Les équipes de cybersécurité ont besoin d’un meilleur sens des affaires

Le décalage entre les professionnels de la cybersécurité et le monde de l’entreprise s’est amoindri ces dernières années, mais malgré cette constatation, il est clair que des améliorations notables sont encore possibles. Dans de trop nombreux cas, les professionnels de la cybersécurité continuent d’éprouver des difficultés pour expliquer l’amplitude du risque que telle ou telle menace représente pour leur entreprise. Une grande partie de ces difficultés de communication proviennent d’un simple fait : les spécialistes de l’informatique ne communiquent pas toujours d’une manière qui est aisément compréhensible par les dirigeants des entreprises. Pour combler cette lacune, le besoin d’organiser des formations spécifiques est clair.

Malheureusement, selon une enquête menée par ISC2 auprès de 259 professionnels de la cybersécurité, il est apparu que ce besoin de formation n’est pas largement reconnu. Un pourcentage très élevé des personnes interrogées, soit 81 %, ont déclaré que c’est principalement par l'observation qu’elles développent des compétences en direction. De plus, 86 % de ces personnes ont précisé que leurs expériences avec d'anciens chefs, responsables ou patrons ont façonné leur perception de ce qui constitue un bon dirigeant.

Cet état de choses a peut-être des aspects positifs, mais rappelons-nous qu’à l’heure actuelle, de nombreux responsables de la cybersécurité ne parviennent pas à communiquer efficacement avec les dirigeants de leurs entreprises. En continuant à se focaliser sur une génération passée de dirigeants, ils pourraient contribuer à perpétuer cette fracture ouverte.

Intéressons-nous à un exemple. Il n'est pas surprenant que la possession de bonnes compétences en communication soit considérée comme l'atout le plus important pour un responsable de la cybersécurité (selon 85 % des personnes interrogées), avant le sens de la stratégie (41 %), l'ouverture d'esprit (37 %), les compétences techniques (33%), l’esprit de décision (21 %) et, pour finir, le sens des affaires (21 %).

Cependant, c’est là que réside le paradoxe. Ce que l'on reproche le plus souvent aux responsables de la cybersécurité est leur incapacité à communiquer avec les dirigeants des entreprises, alors qu’un sur cinq seulement des participants à l'enquête a désigné cette compétence comme étant essentielle pour un responsable. Les dirigeants d'entreprise seront-ils jamais capables de communiquer en utilisant le type de vocabulaire quotidiennement employé par leurs équipes de cybersécurité ? C’est très peu probable ! Concrètement, la dichotomie constatée ne pourra s’améliorer que si les responsables de la cybersécurité développent une meilleure compréhension du monde des affaires.

Dans un univers idéal, les entreprises offriraient bien sûr les formations appropriées à leurs équipes de cybersécurité. Dans les faits, la situation est tout autre. Ces formations ne sont pas monnaie courante, soit en raison des contraintes budgétaires des entreprises, soit simplement par manque de reconnaissance de leur nécessité. Qu'on le veuille ou non, c’est à chaque professionnel de la sécurité qu’il incombe de prendre l'initiative d'acquérir les compétences qu’il lui faut en communication. Ces compétences peuvent être acquises soit par la pratique, soit par le biais de programmes d’apprentissage externes aux entreprises.

Un élément est nettement mal compris par les professionnels de la cybersécurité. Il s’agit de la propension de nombreux dirigeants d'entreprise à prendre des risques. La plupart de ces dirigeants sont issus d'écoles de commerce qui leur ont enseigné à peser continuellement les risques par rapport aux récompenses. Ce qu'ils souhaitent réellement obtenir de leurs équipes de cybersécurité est, avant tout, une évaluation agrégée du niveau de risque qu’ils prennent. Cette notion n’est peut-être pas du niveau d’une maîtrise commerciale, mais elle exige au moins une compréhension de ce qu’une organisation cherche à accomplir. N’oublions pas le contexte : à notre époque, tous les processus des entreprises sont susceptibles d’être négativement affectés par des multitudes de menaces informatiques.