Données de sécurité qui permettent d'obtenir des budgets : ce que la plupart des programmes ne recueillent pas encore

Lorsqu'un directeur financier demande quels ont été les résultats du programme de sécurité l'année précédente, la plupart des responsables de la sécurité répondent en chiffres : alarmes traitées, badges délivrés, incidents enregistrés, heures facturées aux prestataires. Ces chiffres montrent que l'équipe était occupée. Ils aident rarement un directeur financier à décider où investir les prochains fonds.

Cette lacune sera au cœur d'un prochain webinaire d'ASIS intitulé « Les données que vous ne collectez pas : comment les responsables de la sécurité prouvent la valeur de leurs programmes » . Avant cette session, voici un aperçu des idées qui y seront abordées et quelques questions que vous pouvez commencer à vous poser dès aujourd'hui concernant votre propre programme.

Des données d'activité aux données probantes

Les programmes de sécurité des entreprises génèrent déjà un flux constant de données. Les systèmes de contrôle d'accès enregistrent les événements liés aux portes. Les plateformes vidéo enregistrent en continu. Les rapports d'incidents, les factures des fournisseurs et les conclusions d'audit s'accumulent sur tous les sites et les régions.

La plupart de ces données ont été recueillies pour décrire les événements. Les décisions budgétaires exigent des éléments plus utiles : la preuve que les lacunes en matière de couverture se résorbent, que le risque est mesuré de la même manière sur tous les sites et que l’exposition évolue dans le bon sens.

Les responsables de la sécurité capables de fournir ce type de preuves fournissent au service financier des éléments concrets et vérifiables pour étayer sa décision. Cela permet de passer d'une logique de justification des coûts à une logique de recommandation des investissements les plus judicieux.

L'angle mort entre les points de contrôle

Pour de nombreuses équipes de sécurité d'entreprise, les données relatives aux programmes sont stockées dans des systèmes appartenant à des tiers. Le service des installations gère le contrôle d'accès. Un fournisseur héberge les rapports des agents sur son propre portail. Les dossiers de formation sont gérés par les ressources humaines, et les horaires de permanence sont consignés dans un tableur tenu à jour par une seule personne. Chaque outil est conçu pour son utilisateur. Peu offrent au responsable de la sécurité une vue d'ensemble unifiée de ces systèmes.

Cette fragmentation amène les dirigeants à surestimer leur visibilité. Entre les contrôles réguliers, il est difficile de vérifier que la couverture est bien en place, que les procédures sont scrupuleusement respectées ou que la situation n'a pas changé depuis le dernier point de contrôle. Ces lacunes demeurent généralement invisibles jusqu'à ce qu'un directeur financier ou un membre du conseil d'administration demande des preuves concrètes de la réduction des risques.

La question de la propriété est également cruciale. Lorsqu'un fournisseur ou une plateforme détient votre historique, une modification de contrat peut compromettre des années de données d'incidents. Un des conférenciers du webinaire a été confronté à cette situation lors d'un appel d'offres obligatoire et expliquera comment il a préservé l'historique de son programme.

Un langage unique pour la gestion des risques sur tous les sites

Comparer les sites, les pays et les fournisseurs est facilité lorsque tous utilisent la même terminologie pour désigner les incidents. Sans ce langage commun, des événements très différents sont amalgamés. Un visiteur qui suit un autre client dans le hall d'un siège social et une intrusion dans une zone de production ou une salle serveur peuvent tous deux être considérés comme une « violation d'accès ». Dans un rapport trimestriel, ces deux incidents semblent identiques. Pour l'entreprise, l'un est une simple nuisance, l'autre peut paralyser son activité.

Une taxonomie commune attribue à chaque événement une catégorie, une gravité et un impact commercial cohérents, peu importe son lieu d'occurrence et l'entité qui le signale. Grâce à elle, un responsable de la sécurité peut hiérarchiser les sites en fonction de leur exposition réelle, exiger de chaque fournisseur le respect des mêmes normes et faire preuve de leadership là où les risques sont concentrés. Elle permet également aux entreprises manufacturières et autres organisations à forte activité opérationnelle de relier les incidents de sécurité aux résultats de production, de logistique et de chaîne d'approvisionnement que la direction suit déjà.

Ce webinaire explique comment instaurer cette cohérence dans un programme multisite et multipays, et notamment comment les catégories d'incidents d'un ancien RSSI ont mis en évidence un problème de coûts que l'entreprise n'avait absolument pas lié à la sécurité.

Six questions pour tester votre programme

Cette séance s'articule autour de six questions que les responsables de la sécurité des systèmes d'information (RSSI) et les directeurs de la sécurité des systèmes d'information (CSO) reçoivent de leurs équipes de direction. Essayez de répondre à chacune d'elles avec les données dont votre équipe dispose actuellement :

1. Puis-je m'assurer que chaque site est couvert, même lorsque je ne peux pas m'y rendre ?
2. Puis-je expliquer la valeur de la sécurité en termes commerciaux ?
3. Mon équipe peut-elle prendre des décisions sans avoir à jongler entre cinq systèmes ?
4. Puis-je prouver ma conformité avant même qu'on me le demande ?
5. Comment protéger davantage de personnes possédant les mêmes ressources ?
6. Où l'IA crée-t-elle une réelle valeur ajoutée, et où n'est-elle que du bruit ?

Si certaines de ces questions vous incitent à fouiller dans des feuilles de calcul et des portails de fournisseurs, vous trouverez des réponses pratiques dans le webinaire.

Joignez-vous à nous pour le webinaire ASIS