affectées à des tâches à valeur ajoutée.

« Si je devais faire la même chose avec du people et des fichiers Excel, j'aurais facilement besoin de 4 personnes en plus. Et surtout, j'aurais un turnover bien plus important car les équipes ne feraient que ça. » Jérôme Farrouil, Directeur Groupe Conformité, Risques et Cybersécurité chez Tessi

Investir sur des faits plutôt que d'empiler les solutions

L'empilement de briques techniques évoqué plus haut vient rarement d'un excès de budget : il vient d'un manque de visibilité sur ce qui est déjà couvert. En cartographiant vos entités, vos applications critiques et le niveau de sécurité réellement atteint sur chacune, Tenacy vous donne la vue consolidée qui permet d'arbitrer un investissement sur une donnée mesurée plutôt que sur une intuition. Chaque contrôle, chaque preuve et chaque action produit un impact immédiat sur les scores de conformité et les indicateurs de risque, ce qui rend l'arbitrage défendable devant votre direction.

Le second gisement d'économies se trouve dans le recouvrement entre référentiels. Les frameworks supportés par la plateforme (ISO 27001, NIS 2, DORA, SOC 2, PCI DSS et +45 autres) partagent une part importante de leurs exigences, et un gap analysis entre deux d'entre eux s'obtient en quelques minutes. Jérôme Farrouil a ainsi constaté plus de 80 % de recouvrement entre sa politique de sécurité interne et un standard qu'elle devait couvrir : autant de contrôles réalisés une fois et valorisés plusieurs fois, au lieu d'être financés en double.

Sécuriser vos certifications et éviter le coût du rattrapage

La perte d'un agrément coûte cher, mais le rattrapage aussi : un audit complémentaire, c'est un nouveau cycle de préparation, une mobilisation des équipes et un décalage des échéances commerciales. Onet, groupe multiservices de plus de 80 000 collaborateurs, a mené deux de ses Business Units jusqu'à la certification ISO 27001 en onze mois en centralisant l'intégralité de son SMSI dans Tenacy. Lors de la restitution, l'auditeur a requalifié trois écarts majeurs en écarts mineurs à la lecture des preuves, des plans d'amélioration et des tâches récurrentes disponibles dans la plateforme.

« Sans Tenacy, nous aurions pris les trois écarts majeurs et repassé un nouvel audit dans 3 mois. L'outil a été déterminant pour prouver à l'auditeur que notre démarche était structurée et pérenne, même en peu de temps. » Hervé Comes, RSSI Groupe chez Onet

Cette traçabilité répond aussi à la dépendance à une seule personne évoquée plus haut. Les registres, les validations et l'historique des indicateurs restent dans la plateforme, horodatés et attribués, ce qui permet à un auditeur de constater une démarche d'amélioration continue et à une nouvelle recrue de reprendre le pilotage sans repartir de zéro. La connaissance cyber cesse d'être stockée dans les fichiers d'un individu pour devenir un actif de l'organisation.

En conclusion

Maîtriser le coût de son pilotage cyber revient finalement à arbitrer sur des faits plutôt que sur des impressions : c'est exactement ce que nous vous proposons de constater sur votre propre organisation en réservant une démo.