Cyber resilience is more than just a buzzword – it’s a critical component of business strategy. So says Rosa Kariger, a leading expert in cybersecurity, who recently joined Commvault President and CEO Sanjay Mirchandani on the podcast « Resilience Uncompromised». Rosa revient sur son expérience en tant que RSSI chez Iberdrola et dans le domaine de la cybersécurité au Forum économique mondial, et partage des réflexions précieuses sur la manière dont les organisations peuvent instaurer une culture de la cyber-résilience.
Comprendre la cyber-résilience en tant que risque opérationnel
Cyber resilience isn’t just about having robust disaster recovery and backup systems. It’s about enabling your business to continue to function and provide essential services even when your IT infrastructure is compromised. Rosa emphasizes that cyber resilience should be integrated into your overall risk management strategy. This means treating cybersecurity as a strategic business enabler, not just a technical challenge.
L’importance de la préparation
La préparation est la pierre angulaire de la cyber-résilience. Rosa insiste sur la nécessité de prévoir différents scénarios, en particulier dans les situations où vous pourriez perdre toute connectivité. Il est essentiel de disposer d’un plan B pour les fonctions critiques de l’entreprise. Cela permet à votre organisation de maintenir ses activités et de continuer à servir ses clients en cas de cyberincident.
Des responsabilités et une obligation de rendre compte clairement définies
Pour instaurer une culture de cyber-résilience, il faut définir clairement les responsabilités et les obligations de rendre compte. Rosa souligne que chaque collaborateur, en particulier ceux qui déploient des technologies, doit être tenu responsable de la cybersécurité de ses processus. La cybersécurité ne doit pas être la responsabilité exclusive du RSSI ou des équipes informatiques. Elle doit au contraire être une responsabilité partagée par l’ensemble de l’organisation.
Les professionnels techniques devraient être incités à veiller au respect de la cybersécurité, car ils sont responsables de la qualité, de l’efficacité et du coût des technologies sur lesquelles ils travaillent. Cette approche intègre la cybersécurité au cœur même des activités de l’entreprise et garantit qu’elle ne soit pas considérée comme un élément secondaire.
Le rôle de la fonction de cybersécurité
La fonction de cybersécurité doit jouer un rôle de conseil et constituer une deuxième ligne de défense. Cela implique de fournir des orientations et des informations à l’organisation, tandis que les responsabilités spécifiques en matière de cybersécurité sont intégrées au sein des équipes techniques et opérationnelles. Ce faisant, la fonction de cybersécurité peut apporter une vision stratégique et un soutien, contribuant ainsi à créer une organisation plus résiliente et plus sûre.
Mesures concrètes pour renforcer la cyber-résilience
Building a culture of cyber resilience is not just about implementing advanced security technologies; it’s about fostering a mindset where every employee understands and takes responsibility for cybersecurity. Here are some practical steps and real-world examples to help organizations achieve this:
- Integrate cyber risk into overall risk management: This means that risks associated with technology use are identified, accepted, and managed at all levels. By doing so, employees are better prepared to handle cyber incidents, maintaining continuous business continuity even when technology fails.
- Increase preparedness: Conduct regular scenarios of complete loss of connectivity or other major disruptions. This helps in increasing the organization’s tolerance to failure. For example, a financial institution might simulate a scenario where all digital transactions are halted, and employees must rely on manual processes to continue operations.
- Define clear roles and responsibilities: Confirm that every team, including technical and operational roles, has clear cybersecurity responsibilities. This distributed accountability makes everyone incentivized to maintain security. For instance, in an industrial setting, an engineer working on the digitalization of a process should be accountable for the cybersecurity of that process, not just the CISO.
- Provide proper training: Training is crucial to enable employees to manage cybersecurity risks effectively. Technical professionals should be trained to understand and mitigate cybersecurity risks in their specific roles. This verifies that they are knowledgeable and capable of implementing necessary safeguards.
- Implement a “sustain” strategy: Develop a Plan B to maintain continuous business during IT infrastructure disruptions. This could involve having backup systems, manual processes, or alternative communication channels. For example, a healthcare provider might have a plan to use paper records and manual check-ins if their electronic health records system goes down.
En suivant ces étapes, les organisations peuvent mettre en place une culture solide de cyber-résilience. Cette approche permet à chacun d’être prêt à gérer les incidents cybernétiques, à assurer la continuité des activités et à protéger les informations sensibles.
La cyber-résilience est un parcours, pas une destination. En intégrant la cybersécurité à vos pratiques de gestion des risques, en favorisant une culture de la responsabilité et en veillant à ce que votre personnel soit bien préparé et informé, vous pouvez contribuer à créer une organisation résiliente, prête à relever n’importe quel défi. Restez proactifs, restez informés et restez résilients.
