Les données de sécurité qui permettent d'obtenir des crédits budgétaires : ce que la plupart des programmes ne prennent pas encore en compte

Lorsqu'un directeur financier demande quels ont été les résultats du programme de sécurité l'année dernière, la plupart des responsables de la sécurité répondent en citant des chiffres : nombre d'alertes traitées, de badges délivrés, d'incidents enregistrés, d'heures facturées par les prestataires. Ces chiffres montrent que l'équipe a été très occupée. Mais ils aident rarement un responsable financier à décider où investir le prochain dollar.

Cette lacune sera au cœur d'un prochain webinaire de l'ASIS, intitulé « Les données que vous ne collectez pas : comment les responsables de la sécurité démontrent la valeur de leur programme ». En amont de cette session, voici un aperçu des thèmes qui y seront abordés ainsi que quelques questions que vous pouvez dès aujourd’hui vous poser au sujet de votre propre programme.

Des données d'activité aux données justificatives

Les programmes de sécurité d'entreprise génèrent déjà un flux constant de données. Les systèmes de contrôle d'accès enregistrent les événements liés aux portes. Les plateformes vidéo enregistrent 24 heures sur 24. Les rapports d'incident, les factures des fournisseurs et les conclusions d'audit s'accumulent sur l'ensemble des sites et dans toutes les régions.

La plupart de ces données ont été recueillies dans le but de décrire ce qui s'est passé. Les décisions budgétaires exigent toutefois des éléments plus utiles : des preuves montrant que les lacunes en matière de couverture se comblent, que le risque est évalué de la même manière partout et que l'exposition évolue dans la bonne direction.

Les responsables de la sécurité capables de fournir ce type de preuves permettent au service financier de prendre une décision fondée sur des chiffres qu'il peut vérifier. Cela permet de passer d'un débat sur la justification d'un poste de dépenses à des recommandations sur les domaines dans lesquels il convient d'investir.

L'angle mort entre les points de contrôle

Pour de nombreuses équipes de sécurité d'entreprise, les données relatives aux programmes sont stockées dans des systèmes appartenant à d'autres services. Le service des installations gère le contrôle d'accès. Un prestataire héberge les rapports des agents sur son propre portail. Les dossiers de formation sont conservés par les RH, et les plannings de permanence sont gérés dans un tableur dont la mise à jour est confiée à une seule personne. Chaque outil répond aux besoins de son propriétaire. Rares sont ceux qui ont été conçus pour offrir au responsable de la sécurité une vue d'ensemble de l'ensemble de ces données.

Cette fragmentation conduit les dirigeants à croire qu’ils ont une vision plus complète de la situation qu’ils ne l’ont en réalité. Entre deux contrôles programmés, il est difficile de vérifier si la couverture est bien en place à l’instant même, si les procédures sont respectées à la lettre ou si les conditions n’ont pas changé depuis le dernier contrôle. Ces lacunes restent généralement cachées jusqu’à ce qu’un directeur financier ou un membre du conseil d’administration demande des preuves tangibles de la réduction des risques.

La question de la propriété est également importante. Lorsqu'un fournisseur ou une plateforme détient votre historique, une modification du contrat peut mettre en péril des années de données sur les incidents. L'un des intervenants du webinaire a été confronté à cette situation lors d'un nouvel appel d'offres obligatoire, et il nous expliquera ce qu'il a fait pour préserver l'intégrité des données de son programme.

Un langage unique pour la gestion des risques sur tous les sites

La comparaison entre sites, pays et fournisseurs est facilitée lorsque tout le monde utilise la même terminologie pour désigner les incidents. En l'absence d'un langage commun, des événements très différents se retrouvent classés dans la même catégorie. Un visiteur qui se faufile dans le hall d'entrée d'un siège social et une intrusion non autorisée dans une zone de production ou une salle de serveurs peuvent tous deux être classés comme une « violation d'accès ». Dans un rapport trimestriel, ces incidents apparaissent identiques. Pour l'entreprise, l'un n'est qu'un désagrément, tandis que l'autre pourrait entraîner l'arrêt des opérations.

Une taxonomie commune permet d'attribuer à chaque incident une catégorie, un niveau de gravité et un impact métier cohérents, quel que soit le lieu où il se produit et la personne qui le signale. Grâce à ce dispositif, un responsable de la sécurité peut classer les sites en fonction de leur exposition réelle, exiger de chaque fournisseur qu'il applique les mêmes mesures et intervenir de manière décisive là où les risques se concentrent. Elle offre également aux entreprises du secteur industriel et à d'autres organisations à forte composante opérationnelle un moyen de relier les incidents de sécurité aux résultats en matière de production, de logistique et de chaîne d'approvisionnement que la direction suit déjà de près.

Ce webinaire explique comment garantir cette cohérence au sein d'un programme impliquant plusieurs sites et plusieurs pays, et montre notamment comment les catégories d'incidents définies par une ancienne organisation de la société civile ont mis en évidence un problème de coûts que l'entreprise n'avait absolument pas associé à la sécurité.

Six questions pour tester votre programme

Cette session s'articule autour de six questions que les responsables de la sécurité des systèmes d'information (CSO) et les responsables de la sécurité des systèmes d'information (CISO) se voient poser par leurs équipes de direction. Essayez de répondre à chacune d'entre elles à l'aide des données dont dispose actuellement votre équipe :

1. Puis-je être sûr que tous les sites sont surveillés, même lorsque je ne peux pas être sur place ?
2. Puis-je expliquer l'intérêt de la sécurité en termes commerciaux ?
3. Mon équipe peut-elle prendre des décisions sans devoir passer d'un système à l'autre parmi cinq systèmes différents ?
4. Puis-je prouver que je suis en conformité avant qu'on me le demande ?
5. Comment puis-je protéger davantage de personnes avec les mêmes ressources ?
6. Dans quels domaines l'IA apporte-t-elle une réelle valeur ajoutée, et dans lesquels n'est-elle qu'un simple effet d'annonce ?

Si certaines de ces questions vous obligent à fouiller dans des feuilles de calcul et sur les portails des fournisseurs, vous trouverez des réponses concrètes dans ce webinaire.

Rejoignez-nous pour le webinaire de l'ASIS