Transformer la conformité en résilience : instaurer la confiance face à la réglementation

Manque devisibilité surles dépendances. Les entreprises ne prennent souvent conscience de ces interconnexions critiques qu’au moment d’une panne ou d’une attaque. 

Ces tests permettent de mettre en évidence les angles morts, de valider les hypothèses et de développer une « mémoire musculaire » opérationnelle, faisant ainsi de la conformité une véritable préparation. 

Ils contribuent à fournir des architectures sécurisées, des conceptions de référence validées, des outils intégrés et des processus de Recovery testés, conformes aux exigences réglementaires. 

Une collaboration interfonctionnelle, des exercices de Recovery fréquents, des compétences en automatisation et une réflexion axée sur la mission — et non pas une simple liste de cases à cocher. 

Cette approche met l’accent sur la récupérabilité éprouvée, la visibilité et la continuité opérationnelle   piliers fondamentaux de la réglementation de type DORA. 

Veuillez regarder la vidéoicipour accéder à la transcription horodatée

Je suis accompagné de deux dirigeants, de Pure Storage et de Kyndryl, et je suis très heureux que vous soyez tous là. Je vais les laisser se présenter dans un instant, mais je voudrais d’abord vous présenter le sujet. Vous êtes donc ici parce que vous pensez que nous allons parler de réglementations et de conformité, de la manière de constituer d’excellentes équipes de conformité, et de la manière de cocher les cases. Absolument pas. Nous n’allons pas aborder tout cela. Donc, si vous souhaitez partir dans les 20 prochaines secondes, n’hésitez pas. Car ce dont nous allons parler, c’est de la raison pour laquelle ces réglementations existent réellement.

Qu’y a-t-il réellement derrière elles ? Contre quoi essayons-nous de nous protéger ? Et comment envisageons-nous cela ? On assiste à une explosion des réglementations aux États-Unis et dans le monde entier, et elles sont toutes conçues pour aider les entreprises à gagner la confiance des clients et des pouvoirs publics concernant les produits qu’elles déploient. Et pourtant, de nombreux acteurs du secteur, que ce soit dans l’industrie technologique ou dans le domaine de la conformité, passent un peu à côté de l’essentiel.

Lorsque les clients envoient des questionnaires de sécurité, certes, quelqu’un vérifie que vous avez bien coché toutes les cases, mais ce n’est pas vraiment de cela qu’il s’agit. Je vais donc laisser ces personnes se présenter. Et lorsqu’elles le feront, je leur demanderai de commencer par me raconter une histoire d’horreur qu’elles ont vécue dans le cadre de leurs activités. Ne me dites pas encore comment vous avez résolu le problème, car nous allons l’analyser ensemble.  Mais ce qui s’est passé et nous…

À la fin de cette session, vous comprendrez pourquoi et comment la conformité est un élément essentiel : si vous la gardez à l’esprit et que vous concevez vos projets en tenant compte de la conformité, vous pourrez éviter, ou du moins surmonter avec succès, certaines de ces histoires d’horreur. Au fait, si quelqu’un a des questions pendant la session, n’hésitez pas à les poser. D’accord ? Je vous laisse donc la parole pour vous présenter. Parfait. Merci, Danielle. Je m’appelle Yuvraj Mehta.

Je suis responsable de la stratégie en matière de solutions de cybersécurité chez Pure Storage. Je travaille chez Pure Storage depuis plus de 18 mois maintenant. Et ⁓ je vais commencer par une histoire d’horreur. ⁓ Cela s’est passé en fait six mois après mon arrivée chez Pure Storage, chez l’un de nos clients du secteur des services financiers. ⁓ Ce client, que l’on peut considérer comme l’archétype du client qui respecte toutes les listes de contrôle de conformité et tout ce qui s’ensuit, ⁓

Mais il a été victime d’une attaque par ransomware.   Et   en substance, au fil des semaines et des mois,   les attaquants se sont infiltrés dans ses données et ont commencé à les chiffrer. Mais lorsqu’ils ont pris conscience qu’ils avaient été touchés et qu’ils se sont retrouvés dans la salle de crise, l’horreur s’est littéralement installée lorsque le responsable de la conformité ou la personne

a déclaré : « Nous étions en conformité. Nous avons effectué les vérifications. Nous avons effectué les vérifications. » Mais le RSSI a littéralement rétorqué : « Tout cela n’a aucun sens. Je ne peux pas récupérer les données. » Exactement. Et c’est à ce moment-là que toute la salle a pris conscience de la situation en se disant : « Mon Dieu, nous sommes dans le pétrin. Nous ne nous sommes pas préparés à la récupération, et ce d’une manière qui soit très, très fiable et très sécurisée. »

