Nouvelle exigence du CSO : des outils qui fonctionnent au-delà du poste de garde

Nouvelle exigence du CSO : des outils qui fonctionnent au-delà du poste de garde

Lors d'un récent événement sectoriel, David Fortino, responsable de la sécurité d'entreprise chez New York Blood Center Enterprises, a posé aux fournisseurs présents une question qui devrait redéfinir la manière dont chaque fournisseur de logiciels de sécurité envisage sa feuille de route produit :

« Comment allez-vous me simplifier la vie en tant que RSSI ? C'est ce que j'attends d'un fournisseur. Je suis à la recherche d'un outil qui profite à l'ensemble de l'entreprise, et pas seulement à la sécurité physique. »

Cette phrase figure dans le rapport « Security Megatrends 2026 » de la SIA , mais elle aurait tout aussi bien pu être tirée de notre récent webinaire « Du badge à la direction », animé par Todd Kreisher, ancien agent des services secrets américain fort de 27 ans d’expérience et ancien directeur de la sécurité d’un constructeur automobile international. Todd a passé une heure avec Jeff DiDomenico à détailler précisément ce que décrit Fortino : ce qui se produit lorsqu’un incident de sécurité cesse d’être un simple problème de sécurité dès qu’il est signalé.

L'incident qui n'était pas un incident de sécurité

Au début du webinaire, Todd a raconté une anecdote de son époque en tant que responsable de la sécurité dans le secteur manufacturier. Son équipe effectuait des inspections de remorques dans le cadre d'une exigence de conformité CTPAT, en comparant les connaissements aux chargements réels. Grâce à un système de signalement des incidents efficace, il a constaté un problème : les camions faisaient demi-tour beaucoup plus souvent que prévu.

Ses propos : « J’ai aussi commencé à réaliser que ce n’était pas vraiment un problème de sécurité. Je veux dire, ce n'était pas une question de sécurité, c'était une question commerciale, une question de logistique. »

Avec ces données, Todd ne les a pas reléguées à un rapport de sécurité confidentiel. Il les a présentées au service logistique et à la direction, et ensemble, ils ont corrigé le processus, permettant ainsi à l'entreprise de réaliser d'importantes économies.

Voilà, en résumé, toute l'affaire. L'incident a été enregistré par le service de sécurité. La solution a été apportée par la logistique. Le gain a été directement intégré à l'état de résultat. Si les données étaient restées confinées dans un système réservé à la sécurité, rien de tout ça ne se serait produit.

Un incident, cinq départements

L'exemple le plus direct que Todd a donné à ce sujet provenait d'un document aussi banal qu'un rapport de vol. Comme il l'a dit :

« Du vol. Finalement, s'agissait-il du vol du dîner de quelqu'un dans la salle de repos ? Ou du vol de 50 pots catalytiques qui allaient avoir un impact sur la production ? »

Les deux situations relèvent techniquement du « vol ». Seule l'une d'entre elles doit être signalée à la planification de la production, à la gestion des risques et, éventuellement, aux forces de l'ordre dans l'heure. Sans un système capable de recueillir ce niveau de détail et de l'acheminer vers les personnes compétentes, un responsable de la sécurité informatique est contraint de choisir entre des catégories génériques qui ne fournissent aucune information pertinente et un flot d'informations superflues qui masque les incidents importants.

Transposez cette même idée à l'échelle d'une opération de sécurité d'entreprise et la liste des parties prenantes concernées par un seul rapport d'incident s'allonge rapidement :

• RH : lorsqu'un incident implique une enquête sur un employé ou un problème de violence au travail
• Juridique : en cas de risque de responsabilité ou d’obligation de conformité
• Informatique : lorsqu'il est nécessaire de révoquer des identifiants d'accès ou en cas de suspicion de menace interne.
• Risques et assurances : quand déposer une réclamation ou signaler un problème avant qu'il ne cause des pertes plus importantes.
• Direction générale : lorsque l’incident a une incidence sur la continuité des activités ou le risque lié à la marque

Todd a insisté sur l'importance des relations, et pas seulement des données : « Des partenariats internes clés avec les RH, le service juridique, le service de conformité, le service informatique… c'est un partenariat essentiel pour notre équipe de sécurité. Il a également raconté l'histoire d'un ancien directeur financier qui lui avait demandé, mi-sérieux, mi-sérieux, si l'entreprise avait encore besoin d'une cellule de gestion de crise officielle, car les incidents survenus dans son établissement dégénéraient rarement en crise. C'est ce qui se produit lorsque la bonne information parvient au bon service avant qu'un petit problème ne prenne de l'ampleur.

L'industrie s'entend pour dire que ce n'est plus une option.

Le rapport 2026 de la SIA sur les mégatendances en matière de sécurité désigne explicitement ce changement comme la mégatendance 3, « Les solutions de sécurité perdent leurs frontières », décrivant un mouvement à l'échelle de l'industrie passant de systèmes de sécurité physique cloisonnés à des plateformes qui relient les données de sécurité aux systèmes informatiques, aux installations et aux systèmes opérationnels.

Tara Dunning, vice-présidente responsable des technologies convergentes chez Wesco, l'explique ainsi dans le rapport : « Les frontières de notre secteur s'estompent rapidement. La convergence de toutes les technologies nous permet d'offrir une vision et un contrôle unifiés de l'écosystème d'entreprise, ce qui mène à des entreprises plus sûres, plus efficaces, plus durables et plus résilientes. »

À la lumière des citations de Fortino et de Dunning, ainsi que de l'histoire de Todd sur la remise en état de son camion, une tendance se dégage : les acheteurs ne se demandent plus si une plateforme de sécurité peut enregistrer un incident. Ils veulent savoir si elle peut transmettre cet incident aux personnes de l'entreprise qui doivent intervenir, dans un format exploitable.

Qu'est-ce que cela signifie pour l'évaluation des rapports d'incidents ?

Si vous êtes un RSSI ou un directeur de la sécurité participant à votre prochaine évaluation de plateforme, il est judicieux de poser directement à Todd quelques questions tirées de sa propre expérience :

• Les catégories d'incidents peuvent-elles être suffisamment personnalisées pour faire la distinction entre un vol dans une salle de pause et un vol ayant un impact sur la production, ou tout sera-t-il regroupé dans une seule catégorie générique ?
• Si votre fournisseur de services change, votre historique des incidents et votre configuration de signalement sont-ils transférés avec lui, ou sont-ils perdus à jamais ?
• Les services RH, juridiques, TI et de gestion des risques peuvent-ils obtenir les renseignements précis dont ils ont besoin concernant un incident, sans avoir à parcourir un rapport de sécurité complet qui n'a pas été conçu pour eux ?
• Votre plateforme prend-elle en charge le type d'accès en temps réel à un tableau de bord qui permet à votre équipe de repérer une tendance, comme l'équipe de Todd a repéré un problème logistique caché dans un journal de sécurité ?

Écoutez toute la conversation

Le webinaire de Todd avec Jeff DiDomenico aborde bien plus de sujets que nous ne pouvons en traiter dans un seul article, notamment la manière dont il a pris le contrôle direct de ses données d'incidents lors d'un nouvel appel d'offres auprès d'un fournisseur de services, comment il a transformé une entreprise sans culture de sécurité en une entreprise où les agents étaient traités comme des coéquipiers de confiance, et comment il pense que les RSSI devraient évaluer les technologies basées sur l'IA sans se laisser emporter par le battage médiatique.

Visionnez le webinaire à la demande « Du badge à la salle de réunion » pour entendre le témoignage complet de Todd. [ Visionner le webinaire sur demande ]