Le paradoxe du RSSI

Parce qu’aucune équipe de sécurité ne peut tout surveiller : donner aux employés les moyens d’identifier et de prévenir les menaces contribue à mettre en place une défense plus solide et mieux répartie. 

En s’appuyant sur leur influence, la communication et la collaboration interfonctionnelle pour intégrer les pratiques de sécurité dans les processus quotidiens et la prise de décision. 

Les attaques sophistiquées, telles que le phishing par usurpation d’identité du PDG, exploitent la confiance interne et nécessitent une sensibilisation à l’échelle de toute l’organisation. 

La sécurité moderne allie leadership, culture d’entreprise, formation et processus intégrés – et ne se limite pas à des contrôles d’accès ou à des défenses réactives. 

Lorsque la sécurité est intégrée au sein de toutes les équipes, cela permet d’identifier les risques plus tôt et d’apporter des réponses plus rapides et plus efficaces. 

Veuillez visionner la vidéo ici pour obtenir une transcription horodatée

Bienvenue. 

Nous sommes en direct depuis SHIFT et je suis ici en compagnie de Bill
O’Connell, directeur de la sécurité chez Commvault, et de Will Galway, directeur adjoint de la sécurité chez Commvault. 

Voici « The CISO Paradox », un podcast consacré à la sécurité à l’ère de la responsabilité individuelle
. 

Nous vivons une période difficile pour les RSSI. 

Pourquoi ? 

Eh bien, euh… les RSSI sont souvent tenus pour responsables, tant sur le plan personnel que juridique, 

des résultats en matière de sécurité au sein de leur entreprise, mais ils ne disposent pas nécessairement directement du
budget, des effectifs ou des technologies qui permettent d’atteindre ces résultats. 

Cela rend leur travail particulièrement difficile. 

Nous allons donc aborder ce sujet aujourd’hui, ainsi que ce que signifie être un RSSI moderne et comment ce
rôle évolue au sein des plus grandes entreprises du monde. 

Je vais d’abord donner la parole à Bill. 

Bill, que fais-tu exactement ? 

Oui, j’adore le titre de notre session, qui porte sur ce paradoxe, n’est-ce pas ? 

Il y a là un véritable dilemme : d’un côté, on veut que le responsable de la sécurité et son
équipe aient une responsabilité, une responsabilité ultime. 

Mais d’un autre côté, on parle aussi de concepts comme le modèle de responsabilité partagée, n’est-ce pas ? 

Alors, comment concilier ces deux aspects ? 

Comment mettre en place une organisation qui, euh, puisse garantir que la sécurité de l’entreprise soit
à la hauteur des exigences 

tout en reconnaissant qu’ils ne peuvent pas être partout ? 

Il faut donc également se préoccuper de l’ensemble des personnes au sein de l’organisation, de l’ensemble des technologies,
ainsi que de l’ensemble des systèmes et des processus. 

J’aime donc considérer cela comme un paradoxe : permettre aux deux choses d’être vraies et se concentrer
, certes, sur la question de savoir si nous disposons de l’expertise adéquate en matière de sécurité, mais aussi sur la manière dont nous pouvons changer la culture de 

organisation ? 

C’est donc 

en quelque sorte une « culture en tant que code » où chacun sait ce qu’il est autorisé à faire. 

Et si vous parvenez à amener l’ensemble de l’organisation à réfléchir un peu plus à la sécurité, euh
, cela aura probablement plus d’impact que d’embaucher une personne de plus dans l’équipe de sécurité. 

Je pense donc que ces deux aspects sont importants, mais la situation a vraiment évolué avec le temps. 

Tu sais, ton adjoint Will essaie ici de faire de tous les collaborateurs de l’entreprise des
gardiens de la sécurité. 

Comment y parvenez-vous, Will, alors que les attaques ne cessent de se complexifier ? 

Je veux dire, nous avons tous reçu des appels de Sanjay Marchandani, notre PDG, rien que la semaine dernière
, nous demandant des cartes-cadeaux et des virements bancaires en vue de SHIFT… Alors, comment pensez-vous 

pour t’assurer que nous soyons tous suffisamment vigilants ? 

Comment faire évoluer la culture vers un modèle de responsabilité partagée ? 