Voilà le point de départ de notre histoire d’horreur. Nous sommes donc assis dans une salle de crise avec le RSSI, l’équipe de conformité, l’équipe informatique, et tout le monde se regarde en essayant de comprendre : « Mais qu’est-ce qu’on va bien pouvoir faire ? » C’est effrayant. Merci beaucoup de vous joindre à nous cet après-midi. Je m’appelle Allen Downs. Au sein de Kyndryl, je suis responsable d’un domaine au sein de notre pôle sécurité et résilience, qui se consacre exclusivement à la

le développement de capacités, de méthodologies et de compétences permettant aux clients de se remettre sur pied. Nous nous concentrons donc fortement sur les événements de type « right of the boom » : comment un client doit concevoir son système, comment il doit se préparer, comment il doit détecter correctement les incidents afin de pouvoir avoir confiance en sa capacité de reprise, en particulier dans le domaine de la cybersécurité, car cela réinvente

complètement la manière dont on aborde ces questions. Mais aujourd’hui encore, bon nombre des problèmes et des répercussions sur lesquels nous travaillons avec nos clients à travers le monde sont dus à des erreurs humaines ou à des catastrophes naturelles. Celles-ci n’ont pas disparu, mais nous sommes en quelque sorte habitués à nous en accommoder. La véritable nouveauté réside dans la sophistication et la rapidité des changements que nous observons en lien avec les cyberattaques d’origine humaine, conçues pour provoquer une interruption maximale des services, etc.

Quand vous m’avez interrogé sur cette histoire d’horreur, c’est intéressant car je travaille chez IBM dans ce domaine depuis plus de 30 ans maintenant. Je sais que je ne suis pas si vieux que ça, donc c’est vrai, n’est-ce pas ? Et au cours de toutes ces années chez IBM, puis aujourd’hui chez Kyndryl, nous avons traversé, comme Chris l’a mentionné tout à l’heure lors d’une autre session en petits groupes, il y a quoi, trois ans, Emilio ? Trois ou quatre ans ? Nous avons été confrontés à de nombreux incidents dont nos clients ont fait les frais. D’accord.

Ce qui me revient le plus à l’esprit, c’est lorsque j’étais assis dans la salle du conseil d’administration d’une grande banque. Je ne citerai même pas le pays, mais nous étions assis dans la salle du conseil d’administration d’une grande banque et la discussion portait sur la manière dont nous pouvions avoir confiance en notre capacité à rendre compte de nos performances environnementales auprès de l’autorité de régulation. Le secteur bancaire. Ils étaient donc soumis à une réglementation. La réglementation devenait plus stricte,

Elle faisait l’objet d’une attention accrue et d’une priorité plus élevée. Mais la discussion visait à nous aider à comprendre comment atteindre le « vert ». D’accord. La discussion portait donc sur les indicateurs, n’est-ce pas ? Il s’agissait uniquement de savoir comment atteindre le « vert ». Le représentant du bureau du directeur des systèmes d’information (DSI), chargé des données, de la sauvegarde des données, de la conformité et des taux de réussite, n’a pas tardé à évoquer le taux de réussite des sauvegardes et le nombre de restaurations effectuées

restaurations effectuées, et a déclaré avec beaucoup d’assurance qu’ils pouvaient restaurer les données en huit heures. Ces huit heures ont été reprises dans leur rapport, dans leur soumission à l’autorité de régulation. Ceux d’d’entre vous qui connaissent un peu les réglementations européennes savent que la Banque centrale européenne a publié un document sur les tests de résistance et que, par conséquent, toutes ces banques ont été invitées à y répondre en présentant une position officielle validée par l’auditeur,

votre équivalent, j’imagine, au sein de cette organisation ; tout était réglé, n’est-ce pas ? Mission accomplie. Les indicateurs communiqués, d’accord, reposaient sur la manière dont ils avaient effectué leurs tests et leurs répétitions à ce sujet. Ce qui est intéressant, c’est que le directeur des risques a ensuite été chargé d’aller le prouver. Quelqu’un en dehors du périmètre du RSSI, quelqu’un en dehors du bureau du DSI, quelqu’un en dehors de l’infrastructure, le RISO, rappelez-vous, le centre de données, n’est-ce pas ? Le RISO, le personnel des installations.

