pessimisme de l’exposé initial, la réponse est clairement : oui !
Il est vrai que les processus exposés dans ce livre sont longs à établir et qu’ils nécessitent
un suivi rigoureux. C’est pour cela qu’à première vue on peut être clairement découragé,
car les premiers résultats tardent à venir. Toutefois, notre démarche est ici de monter en
maturité progressivement, sur une durée assez longue (plusieurs années). Le temps de la
sécurisation du SI est bien plus long que celui des projets informatiques. C’est très
important de le faire comprendre.
Pourtant, une fois que les équipes s’habituent à sécuriser les serveurs, à choisir de bons
mots de passe, à gérer sérieusement les identités, à contrôler les accès distants, etc., il
leur paraît incroyable, avec le recul, de ne pas avoir eu ces bons réflexes par le passé.
Par exemple, il est insupportable à un responsable de la production de mettre en place
une infrastructure si un dispositif de continuité ou de reprise de service n’a pas été pensé.
Eh bien, le RSSI doit faire en sorte qu’il soit tout aussi insupportable à ce responsable de
mettre en place un dispositif non sécurisé. Cela est parfaitement possible. Le problème
n’est donc pas « entre la chaise et le clavier ». C’est la solution qui est entre la chaise et
le clavier. Voilà ce que le RSSI doit s’efforcer de faire comprendre.
C’est d’ailleurs par un témoignage que je termine cet ouvrage. Lors d’un séminaire
d’encadrement, un responsable métier profite de la pause-café pour s’adresser au DSI en
ces termes : « Ça fait longtemps que je n’ai pas vu le RSSI. Il nous manque, nous en
avons besoin pour sécuriser notre infrastructure. Quand est-ce que tu nous l’envoies ? »
Ce témoignage réel vaut bien plus que trente indicateurs pour mesurer la sécurité.
Lorsque des responsables métier réclament, spontanément et sans aucune contrainte, de
travailler avec le RSSI, c’est bien parce que la sécurité entre réellement et en profondeur
dans l’entreprise.
Oui, il est possible de sortir de la zone d’humiliation ! Certes, de longs et pénibles efforts
doivent être consentis, mais nous ne désespérons pas.
Il est vrai que les processus exposés dans ce livre sont longs à établir et qu’ils nécessitent
un suivi rigoureux. C’est pour cela qu’à première vue on peut être clairement découragé,
car les premiers résultats tardent à venir. Toutefois, notre démarche est ici de monter en
maturité progressivement, sur une durée assez longue (plusieurs années). Le temps de la
sécurisation du SI est bien plus long que celui des projets informatiques. C’est très
important de le faire comprendre.
Pourtant, une fois que les équipes s’habituent à sécuriser les serveurs, à choisir de bons
mots de passe, à gérer sérieusement les identités, à contrôler les accès distants, etc., il
leur paraît incroyable, avec le recul, de ne pas avoir eu ces bons réflexes par le passé.
Par exemple, il est insupportable à un responsable de la production de mettre en place
une infrastructure si un dispositif de continuité ou de reprise de service n’a pas été pensé.
Eh bien, le RSSI doit faire en sorte qu’il soit tout aussi insupportable à ce responsable de
mettre en place un dispositif non sécurisé. Cela est parfaitement possible. Le problème
n’est donc pas « entre la chaise et le clavier ». C’est la solution qui est entre la chaise et
le clavier. Voilà ce que le RSSI doit s’efforcer de faire comprendre.
C’est d’ailleurs par un témoignage que je termine cet ouvrage. Lors d’un séminaire
d’encadrement, un responsable métier profite de la pause-café pour s’adresser au DSI en
ces termes : « Ça fait longtemps que je n’ai pas vu le RSSI. Il nous manque, nous en
avons besoin pour sécuriser notre infrastructure. Quand est-ce que tu nous l’envoies ? »
Ce témoignage réel vaut bien plus que trente indicateurs pour mesurer la sécurité.
Lorsque des responsables métier réclament, spontanément et sans aucune contrainte, de
travailler avec le RSSI, c’est bien parce que la sécurité entre réellement et en profondeur
dans l’entreprise.
Oui, il est possible de sortir de la zone d’humiliation ! Certes, de longs et pénibles efforts
doivent être consentis, mais nous ne désespérons pas.