Comment les RSSI de classe mondiale obtiennent plus de budget et la confiance de leur conseil d'administration en 2023

Cet article a été publié initialement dans SC Magazine. Il a été mis à jour et syndiqué ici.


Les RSSI se retrouvent dans une position de plus en plus délicate : protéger davantage d'actifs, déployer plus de code, réduire une surface d'attaque grandissante, le tout avec des ressources financières en diminution rapide. Il est indéniable que la cybersécurité est perçue comme un centre de coûts. Bien que le programme de sécurité d'une organisation soit le seul rempart contre une cyberattaque qui pourrait faire la une des journaux, les responsables de la sécurité doivent davantage valoriser leur département auprès de la direction, en utilisant un langage compréhensible par les décideurs.

Les RSSI de classe mondiale relèvent le défi en pilotant des programmes de sécurité holistiques qui renforcent la confiance des clients et la réputation de la marque, tout en utilisant les outils à leur disposition pour créer une valeur incontestable. Cela commence par une approche stratégique et préventive des risques courants, en abandonnant l'idée qu'il n'y a jamais assez de temps, de ressources ou de personnel pour maintenir l'excellence en matière de sécurité.

Changez la donne au sein du conseil d'administration.

Dans le contexte économique actuel, peu d'entreprises et de départements échappent à un examen minutieux de leurs dépenses, de leurs recrutements et de leur impact stratégique sur les objectifs commerciaux. Bien qu'il semble évident que l'entreprise moderne nécessite un programme de cybersécurité étendu, cela représente un coût important difficile à justifier en termes de retour sur investissement.

La direction et les membres du conseil d'administration doivent comprendre clairement les résultats attendus des investissements en cybersécurité, avec des termes qui dépassent les simples chiffres d'un tableur. Leurs connaissances techniques étant variables, les RSSI doivent présenter leur dossier avec un message accessible. Expliquez l'ampleur du programme, ce qui doit être protégé et qui doit être habilité pour offrir un modèle exemplaire. Les attaques augmentent, mais les budgets ne suivent pas, et mener ce combat commence par une campagne verbale pour justifier sa valeur.

On dit souvent que, quel que soit le secteur, chaque entreprise devient une entreprise technologique. Avec une approche « digital-first » devenue la norme, la surface d'attaque est immense et nécessite la meilleure protection possible. Les responsables de la sécurité portent de nombreuses casquettes, mais l'une d'elles est négligée jusqu'à ce qu'il soit trop tard : ils sont les gardiens de la confiance des clients. C'est une proposition de valeur essentielle, tout aussi vitale que les objectifs commerciaux et marketing.

Démontrez la valeur d'une approche préventive de la sécurité.

Les statistiques actuelles sur la cybersécurité sont alarmantes, mais jouer sur la peur est généralement une tactique futile pour obtenir un budget. Peu de dirigeants contesteraient la priorité de la cybersécurité, mais ils seront bien plus réceptifs à une augmentation budgétaire si vous proposez une stratégie audacieuse qui optimise les ressources existantes pour de meilleurs résultats.

Selon une étude récente du Neustar International Security Council, seules 50 % des entreprises estiment disposer d'un budget adéquat pour faire face à leurs problèmes de cybersécurité connus. Avec une augmentation de 38 % des cyberattaques mondiales entre 2021 et 2022, la route s'annonce difficile pour le RSSI moyen. Cependant, les leaders de la sécurité de classe mondiale savent surmonter ces obstacles et innover malgré l'adversité.

Dans bien des cas, prévenir vaut mieux que guérir, et la cybersécurité ne fait pas exception. Un programme de sécurité holistique doit aller au-delà des mesures réactives. La gestion des vulnérabilités étant l'une des trois préoccupations majeures pour de nombreux RSSI, il est logique d'impliquer les développeurs. Ils ont besoin d'une formation pratique pour traiter les failles de sécurité à la source, afin qu'elles n'atteignent jamais la production. Nous ne pouvons plus tolérer un code de faible qualité ; monter en compétences les équipes de développement est le remède le plus rentable et le plus efficace contre les vulnérabilités au niveau du code.

Il est vital que les RSSI se battent pour conserver leur budget. Détailler les avantages d'une montée en compétences en sécurité, surtout pour les développeurs, est une victoire plus rapide que l'ajout d'une énième « solution miracle » à une pile technologique déjà complexe.

La sécurité doit faire partie des fondamentaux de la marque.

La plupart des RSSI n'ont pas choisi ce métier pour leur passion du marketing, mais c'est un domaine sur lequel vous devriez travailler, du moins lorsque vous présentez votre dossier à ceux qui tiennent les cordons de la bourse.

L'impact d'un programme de cybersécurité sur la confiance des clients et la fidélité à la marque est immense ; une faille majeure peut provoquer un exode massif. À l'inverse, en alignant vos pratiques de sécurité rigoureuses sur les valeurs fondamentales de votre marque, vous envoyez un message clair : la protection des données est une priorité sur laquelle vos clients peuvent compter.

Il est crucial que le RSSI moderne prenne le temps de souligner les avantages concurrentiels d'une stratégie de sécurité axée sur la confiance des clients. La sécurité réactive seule ne suffit pas ; une approche équilibrée, concentrée sur la protection des actifs critiques avec toutes les ressources disponibles, peut devenir votre principal facteur de différenciation.

Il n'y a plus de place pour les excuses, mais il existe de nombreuses raisons convaincantes que les RSSI peuvent mettre en avant pour obtenir le financement nécessaire à une stratégie de sécurité réellement transformatrice.