Le directeur des risques : « Allez, prouvez-le. » On nous a demandé de faire la démonstration. Dans les meilleures conditions possibles, les plus parfaites. En réalité, cela a plutôt pris quatre à cinq semaines. Il s’agissait de l’un de leurs processus métier critiques. Le résultat le plus probable : ils n’y sont pas parvenus. C’est l’un de ces moments où l’on se dit : « Je suis client de cette banque, mon crédit immobilier est chez eux. Ces gens-là, vous savez, détiennent mes économies, d’accord ? »

Et c’est sans doute l’un des moments les plus marquants où l’on se dit : « Bon sang, ce secteur n’est pas prêt. » Soit dit en passant, il s’agissait d’une organisation prudente, historiquement très fière de son bilan en matière de conformité et de respect des règles. Il n’y avait ni infraction ni tromperie ; le résultat était authentique, une approche différente avait été testée, mais elle s’est avérée irréalisable. Mais quand on pense à l’impact de tout cela, c’est vraiment terrifiant.

J’ai bien d’autres histoires d’horreur, mais je pense que c’est celle-là qui m’a sans doute le plus marqué. C’est chez moi. Ouah. J’ai donc transféré mon compte d’épargne chez eux. J’y ai gardé mon crédit immobilier. J’y ai gardé ton crédit immobilier. « Désolé. Non, mais le fait est que je trouve que tu l’as parfaitement illustré. Vous avez un responsable de la conformité — je ne sais pas si ça s’est vraiment passé comme ça — qui débarque et dit : « On est en conformité. » Et lui, il répond : « Et alors ? Vous ne pouvez pas récupérer

et vos systèmes sont à l’arrêt et ne vont pas se remettre en ligne dans le délai que vous avez noté sur un bout de papier. Comment donner vie à tout ça ? Nous allons donc décortiquer ces histoires et je souhaite les aborder sous trois angles. Répartissons-les en trois catégories distinctes. Qu’est-ce qui se cache réellement derrière la conformité ? Première catégorie : la visibilité. Deuxième catégorie : la confiance et le contrôle. Troisième catégorie : les compétences.

Parlons donc de la visibilité. Qui veut commencer ? Je peux commencer. Oui. Je pense donc que l’une des choses à garder à l’esprit, n’est-ce pas, lorsqu’on gère une infrastructure complexe — et d’autant plus complexe aujourd’hui avec l’IA —, c’est qu’on ne peut pas renforcer la résilience de ce qu’on ne voit pas. La visibilité est donc la première étape, le point de départ. Et la clé

Ce que nous, chez Pure, avons toujours dit à nos clients et à nos partenaires, c’est que l’une des premières étapes vers la visibilité consiste à simplifier. Simplifier l’ensemble de votre infrastructure, l’ensemble de vos outils. Si vous disposez d’ensembles de données, si votre réseau est compartimenté en silos, vous vous retrouverez alors avec de multiples outils qui se sont développés

autour de ces silos. Ainsi, pour obtenir une vue cohérente et complète de l’ensemble de vos données, il faut commencer par la consolidation, par la simplification. Il faut donc simplifier. C’est la première chose à faire, car cela permet d’instaurer la confiance et de s’assurer que ce que l’on voit correspond bien à la réalité.  C’est la première étape. La deuxième étape en matière de visibilité est en fait l’automatisation.

Vous avez besoin d’automatisation à tous les niveaux de votre pile — afin de pouvoir mettre en place toute cette infrastructure qui s’intègre à l’ensemble des différents outils dont vous disposez. Vous avez donc besoin d’outils et d’une infrastructure dotée d’API robustes permettant cette intégration. Dernier point, je l’ai déjà dit : l’intégration. Vous souhaitez que votre infrastructure de stockage ou votre infrastructure de calcul

s’intègre à vos outils de cybersécurité, n’est-ce pas ?  Avec des solutions comme Commvault, par exemple. Mais vous souhaitez également que cela puisse s’intégrer à des solutions telles que Kyndryl, aux tableaux de bord et aux fonctionnalités fournies par Kyndryl et votre fournisseur de services. Ainsi, à travers cette pile, cette visibilité nécessite, premièrement, de la simplicité ; deuxièmement, des API ; et troisièmement, une intégration très robuste entre ces trois piles.