Oui, et je pense qu’il est important de privilégier l’influence plutôt que l’autorité. 

Comme tu l’as dit en introduction, 

, nous ne contrôlons pas tous les systèmes, ni toutes les personnes, ni leur compte WhatsApp personnel. 

Ce sont donc simplement des domaines dans lesquels nous devons user de notre influence pour collaborer avec les dirigeants de l’entreprise et les autres responsables de service, et faire
passer ce message à nos équipes. 

Je pense que chacun a une responsabilité en matière de sécurité, mais tout cela vise à permettre à l’entreprise d’avancer
plus vite. 

Et je pense qu’il y a des mesures que nous pouvons prendre – et que nous prenons déjà – pour y contribuer. 

Je pense qu’il est vraiment important de mettre en
place cette culture de la sécurité dont Bill a parlé. 

Et je pense que, euh, 

nous faisons du bon travail dans ce domaine en ce moment. 

Oui, je suis d’accord. 

Au fait, les appels et les SMS étaient des faux. 

C’était une tentative d’hameçonnage. 

Ils n’étaient pas réels. 

Euh… Juste pour que tout le monde comprenne bien. 

Euh… Alors, Bill, comment envisages-tu la mise en place d’une organisation de sécurité moderne au
sein d’une entreprise aujourd’hui ? 

Parce qu’il ne s’agit pas seulement de bloquer et de contrer, tu sais, euh, les problèmes d’identité et d’accès. 

Qu’en penses-tu ? 

Oui, je pense qu’en partie, euh, 

il faut un certain niveau d’expertise. 

Mais parmi les différents modèles d’organisations de sécurité que j’ai observés par le passé, j’en ai vu certains
qui tentaient d’adopter une approche où la sécurité est le héros, le pompier qui s’occupe de 

de tout. 

Et quand on crée ce mur et cette séparation, on décharge alors tout le monde dans l’organisation de
toute responsabilité. 

Ils peuvent se dire : « Bon, je vais juste faire mon travail, et la sécurité s’occupera des questions de sécurité
. » 

Et je ne pense pas que ce modèle fonctionne. 

Je pense que 

qu’il faut plutôt voir les choses ainsi : quand on construit une maison, il n’y a pas de
plombier et d’électricien, puis un électricien « de sécurité » ou un plombier « de sécurité », n’est-ce pas ? 

Le plombier et l’électricien doivent savoir comment faire leur travail en toute sécurité dès le
départ. 

Je pense donc que lorsque l’on réfléchit à l’organisation moderne, la question est : où se trouvent les bonnes personnes
, les bons rôles et les bonnes fonctions qui devraient faire partie de l’équipe de sécurité ? 

Et ensuite, comment pouvons-nous aider les autres équipes à renforcer leur sécurité ? 

Et comment puis-je aider une entreprise de services 

à identifier les moments de leur journée où la sécurité est importante, et comment puis-je leur
apprendre à faire preuve de plus de méfiance ? 

Euh… Quand je pense à une organisation d’ingénierie produit, je ne peux pas avoir des développeurs qui
ne pensent pas à la sécurité et qu’ensuite une équipe de sécurité vienne corriger le tir, n’est-ce pas ? 

Depuis des années maintenant, les entreprises s’efforcent d’adopter une approche « shift left » pour que les
développeurs pensent en termes de sécurité, développent en toute sécurité, et ensuite, oui, il y a l’équipe de sécurité qui 

effectuera également quelques vérifications, 

mais nous ne sommes pas là pour tout repérer. 

Soit l’équipe a empêché le problème dès le départ, soit, s’ils ont euh créé une vulnérabilité,
ils l’ont corrigée bien avant qu’elle n’atteigne l’environnement de production. 

Ce sont donc là les domaines dans lesquels une organisation de sécurité moderne apporte une véritable expertise, permettant
à toutes les autres équipes de travailler de manière plus sécurisée. 

Et je pense, pour revenir très rapidement sur le point soulevé par Bill, qu’il y a une évolution vers là où
se trouve l’activité. 

Je pense que c’est vraiment important. 

Et je pense 

euh, vous savez, il ne faut plus se cantonner au silo de sécurité classique que l’on voyait autrefois ; il faut
aller là où se trouve l’activité et établir des liens à ce niveau. 

