BLOGUE – De nos jours, les atteintes aux données sensibles font régulièrement les manchettes. La sécurité, qui représentait jadis une petite partie des TI, est devenue une fonction considérable et essentielle à la réussite d’une entreprise.
Le rôle des responsables de la gestion des risques et de la sécurité a donc pris de l’importance compte tenu de la difficile tâche qui leur incombe de protéger leur organisation contre les cyberattaques nuisibles et de répondre aux attentes accrues des responsables de la réglementation.
« Les responsables de la gestion des risques et de la sécurité ont longtemps exercé leurs activités dans l’ombre. Le moment est venu pour eux de briller. En exploitant les tendances émergentes et en concevant des programmes de sécurité solides, ils peuvent tenir leur organisation à l’abri des attaques et rehausser leur réputation. »
Gartner a dégagé cinq tendances imminentes en matière de gestion des risques et de la sécurité, ainsi que certaines de leurs incidences.
Tendance 1 : tous les projecteurs sont braqués
Les atteintes à la sécurité menacent les postes de haute direction et coûtent des millions de dollars aux organisations, comme l’ont démontré les cas Equifax et Maersk. Par conséquent, les dirigeants d’entreprise et les intervenants de haut niveau se préoccupent désormais bien davantage de ce qui se passe dans les services responsables de la sécurité. Les responsables de la gestion des risques et de la sécurité devraient miser sur cette attention accrue et travailler étroitement avec des parties prenantes de l’entreprise afin d’établir des liens entre la stratégie visant la sécurité et les initiatives d’affaires. Il s’agit également d’une occasion parfaite pour résoudre les pénuries de ressources humaines compétentes et assurer le perfectionnement professionnel du personnel en place responsable de la sécurité.
Dans les communications avec des hauts dirigeants, le langage constitue un obstacle important et souvent négligé. Lorsque vous discutez avec la haute direction, parlez le langage des affaires et ne vous égarez pas dans la terminologie technique.
Tendance 2 : la réglementation impose le changement
La hausse des atteintes aux données contraint les entreprises à se conformer à un contexte juridique et réglementaire de plus en plus complexe, notamment au Règlement général sur la protection des données (RGPD) de l’Union européenne.
Les données constituent à la fois un actif et un passif potentiel. Les plans d’affaires numériques doivent assurer un juste équilibre entre les deux et prévoir des solutions innovantes afin de réduire les coûts et le passif éventuel. De grandes organisations cherchent à exploiter leur programme de conformité de manière à en faire un facilitateur d’affaires. La protection des données comporte à la fois des coûts et des risques, mais peut aussi servir de facteur de différenciation. Tel est le message que doivent communiquer aux chefs de la direction les responsables de la gestion des risques et de la sécurité.
Tendance 3 : la sécurité transférée dans le nuage
Les organisations du domaine de la sécurité croulent sous la charge de l’entretien des solutions de sécurité d’origine. Les produits de sécurité assurée par l’infonuagique sont plus agiles et permettent la mise en œuvre plus rapide de nouvelles méthodes et de nouveaux services de détection offrant une agilité accrue par rapport aux solutions en installations.
Mais les services de sécurité infonuagiques n’ont pas tous été créés égaux. L’exploitation du nuage signifie bien plus que le transfert vers le nuage des serveurs de gestion d’origine. Les responsables de la gestion des risques et de la sécurité devraient chercher des solutions qui tirent pleinement profit des produits et services de télémesure de données, de personnel d’appoint, d’apprentissage machine, d’accès API d’envergure nuagique et d’autres produits et services qui bouleversent le statu quo.
Tendance 4 : l’apprentissage machine, le nouveau chien de garde
D’ici 2025, l’apprentissage machine fera partie intégrante des pratiques de sécurité et compensera certaines insuffisances liées aux compétences et au personnel. Dans son état actuel, l’apprentissage machine est mieux en mesure de s’attaquer à des problématiques étroites et bien définies, par exemple la classification de fichiers exécutables. La complémentarité des humains et des machines est indéniable. Ensemble, ils sont plus performants que chacun de son côté. L’apprentissage machine fait appel aux humains en cas d’incertitude et leur assure un soutien en leur présentant des renseignements pertinents.
Aujourd’hui, il est difficile d’analyser les distinctions entre le marketing et l’apprentissage machine efficace. Les responsables de la gestion des risques et de la sécurité devraient se concentrer sur la façon dont l’intelligence artificielle rend le produit supérieur au chapitre de l’efficacité et du respect des exigences administratives. Il convient de se rappeler que l’apprentissage machine nécessite une intervention humaine. La question importante est de savoir d’où vient cette intervention.
Tendance 5 : l’origine importe davantage que le prix
Les interdictions du gouvernement des États-Unis visant les produits de sécurité provenant de la Russie et les téléphones intelligents provenant de la Chine ne sont que les conséquences les plus récentes d’une nouvelle méfiance à l’égard de l’influence des puissances mondiales en matière de concurrence dans le cyberespace. Les organisations qui transigent avec des organismes gouvernementaux devraient être sensibles aux exigences géopolitiques associées à leurs relations commerciales en amont et en aval.
Toutes leurs décisions liées à la sécurité et à l’achat de produits reposent sur la confiance envers l’intégrité du fournisseur. Les responsables de la gestion des risques et de la sécurité devraient tenir compte des risques géopolitiques dans toutes leurs décisions d’achat de logiciels, matériel informatique et services essentiels pour l’entreprise, et envisager d’opter pour des solutions de rechange locales.
L’auteur Peter Firstbrook est vice-président de la recherche chez Gartner. Son expertise est dirigée vers les systèmes de protection des appareils mobiles (endpoint protection platform ou EPP en anglais), ainsi que la détection et la réaction aux attaques (endpoint detection and response ou EDR en anglais).
Lire aussi :
Investir dans le numérique : un impératif pour les DPI
La marche à suivre pour les DPI en matière de stratégie d’entreprise
À la croisée des chemins : allier ressources humaines et communications informatiques