Alors Allen, j’aimerais que tu ailles plus loin en y ajoutant la visibilité et le contrôle, car dans ton exemple, celui de la banque, je doute fortement que cette banque ait développé en interne toute la technologie qui a conduit à cette situation. Comment gères-tu donc la chaîne d’approvisionnement, le contrôle, la confiance, sans parler du manque probable de visibilité dont souffrait cette équipe sur ce qui se passait ? Mais prenons un peu de recul par rapport à cela.

Après avoir travaillé avec de nombreux clients à travers le monde, je suis fermement convaincu que le principal défi auquel ils sont confrontés aujourd’hui, et leur principale faiblesse, réside dans la prise de conscience et la visibilité. Oui. Je crois sincèrement qu’il s’agit là d’un défi majeur pour eux. Et cela commence réellement par la compréhension, par le client, de ce qu’est son seuil maximal de tolérance en matière d’indisponibilité. Écoutez, il existe de nombreux indicateurs concernant les sauvegardes, les RTO et les RTO. Le monde a changé, n’est-ce pas ?

Il s’agit désormais de s’assurer que l’ensemble de l’entreprise a conscience de ce seuil maximal de tolérance en matière d’indisponibilité et de veiller à ce qu’elle comprenne bien les dépendances qui existent au sein de l’entreprise. On parle tous de « minimum viable company », n’est-ce pas ? La plupart des entreprises diront : « Je connais mon minimum viable company. » Nous les aidons à le vérifier, n’est-ce pas ? Mais ensuite, il faut en comprendre l’impact.

L’indisponibilité de cette « entreprise minimale viable » est un domaine où les clients commencent à rencontrer des difficultés en termes d’impact financier, de risque pour la réputation, de non-conformité réglementaire, sans parler de la question de la confiance de leurs utilisateurs, etc. J’ai donc le sentiment qu’il y a un manque de prise de conscience concernant, d’une part, la question suivante : quels sont mes processus métier critiques ? Quels sont les services métier critiques qui soutiennent ces processus ? Quelles sont les dépendances au sein de l’entreprise

Quels sont les éléments qui soutiennent ces services métier critiques ? La prise de conscience. Quelle est la dépendance au niveau de la couche organisationnelle ? Nous avons évoqué les compétences, n’est-ce pas ? Quelles sont les dépendances au niveau de la couche applicative ou d’un ensemble de couches applicatives ? Quelles sont les dépendances au niveau de la couche de données ? Est-ce que je connais la dépendance d’un serveur métier critique vis-à-vis de mes données ? Où se trouve-t-il ? Où est-il hébergé ? Peut-être sur AWS. D’accord, mais où exactement ? Quels sont les points de défaillance uniques ? Quels sont les risques associés ? Pour moi, cette prise de conscience

doit s’étendre à tous les niveaux de l’entreprise. Allen, fais une petite pause d’une seconde. Combien d’entre vous dans cette salle, combien de vos entreprises ont dressé une liste ou ont au moins abordé le sujet lors d’une réunion de direction avec le conseil d’administration, en précisant : « Voici les cinq systèmes de l’entreprise qui ne doivent pas tomber en panne, sinon nous serons hors ligne » ? Combien d’entre vous savent de quels systèmes il s’agit ? Pouvez-vous les citer ? Vous tous ? Aucun d’entre vous ?

Bon, vous n’êtes donc pas nombreux. Vous êtes en bonne compagnie, d’ailleurs. ⁓ L’un d’entre vous aurait-il eu le courage de dire : « Non, ne vous inquiétez pas, je ne vous aurais pas mis sur la sellette en vous posant cette question », car la question suivante aurait été : « Savez-vous quelle est la solution de secours si ces systèmes tombent en panne ? Comment procédez-vous à la bascule ? » C’est une excellente question et personne ne sait même par où commencer pour y répondre. Mais sans cette réponse, vous n’avez aucune visibilité. Vous y répondez au moment même où survient une crise.

