Les RSSI et les conseils d’administration confrontés à un problème de communication face à la croissance des risques de sécurité

À mesure que les cybermenaces deviennent un risque commercial plus visible, les conseils d’administration sont de plus en plus appelés à jouer un rôle accru dans la supervision de la sécurité. Pourtant, une attention accrue ne se traduit pas nécessairement par un meilleur alignement avec les responsables de la sécurité des systèmes d’information (RSSI) et leurs équipes.

Cette relation est souvent décrite comme un conflit entre des responsables de la sécurité en quête d’investissements et des administrateurs axés sur les performances financières. En pratique, le fossé tient peut-être moins à des priorités opposées qu’à la communication. Les équipes de sécurité peuvent avoir du mal à expliquer l’exposition technique en termes d’impact commercial, tandis que les conseils d’administration peuvent manquer du contexte nécessaire pour évaluer si les contrôles et les ressources existants sont suffisants.

Des préoccupations communes, des perspectives différentes

Les conseils d’administration et les responsables de la sécurité reconnaissent tous deux la nécessité d’un soutien accru pour combler ce fossé. Les RSSI ont besoin d’effectifs, de financements et du soutien des dirigeants en quantité suffisante pour gérer des menaces de plus en plus complexes. Les administrateurs, quant à eux, ont besoin d’informations claires et cohérentes qui les aident à comprendre le profil de risque de l’organisation et à prendre des décisions éclairées.

Ces informations sont particulièrement utiles lorsqu’elles vont au-delà des listes de vulnérabilités ou des détails sur les outils de sécurité. Les rapports qui relient le risque cyber aux opérations critiques, aux obligations réglementaires, à la confiance des clients et aux conséquences financières peuvent fournir aux membres du conseil une base plus concrète pour leur supervision.

Instaurer un dialogue plus solide

L’amélioration de cette relation peut nécessiter une communication régulière plutôt que des briefings limités aux incidents majeurs ou aux cycles annuels de planification. Les responsables de la sécurité peuvent y contribuer en présentant les priorités dans le langage de l’entreprise et en expliquant les conséquences de l’acceptation de risques spécifiques. Les conseils d’administration peuvent, quant à eux, demander comment les objectifs de sécurité soutiennent la stratégie globale de l’organisation et veiller à ce que les responsabilités soient clairement attribuées.

L’attention croissante portée à la cybersécurité n’élimine pas les difficultés entre les conseils d’administration et les RSSI. Elle peut toutefois créer une occasion de remplacer les suppositions sur des intérêts concurrents par une discussion plus constructive sur la responsabilité partagée. Une supervision efficace dépend de la capacité des deux parties à disposer des informations, de l’autorité et des ressources nécessaires pour gérer les risques.