Pour revenir à ce que disait Bill au sujet des développeurs et des personnes qui sont plus proches du produit… 

Je veux dire qu’il y a des formations et des moyens de renforcer la sécurité de manière globale. 

En plus du produit, on peut aussi le faire en interne. 

Je pense qu’il faut reproduire ces pratiques et aller à la rencontre de l’activité là où elle se trouve afin
d’améliorer ce que nous faisons. 

C’est un excellent point. 

Je voudrais être très précis sur ce point. 

Ainsi, pour les organisations qui développent leur fonction de cybersécurité par nécessité, mais
qui ont peut-être repoussé cet investissement aussi longtemps que possible, votre organisation et les tâches 

qui vous sont confiées revêtent une importance capitale. 

Vous êtes chargé de vous assurer que les produits développés sont sécurisés lorsqu’ils
parviennent entre les mains des clients. 

Vous êtes chargé de 

Vous représentez pratiquement le dernier maillon de la chaîne avec le client avant qu’il n’achète. 

Ils veulent s’adresser à l’un de vous deux pour s’assurer de bien comprendre que les produits sont
conçus dans un souci de sécurité et savoir ce qui se passera si l’impensable venait à se produire. 

Euh… Vous avez pour mission de vous assurer que tout le monde dans l’entreprise, euh, protège notre accès à
ce qui compte en interne, et de sensibiliser les gens, car on ne peut pas avoir une équipe 

est si grande, n’est-ce pas ? 

Il faut donc former les développeurs à la sécurité dans le code, et former les commerciaux
sur le terrain à la vente sécurisée. 

Qu’en pensez-vous ? 

Je veux dire, c’est une mission assez vaste. 

Je poserais la question ainsi. 

Selon vous, quels sont les cinq rôles clés d’une organisation moderne dirigée par un RSSI
? 

C’est difficile de répondre, car comme vous l’avez mentionné, tous ces domaines sont extrêmement importants. 

Je pense que… 

l’une des choses que je fais, vous savez, quand j’arrive dans une nouvelle organisation, c’est de
comprendre ce que fait l’entreprise et, vous savez, ce qu’elle essaie 

atteindre ? 

Et je pense que c’est quelque chose qui a beaucoup évolué au fil du temps : au départ, une organisation de sécurité avait
pour habitude de, disons, tout refuser. 

Puis on s’est rendu compte qu’on ne pouvait pas faire ça, que tout est connecté, que tout est numérique. 

Alors, comment puis-je m’assurer que 

nous soyons sécurisés dès la conception, tout en sensibilisant l’entreprise et en allant à sa rencontre là où elle
en est, n’est-ce pas ? 

Pour que nous puissions, euh, y parvenir. 

Euh, je pense aussi que vous me demandez quels sont les rôles clés au sein de l’organisation. 

Euh, je ne suis pas sûr de pouvoir les classer, je pense, car ils ont tous des missions très différentes. 

Euh… Mais en fin de compte, pour moi, je pars de ce que l’entreprise cherche à accomplir et
des risques encourus, n’est-ce pas ? 

Tout doit être axé sur les risques. 

Et donc, 

si j’ai une équipe qui se concentre sur la sécurité des applications ou une équipe qui s’occupe de l’infrastructure
ou du cloud, euh, il est presque indispensable, euh, c’est tellement important que nous utilisions le risque comme une sorte 

sorte de taxonomie unique pour aborder tout ce qui pourrait mal
tourner, afin que je puisse comparer un problème de conception d’architecture qui ne me plaît pas à une 

vulnérabilité potentielle dans une application, et ainsi de suite au sein de l’équipe de sécurité. 

En effet, lorsque nous disons que quelque chose est critique, qu’est-ce que cela signifie ? 

Et je n’ai pas besoin de transformer les dirigeants de l’entreprise en experts en cybersécurité en permanence. 

Je ne leur parle pas de scores CVSS ou, vous voyez, j’ai traduit cela en disant que lorsque je dis
que quelque chose est critique, cela signifie que nous devons arrêter ce que nous sommes en train de faire. 

Quand je dis que quelque chose est « élevé », vous devez vous inquiéter. 

Et de même, quand je dis que quelque chose est de faible gravité, sachez simplement que nous le surveillons 

mais que je ne vais pas y consacrer trop de temps. 