Oui. Et souvent, les clients se rendent compte de cette dépendance au moment même où la crise éclate ou où l’incident s’est produit, et à ce moment-là, il est trop tard. D’c’est le cas de ce grand détaillant au Royaume-Uni, n’est-ce pas ? Un détaillant au Royaume-Uni. Je veux dire, où en sommes-nous maintenant ? Ça fait cinq mois que ça dure ? Si Derek était là, il le saurait avec certitude, mais ça fait cinq mois qu’ils sont hors service. D’accord. Une histoire intéressante. Une grande banque de premier plan a été prise au dépourvu lorsqu’elle a perdu l’un de ses services métier critiques

à la suite d’une panne d’un hyperscaler la semaine dernière. Elle ne s’en était même pas rendu compte, car cela passait par la chaîne d’approvisionnement d’un tiers. Elle n’avait pas réalisé que l’un de ses services métier critiques dépendait d’un centre de données situé en Virginie. D’accord. Ils ont subi un incident dû à une erreur humaine. Ce n’était même pas une cyberattaque. Je sais que je m’emballe un peu sur ce sujet, mais je travaille avec tellement de clients qui ne connaissent pas la réponse à cette question. C’est une excellente question

que vous venez de poser. C’est pourquoi, à mon sens, la sensibilisation est essentielle. Comprendre cela, saisir les interdépendances, puis déterminer quel est le niveau maximal de tolérance qui deviendra votre indicateur clé de performance (KPI) autour duquel vous concevrez le processus, développerez les compétences et mettrez en œuvre la solution avec les contrôles adéquats pour être en mesure de gérer ce risque. Oui. Je n’ai pas de réponse à vous donner. Non, c’est fantastique. D’accord. Parlons donc en quelque sorte du troisième niveau, celui des compétences.

C’est vraiment important, car ce que nous espérons, c’est que les participants quittent cette conférence — et si vous travaillez dans le domaine de la conformité — en se disant : « D’accord, je sais ce que j’ai à faire. Je dois identifier les systèmes qui sont essentiels à l’activité. Et il n’y en a pas beaucoup, une demi-douzaine tout au plus. Et je dois m’assurer de bien le comprendre. Ensuite, je dois déterminer qui est responsable du plan de basculement en cas de défaillance. Quelles sont les compétences nécessaires pour y parvenir ? Alors, Danielle, j’aimerais répondre à cela

Mais je voudrais compléter ce qu’Allen a dit, notamment en ce qui concerne le contrôle et la confiance, n’est-ce pas ?  Le grand défi, les défis qu’Allen a exposés, on les rencontre partout, n’est-ce pas ? Surtout en matière de sensibilisation, mais on ne peut pas instaurer la confiance si on ne peut pas vérifier, n’est-ce pas ? C’est le vieil adage, n’est-ce pas ? « Faire confiance, mais vérifier. »  Et pour acquérir ces compétences, il faut

Assurez-vous que les systèmes sur lesquels vous avez une visibilité et les dépendances que vous avez identifiées, comme Allen l’a mentionné, soient soumis à un processus permettant de vérifier ces plans de manière continue. C’est comme développer une mémoire musculaire. Je reviens à cette histoire d’horreur évoquée plus tôt dans la conversation :

cette banque, qui n’avait pas développé cette « mémoire musculaire » en matière de reprise après sinistre. Cela nous ramène donc à votre organisation, n’est-ce pas ? Et à vos collaborateurs, qui doivent eux aussi développer cette « mémoire musculaire » en matière de reprise après sinistre. Ils en ont besoin, mais comment y parvenir ? C’est comme quand, par exemple, on va à la salle de sport : si l’on veut se muscler, il faut y aller tous les jours ou, en tout cas, avoir une routine régulière. Ces processus doivent donc s’intégrer

du fonctionnement quotidien ou mensuel de votre organisation : « Nous disposons de ces systèmes, nous les avons identifiés, nous savons où ils se trouvent », mais nous devons passer en revue tous nos guides d’intervention. Nous devons ancrer cette mémoire musculaire chez notre personnel informatique et chez nos responsables de la sécurité des systèmes d’information (RSSI) afin que, lorsqu’un incident survient, ils sachent comment réagir. Et il ne faut surtout pas que

Quand quelque chose se produit, on fait venir des renforts en urgence pour qu’ils nous aident, car c’est la recette du désastre : ça prend tout simplement trop de temps. C’est comme si, vous savez… On ne peut pas faire un gâteau simplement parce qu’on a dix personnes assises là, ⁓ donc les compétences dont vous avez besoin doivent en réalité être intégrées à votre organisation au fil du temps ; il faut avoir un plan sur la manière de s’y prendre, mais celui-ci doit reposer sur les fondements de la

La visibilité : je sais ce que je fais, je connais les dépendances, puis je me pose les questions suivantes : « Que dois-je restaurer ? Quelles sont ces applications critiques dont je dois absolument assurer la reprise ? » Ensuite, vous élaborez ces plans de manière cohérente.

