Qu'est-ce qui empêche les RSSI de dormir ? Et sur quoi les RSSI devraient-ils se concentrer pour apporter de la valeur à l'entreprise ? Comment les priorités devraient-elles évoluer compte tenu de la prolifération des cyberattaques qui menacent de perturber les entreprises dans le monde entier ?
Pour vous aider à faire la part des choses, nous nous sommes associés à Redmond Magazine. en partenariat avec Redmond Magazine pour convoquer les principaux RSSI dans une discussion sur les aspects les plus critiques de leur rôle. Le panel comprenait :
- Chris Roberts, hacker en résidence à Semperis et modérateur de la session
- Limor Kessem, CISO, CISM et conseillère exécutive en sécurité chez IBM Security
- James Azar, RSSI à l'adresse Confidentiel
- Evan Francen, cofondateur de FRSecure et PDG chez SecurityStudio
La discussion a permis de dégager plusieurs enseignements tactiques pour les responsables actuels et futurs de la sécurité. Mais ces trois points sont remontés à la surface.
Établissez votrenotre place au sein de la C-suite de la
Maintenant que les RSSI sont prennentl'expérience leur rôle relativement relativement nouvelle place relativement nouvelle au sein de la C-suite, ils doivent acquérir un ensemble différent de compétences pour s'engager s'engager efficacement avec les chefs d'entreprise et les parties prenantes.
Comme l'a souligné Kessem l'a souligné, bien qu'il ait un titre de niveau C, le RSSI rend encore souvent compte en aval et n'est pas bien représenté dans la chaîne. Parler à la direction de l'entreprise commence par s'assurer que le CISO est reconnu: "Tout d'abord, il faut s'asseoir avec les cadres et les membres du conseil d'administration. avec les dirigeants et les membres du conseil d'administration. Meiller à ce que que de de un siège pour pour le RSSI."
Obtenir la reconnaissance des dirigeants d'entreprise signifie également trouver l'intersection entre le monde des affaires et la le monde des affaires et la sécurité.
- Homment les menaces de sécurité se traduisent-elles par des temps d'arrêt ?, coûtsou des dommages à la cours de l'action? Discuter ce que le sécurité l'équipe de sécurité en ces termes et des ressources dont elle a besoin pour atteindre leurs objectifs.
- Comment les objectifs de sécurités'alignent-ils sur les objectifs de l'entreprise? Le RSSI a tout intérêt à penser comme un vendeur à tout moment et de faire de la sécurité un moteur de l'activité plutôt qu'une simple dépense. Le RSSI peut meilleure sécurité augmenter les marges ou garantir le succès sur un flux de revenus spécifique? En termes commerciaux, ette dépense d'effort doit apporter une valeur ajoutée. Il ne suffit pas de se protéger contre les pertes.
- Quel est le langage qui convient le mieux à votre organisation particulièrePDG DE L'ENTREPRISE, ou votre conseil d'administration ? Tous les conseils d'administration ne parlent pas le même langage. Le RSSI doits d'établir des relationss avec chaque décideurs, s'assurer de la confiance entre eux, et uncomprendre les les préoccupations de chacun de chaque chaque personne.
Notre panel a convenu que les RSSI, et ceux qui aspirent à le devenir, peuvent tirer profit d'une meilleure compréhension du monde des affaires avant même de s'attaquer à la sécurité. Suivre un cours de MBA en gestion d'entreprise ou une formation sur le rôle du directeur technique, du directeur financier et du directeur général peut vous aider à comprendre leurs défis et à mieux réussir dans votre propre rôle.
Faire passer les personnes avant les outils
Trouver l'équilibre entre les outils et les technologies et l'être humain l'homme astion de la sécurité est un autre défi pour les RSSI..
Selon notre panel, les entreprises ont encore tendance à considérer la la sécurité comme quelque chose qu'elles peuvent acheter. Cependant, les équipes commencent à souffrir de l'épuisement des outils, les équipes commencent à souffrir de l'épuisement des outils. Les RSSI doivent doivent jeter un regard critique sur le nombre d'outils dont ils disposent et sur ceux qu'ils utilisent réellement. Comment pouvez-vous comment appliquer les outils que vous à d'autres usages ?
Selon Francen, le meilleur conseil qu'il ait jamais reçu au tout début de sa carrière était le suivant : "Les personnes qui peuvent mieux sécuriser leurs affaires sont celles qui connaissent intimement leurs affaires. leurs affaires".
Tandis que nouse technologienologie pour pour nos équipes, complexité est l'ennemi. Simplifier la technologie, c'est Comment les RSSI d'obtenir l'adhésion et de faire en sorte que les bonnes habitudes en matière de sécurité s'enracinent dans l'entreprise. l'entreprise de l'entreprise.
Prendre-et propagate-ae responsabilité
Notre panel a unanimement reconnu qu'une plus grande responsabilité - pour chaque praticien et pour la communauté de la cybersécurité dans son ensemble - était nécessaire. praticiens et la communauté de la cybersécurité dans son ensemble.peut faire avancer la lutte contre les attaquants malveillants.
M. Azar l'a bien formulé : "Il y a des voix responsables qui veulent faire le bien... Et pourtant, il y a un tas de voix qui créent le FUD, la désinformation, qui créent des défis. Et malheureusement, ce qui finit par se produire, c'est que les gens ne savent pas qui écouter".
En fin de compte, la question de la responsabilité se pose aujourd'hui. Woù se situe-t-elle ? Au CISO/acheteur ? Avec l'industrie ?? Wqui exactement est la personne la mieux informée et la plus digne de confiance?
Les récentes attaques très médiatisées contre des entreprises telles que SolarWinds, le développeur de Cyberpunk 2077, CD Projekt, et la station d'épuration d'Oldsmar, en Floride, ont le mérite d'avoir mis en lumière les problèmes de cybersécurité et d'avoir renforcé la responsabilité de tous. Ces incidents placent le débat au premier plan, mais les RSSI doivent veiller à ce qu'il y reste.
En tant que notre notre panel a discutédles RSSI ont la responsabilité de poser plus de questions, partager pluset d'aider les entreprises de travaux publics et d'infrastructure à court d'argent à améliorer leurs performances. améliorer leur leur sécurité. Nous avons besoin d'un mouvement industriel pour aider ces organisations, car les cyberattaques peuvent toucher n'importe quelle entitéet nous avons besoin de plus de collaboration plutôt que de pointer du doigt.Nous avons besoin d'une plus grande collaboration plutôt que de pointer du doigt.
Ces trois thèmes ont persisté pendant le reste du débat. du débat, où le panel de RSSI a abordé questions telles que "Que feriez-vous au cours de vos premières semaines de travail en tant que nouveau RSSI ?" "Existe-t-il encore un périmètre ?" et "Où les les praticiens devraient-ils investir du temps maintenant pour se préparer à devenir RSSI en 2022 et au-delà ?"
Si vous vous posez les mêmes questions, regardez l'intégralité de la discussion ici . Dans le même ordre d'idées, Chris Roberts a expliqué pourquoi Active Directory est le talon d'Achille du RSSI dans le magazine Security Magazine.