Je vais consacrer une part disproportionnée de mon temps aux problèmes critiques et à haut risque. 

Je pense donc que tous les acteurs de l’organisation, en particulier au sein de l’équipe de sécurité,
doivent comprendre cette taxonomie afin que nous puissions communiquer avec les métiers d’une manière qu’ils 

comprenne, sans avoir à entrer dans des discussions sur les injections SQL et la manière de les éviter. 

Je pense également qu’il est important de garder à l’esprit, notamment lorsque l’on parle de risque de
cette manière, 

la plupart du temps, le risque est évalué en fonction de sa probabilité ou selon les critères définis par une
autorité, une instance de référence, mais nous devons nous concentrer sur l’impact sur l’entreprise. 

Je pense que c’est une façon vraiment importante de l’évaluer, et ce qui détermine ce niveau de criticité
, c’est l’impact que cela pourrait avoir sur nous ; c’est selon cet ordre que nous traiterons les problèmes. 

Et je pense que c’est une approche saine. 

C’est une approche simple, car je pense simplement que l’ordre dans
lequel on procède a son importance. 

Parlons donc du risque concrétisé pendant quelques minutes. 

Nous avons tous les trois déjà géré ensemble une réponse à une violation de données, ce qui est la meilleure façon d’apprendre
. 

Hum… Quelles en sont les caractéristiques ? 

Quels sont les traits de personnalité des dirigeants qui sont en première ligne lors d’une intervention en cas de violation de données ? 

Je vais commencer par toi, Will. 

Je pense que l’hygiène informatique est vraiment importante. 

Et je pense que dans la grande, grande, grande majorité des violations de données publiques dont on entend parler, tout commence par l’hygiène informatique
. 

Et je pense que pour un bon dirigeant, il ne faut pas laisser la perfection être l’ennemie
du bien, mais simplement s’assurer que nous parvenons là où nous devons aller pour protéger l’ 

société. 

Je pense sincèrement que les bons dirigeants ne se contentent pas de cela, mais qu’ils établissent
également des relations et instaurent la confiance entre les différentes divisions de l’entreprise. 

Nous sommes tous dans le même bateau et chaque petit geste compte. 

Que ce soit en traitant avec différentes personnes au sein de l’entreprise ou avec différents collaborateurs
dans différentes divisions ou régions. 

Je pense qu’il est vraiment important que chacun puisse se rassembler et connaître ses
responsabilités dans ce type de modèle de culture de sécurité partagée. 

Et Bill, vous vous présentez devant les conseils d’administration. 

Comment envisagez-vous ce moment où, que vous le signaliez ou non, l’alarme retentit
? 

Qui êtes-vous à ce moment-là et quelles sont, selon vous, les meilleures qualités d’un
dirigeant face à une crise ? 

Personnellement, je trouve ça drôle. 

Je peux être très agacé dans les embouteillages 

mais quand il se passe quelque chose de très grave, je peux rester très, très calme. 

Et je pense que l’une des qualités les plus importantes est justement de savoir composer
avec des informations incomplètes. 

Un million de personnes vous poseront des questions et vous devez vraiment être capable de
vous concentrer pour vous dire : « Bon, qu’est-ce que je dois faire tout de suite ? 

Quelle est la prochaine étape ? 

Tout en gardant une vue d’ensemble : au bout du compte, où dois-je en
être ? 

Et ensuite, communiquer avec l’extérieur. 

C’est intéressant : j’ai beaucoup de conversations avec les clients, et
tout au long de ma carrière, j’ai dû le faire ; parfois, il faut savoir reconnaître ses torts. 

D’autres fois, c’est plus proactif et, comme vous l’avez mentionné, il s’agit d’essayer d’instaurer la confiance dès le début. 

Euh… Et on peut en quelque sorte distinguer les RSSI qui ont déjà rencontré des problèmes de ceux qui n’en ont pas
eu, car nombreux sont ceux qui disent : « Vous avez eu des problèmes X, Y et Z. 

« Nous, vous savez, nous ne pouvons pas travailler avec vous. 

Euh… 

Et on commence à se rendre compte, quand on est dans le métier depuis assez longtemps, qu’euh, on va finir par manquer
d’entreprises avec lesquelles travailler, n’est-ce pas ? 