Je suis d’accord. C’est intéressant du point de vue des compétences, je vois cela sous deux angles. Il y a les compétences techniques : savoir comment procéder à l’analyse et identifier les dépendances. Mais vous savez, là où je mets l’accent en matière de compétences, et quand je pense aux compétences au sein de notre organisation, cela relève davantage d’un état d’esprit et d’une culture. D’accord. Cela relève davantage de cet état d’esprit et de cette culture. Et c’est ce changement qui doit s’opérer. Exactement. J’ai entendu…

Chris Lovejoy, lors d’une autre session, a dit quelque chose que j’ai noté et qui m’a plu. Nous vivons dans un monde de métriques, et l’un des problèmes liés à la réglementation, c’est qu’on a tendance à se retrouver dans cette logique : « Montrez-moi vos taux de réussite » et « Montrez-moi que vous respectez vos indicateurs clés de performance », etc., etc. C’est donc une approche centrée sur les indicateurs. Chris mentionnait que les indicateurs doivent devenir une mission, n’est-ce pas ?

Et j’adore ça, car cela revient à s’intéresser aux compétences dont nous dépendons pour faire fonctionner ces services métier critiques, pour garantir la confiance envers nos organisations, à s’intéresser à ces compétences. Et cela implique qu’une transformation s’impose. Il faut adopter un état d’esprit différent quant à ce en quoi nous avons confiance, comment nous faisons confiance, comment nous instaurons la confiance, comment nous validons les choses.

Et j’adore cette expression : « faire confiance, mais vérifier », n’est-ce pas ? Je sais que ce principe existe depuis longtemps, mais il n’a jamais été aussi pertinent qu’aujourd’hui, car ces compétences vont bien au-delà des simples indicateurs, des connaissances techniques, des aptitudes, des certifications, etc. Nous avons tendance à recruter sur cette base, mais il y a un aspect essentiel à cela : l’état d’esprit et l’attitude culturels. D’accord. Cela ne doit pas être considéré comme un indicateur. Ça doit être une mission.

Ou alors, l’avantage d’une mission, c’est qu’elle vous motive à la mener à bien. La réussite de son résultat, vous voyez ce que je veux dire ? Excusez-moi, j’aimerais ajouter une chose. Pour rebondir sur ce qu’a dit Allen : la mission ne peut pas se résumer à « nous devons respecter telle réglementation » ou « nous devons nous conformer à telle exigence ». Elle doit être axée sur un résultat. Et quel est ce résultat ? N’est-ce pas ? Vous savez, il y a la loi DORA au sein de l’UE, des réglementations similaires en Inde, …

En Australie, la réglementation est axée sur la santé. Le résultat que toutes ces réglementations cherchent à favoriser, c’est la résilience et la capacité de reprise. Ainsi, lorsque vous vous adressez à votre organisation et que vous souhaitez définir une mission autour de cela, vous ne pouvez pas dire : « Hé, nous devons définir une mission visant à être en conformité avec la DORA ou avec le NIST. »

Ça ne marche pas, car cela reste très cloisonné. Ça devient une mission pour, peut-être, votre service de conformité, ou peut-être votre service des risques. C’est aussi ennuyeux. Oui, c’est ennuyeux, n’est-ce pas ? C’est du genre : « Bon, combien d’indicateurs vais-je cocher ? Combien de rapports dois-je générer pour mon autorité de régulation ? » Il faut plutôt dire : « Notre mission, c’est d’être résilients et de nous remettre rapidement sur pied lorsque quelque chose de grave se produit. » C’est tout. Je crois qu’il y a quatre ou cinq ans,

Le mot à la mode dans les services informatiques, vous savez, c’était « efficacité ». Comment devenir de plus en plus efficaces, n’est-ce pas ? En réduisant les coûts, etc. Ce n’est plus le cas aujourd’hui, n’est-ce pas ? Cela doit être intégré, et ce n’est même plus un simple mot à la mode. Cela doit faire partie intégrante de notre fonctionnement. Comment devenir plus résilients ? N’est-ce pas ? Et cela devrait être notre mission. Pas simplement « je dois me conformer à telle ou telle réglementation ». Vous êtes tous les deux en train de…

Je vais en quelque sorte conclure sur ce sujet vraiment important : la culture de la conformité est en train de changer et doit probablement évoluer plus rapidement. Il faut, vous savez, que les compétences techniques soient fondamentales, mais il faut sortir de la sphère technique et traduire cela en quelque chose qui compte pour les gens, quelque chose qui donne envie aux gens de s’asseoir dans une salle pour écouter. Donc… je pense que la meilleure façon de changer la culture, c’est de commencer par nous-mêmes. Je vais donc poser une dernière question, puis ouvrir le débat. Il ne nous reste que quelques minutes.