Tout le monde rencontre un problème à un moment ou à un autre, ou alors il ne le sait tout simplement pas encore. 

Ce qui importe donc davantage, c’est de savoir comment ils ont géré la situation. 

Comment ont-ils réagi ? 

Font-ils preuve de transparence ? 

Ah… Et donc, vous savez, c’est ce que je recherche lorsque je discute avec d’autres RSSI ; je
pense que c’est le genre de mentalité qu’il faut avoir. 

Mon analogie préférée, c’est celle d’un boxeur. 

qui prévoit de ne jamais se faire frapper au visage. 

Ce n’est tout simplement pas une bonne stratégie. 

Il faut donc se préparer à ce que quelque chose arrive. 

Et donc, est-ce que vous regardez toujours vers l’avenir ? 

Vous n’êtes, disons, jamais satisfait du programme, n’est-ce pas ? 

Il y a toujours quelque chose de mieux que tu pourrais faire. 

Du coup, quand tu planifies ton année, prévois 10 à 15 % de budget et de temps en plus… 

en réserve, car vous ne savez pas ce qui va se passer. 

Vous ne savez pas ce qui va changer. 

On ne sait pas comment l’IA va transformer nos métiers d’ici un an. 

Alors plutôt que de penser que vous avez toutes les réponses, accordez-vous un peu de
souplesse, afin de pouvoir faire preuve de résilience et identifier les domaines dans lesquels vous devrez vous adapter. 

Alors, aventurons-nous en eaux plus profondes. 

La confiance s’accroît ou s’effondre au moment de vérité. 

Imaginons que votre entreprise ait subi une violation de données ou que 

un maillon de la chaîne d’approvisionnement a subi une faille qui vous affecte. 

Euh… Comment vous assurez-vous de renforcer la confiance tout au long de ce processus, plutôt que de la
briser auprès de vos clients, de vos employés, de votre conseil d’administration et de vos dirigeants ? 

Et j’aimerais ajouter un autre élément à cela : la réponse à une
faille de sécurité ne se fait pas en un jour, ni en une semaine ; parfois, cela prend des mois. 

Et si beaucoup de personnes reprennent leurs activités habituelles, l’équipe de sécurité, les équipes éventuellement
touchées, ainsi que les clients et les fournisseurs, 

doivent continuer à composer avec cette situation jusqu’à ce qu’elle trouve une issue naturelle, mais ce n’est jamais rapide. 

Alors, comment maintenir le moral et rester concentré ? 

Explorons un peu ces deux aspects pendant une minute. 

Oui, je pense qu’il est bien sûr important de mettre en place les contrôles adéquats. 

C’est aussi une question de processus : comment y parvenir, sachant que les choses vont changer et que les nouvelles
technologies apparaîtront à un rythme de plus en plus rapide 

il ne suffit pas d’avoir une liste de contrôle et de se demander : « Ai-je fait ces 10 choses ? » 

Il s’agit aussi de savoir selon quel processus on détermine quelles sont ces 10 choses et en quoi cela sera-t-il
différent l’année prochaine ? 

C’est pourquoi faire preuve d’adaptabilité et adopter cet état d’esprit est probablement aussi important que, vous savez,
de dresser l’inventaire des contrôles techniques dont je dispose un jour donné. 

Je pense que c’est ce que j’attends, ce que j’espère trouver au sein de mon équipe. 

Et quand je discute avec d’autres RSSI, 

je pense que c’est la meilleure qualité que j’ai observée : savoir s’adapter et accepter
le fait qu’on ne peut pas avoir toutes les réponses. 

Alors, quelle est votre méthode pour déterminer quelles devraient être ces priorités ? 

Je pense aussi que, vous savez, vous avez parlé de fatigue, n’est-ce pas ? 

Surtout après qu’une violation s’est produite et que les gens reprennent leur travail quotidien. 

Je pense que si vous êtes évalué tout au long du processus et que vous vous évaluez constamment, vous
savez où vous en êtes, vous savez où vous en êtes dans votre progression, et vous savez ce qu’il 

il reste à faire. 

Je pense donc que cette évaluation est vraiment importante pour savoir quand tirer la sonnette d’alarme
et quand cesser de le faire pour essayer de revenir à un fonctionnement normal de l’entreprise. 