Quelle leçon avez-vous apprise à vos dépens au cours de votre carrière dans ce domaine ? Et comment les autres peuvent-ils en tirer des enseignements ?

C’est une bonne question. Je pense que… Parce que lorsque vous vous présentez devant un conseil d’administration, comme vous l’avez souligné, dire « nous devons nous conformer à la loi DORA » est ennuyeux. J’ai déjà vécu une situation de ce genre et je ne veux pas que cela se reproduise. Voici la leçon que j’en ai tirée et voici ce que nous allons faire pour y remédier. Je pense que la leçon que j’ai apprise à mes dépens, c’est que si vous ne brisez pas les cloisonnements au sein de votre organisation et…

entre les équipes, notamment les équipes clés dont vous savez qu’elles seront indispensables dès qu’un incident survient. Et si vous ne prenez pas de mesures à l’avance pour briser ces cloisonnements, la capacité de reprise devient bien plus difficile. Et ces cloisonnements ne se limitent pas aux personnes, n’est-ce pas ? Il s’agit également de cloisonnements au sein de votre pile technologique et de vos structures de données, n’est-ce pas ? Si vous ne prenez pas de mesures proactives à l’avance pour identifier ces cloisonnements,

et de commencer à les démanteler de telle sorte que, vous savez, lorsqu’un incident survient, ces cloisonnements n’existent plus et que tout le monde travaille ensemble, des personnes aux technologies, pour assurer cette capacité de reprise. Vous vous retrouverez dans une situation très délicate lorsque cela se produira. C’est une question vraiment intéressante. Et, vous savez, l’une des choses qui m’a frappé au fil des années, c’est l’importance de la confiance.

L’importance de la confiance au sein de votre propre organisation, l’importance d’instaurer la confiance auprès de vos clients, la confiance du marché, la confiance des autorités de régulation, etc., n’est-ce pas ? La confiance est probablement l’un des facteurs les plus importants dans le monde des affaires. C’est grâce à la confiance que vous vous développez. D’ailleurs, si vous bénéficiez d’un niveau de confiance suffisant, vous ne rivalisez plus sur les prix, mais sur votre réputation.

D’où vient la confiance ? La confiance vient — nous l’avons déjà dit, et merci de l’avoir rappelé, car cela m’a fait réfléchir — de l’idée que la véritable essence de la confiance, c’est la confiance que l’on peut vérifier. On peut la vérifier. Il est irresponsable de faire confiance sans pouvoir vérifier. De très nombreuses organisations en ont fait les frais. Je me pose donc la question suivante : comment vérifier ? La vérification et la conformité constituent en quelque sorte une ligne directrice. Ce n’est pas vraiment…

sans vouloir manquer de respect à la conformité, qui est formidable lorsqu’elle est adaptée. C’est une ligne directrice, mais la capacité d’une organisation à vérifier variera d’un cas à l’autre. D’accord. C’est pourquoi la sensibilisation est si importante. La visibilité est si importante, n’est-ce pas ? La capacité à vérifier dépend de la mise en place de contrôles adéquats permettant de le faire. Je vais le dire. Je vais peut-être trahir mon âge ici : « Hé, testez, testez, testez, testez de manière appropriée. » Et ce que j’entends par « tester de manière appropriée »,

Brisez les silos dont nous avons parlé tout à l’heure. Ne testez pas le silo. Testez ce qui compte pour le client de votre client. Testez ce qui compte pour le conseil d’administration. C’est pour ça que nous… Ouais, et je devrais vraiment le faire. Vous aimeriez sûrement que je le fasse. Mais le fait est que la capacité à tester doit correspondre aux critères de réussite de l’organisation. C’est pourquoi il faut commencer par se concentrer sur le minimum viable et sur les services métier critiques.

Et d’ailleurs, il faut savoir quel est l’impact par rapport auquel on effectue les tests. Les paiements vont vous coûter, dans certains cas, des milliards de dollars par jour, n’est-ce pas ? Ce n’est pas une exagération, les chambres de compensation, n’est-ce pas ? Etc. C’est de cette exposition dont nous parlons ici. Donc, en somme, la leçon que j’en ai tirée, je suppose, c’est la nécessité de pouvoir faire confiance. On peut faire confiance, mais il faut vérifier. Pour vérifier, il faut donc disposer des contrôles permettant de le faire. Il faut être capable de tester.

Et puis, d’un point de vue culturel, il faut disposer des compétences nécessaires. Je crois fermement en ces trois catégories que vous avez mentionnées tout à l’heure. La visibilité est essentielle, les contrôles sont indispensables. Disposer des compétences est absolument une priorité pour que les organisations réussissent et atteignent la maturité dans ce domaine. Je dirais que cela dépend de votre organisation, de votre situation. Exactement. Il n’y a pas de solution miracle. Ce que Commvault, Pure et Kyndryl ont fait,

C’est de fournir un outil, un mécanisme, n’est-ce pas, que les organisations peuvent examiner, imiter et, si nécessaire, adopter également, n’est-ce pas ? Nous nous positionnons, nous établissons la norme sur la manière dont les organisations et les clients peuvent se conformer à ces réglementations, mais d’une manière qui comble le fossé technique, le fossé en matière de compétences et le fossé en matière de confiance, n’n’est-ce pas ? Nous nous attaquons donc à cela, nous avons établi une norme.

Cela répondra-t-il aux besoins d’une organisation ? Cela dépend de l’organisation. Vous savez, chercher une solution miracle n’est probablement pas la bonne façon d’aborder la résilience et la récupérabilité dès le départ. Mais ce que nous avons fait, c’est donner un exemple, n’est-ce pas ? En disant : « Voilà, c’est une approche que nous avons validée. Nous avons effectué des tests au niveau technique, au niveau des compétences »

et nous n’hésitons pas à dire à nos clients et à nos partenaires : « Vous pouvez adopter cette solution, elle vous aidera à vous remettre d’une attaque par ransomware. » C’est ce que nous avons fait. Si cela répond aux besoins d’une entreprise, c’est un excellent début et nous serions ravis de collaborer avec elle également.

Et pour aller plus loin, je pense que ce qui est vraiment fascinant dans ce que nous avons réalisé avec Commvault, Pure Storage et Kyndryl, c’est que notre point de départ était le point de vue du client. « Quel problème essayons-nous de résoudre pour le client ? » Et nous avons choisi une réglementation, en l’occurrence la DORA. Nous nous sommes donc retrouvés tous les trois pendant… Emilio, tu étais là aussi, n’est-ce pas ? Des heures, des jours… des mois. Nous avons travaillé à harmoniser les capacités

grâce aux compétences, aux technologies, à la stratégie de stockage et à la pile de contrôle fournies par Commvault. Et nous avons trouvé une solution conforme à la réglementation DORA en vigueur à l’époque. Il s’avère que la réglementation DORA s’applique dans toutes les régions du monde, avec des thèmes communs que l’on retrouve partout. Ce que nous avons donc conçu ensemble repose en grande partie sur les besoins des clients, ce qui nous permet de leur proposer une solution concrète.

La rapidité et les capacités mises en œuvre répondent à bon nombre des exigences de ces clients. Oui. Qu’ils soient soumis à une réglementation ou non. Et je pense que, d’un point de vue culturel, entre nos trois organisations, cela a extrêmement bien fonctionné car, lorsque les trois organisations travaillent ensemble, ce n’était pas tant la technologie ou les fonctionnalités — sans vouloir manquer de respect — qui comptaient, mais vraiment la relation. C’est ça, le résultat. C’est le résultat que nous essayons également d’atteindre. Oui. C’est une façon parfaite de conclure, car…

Ce que je tenais à dire au nom de Commvault, c’est merci à vous deux. Merci à Pure et à Kyndryl. Vous êtes vraiment des partenaires essentiels pour nous. Nous avons travaillé très dur pour construire ensemble des relations et instaurer la confiance. Cela ne signifie pas que nous sommes parfaits. Cela ne signifie pas que notre solution est parfaite, mais cela signifie que nous apportons beaucoup d’expertise dans la relation et le partenariat que nous mettons en place pour nos clients. Et nous vous en sommes très reconnaissants à vous deux. Alors merci de votre attention, merci de votre attention. Merci de nous avoir invités. Merci. Merci de nous avoir invités. Merci.