Mais je pense que tout cela découle du travail de préparation que l’on effectue en amont pour
y parvenir. 

Si vous êtes au téléphone avec un fournisseur, un client ou un prospect, et qu’il vous
demande de lui raconter une fois où vous avez été victime d’une violation de données et comment vous 

avez communiqué avec les personnes concernées. 

Comment menez-vous cette conversation ? 

Car il existe toute une gamme de façons de procéder : vous pourriez suivre un script juridique, ou laisser
votre équipe commerciale s’en charger. 

Mais quelle est la meilleure façon d’aborder cette conversation pour instaurer la confiance ? 

Je pense que je travaille dans le domaine de la sécurité depuis près de 20 ans et j’ai eu de nombreuses conversations
avec d’autres RSSI. 

Je pense que la transparence est la chose la plus importante. 

Je pense que les gens le sentent 

lorsque vous ne leur donnez pas une réponse exhaustive ou complète. 

Et cela sape probablement la confiance plus rapidement que n’importe quoi d’autre. 

Et comme dans toute relation qui repose sur la confiance, quand on la perd, c’est tellement plus difficile de
la regagner. 

Donc, être capable de dire : « Voilà ce dont nous sommes sûrs, voilà ce que nous ignorons », c’est bien
mieux que d’essayer de présenter les choses sous un jour plus favorable qu’elles ne le sont en réalité. 

Vous savez, je suis d’accord pour dire que la transparence est essentielle. 

Et je pense qu’en tant que professionnel de la sécurité, nous attendons avec impatience de lire les rapports véridiques
publiés après une violation de ce type ; on en apprend énormément 

lorsque les entreprises font preuve de franchise et d’ouverture sur ce qui s’est passé. 

Et à ce moment-là, quand on reçoit ce premier appel téléphonique, je pense, comme le souligne Bill, qu’il
faut se montrer aussi ouvert et honnête que possible, simplement parce que les gens 

comprennent que 

ce genre d’incidents peut arriver, mais c’est votre réaction qui déterminera la façon dont elles vous jugeront à
l’avenir. 

Bon, changeons de sujet et parlons de l’IA. 

L’IA semble bouleverser la donne en matière d’attaques de cybersécurité, tant au niveau du paysage que des vecteurs d’attaque
. 

Comment pensez-vous que vos rôles vont évoluer d’ici un an, à mesure que l’IA gagnera en maturité ? 

Je pense que ça va être délicat. 

Si l’on considère l’IA du point de vue de la sécurité, c’est un… 

problème à résoudre, car nous essayons de l’utiliser pour, euh, améliorer l’activité et permettre à
l’entreprise d’évoluer plus rapidement. 

Nous essayons également de l’utiliser à des fins de sécurité afin de nous aider à protéger l’entreprise. 

Mais nous voulons aussi nous assurer qu’elle ne se retourne pas contre nous pendant que nous essayons de
réaliser ces deux premiers objectifs. 

Je pense donc que cela va changer la donne. 

Et je n’y ai pas cru pendant longtemps. 

Mais plus on observe l’évolution de la situation, l’IA agentique et la
manière dont les entreprises vont commencer à faire confiance à un modèle 

capable de fournir ces résultats et d’apprendre au fil du temps, parfois
presque mieux que des employés, 

Je continue de penser que les employés sont indispensables pour assurer l’aspect sécurité. 

Je ne prétends pas que nous allons tous être dépassés par une surabondance d’IA, mais je pense que cela
va considérablement changer notre façon de concevoir et de planifier la protection de l’entreprise, à mesure que l’IA 

devient de plus en plus omniprésente, tant dans les attaques que dans la défense d’une
entreprise. 

Oui, et c’est un excellent exemple qui montre que 

Tu sais, je pense qu’il faut anticiper l’inconnu et se laisser un peu
de temps et de budget pour faire face à des changements si rapides au cours de l’année à venir que je ne peux pas 

prévoir exactement comment nous utiliserons l’IA. 

Et quand les gens parlent d’IA, qu’entendent-ils exactement, n’est-ce pas ? 

L’IA agentique par opposition au simple apprentissage automatique. 

Alors, euh, est-ce qu’on se laisse la marge de manœuvre pour dire : « D’accord, on n’a pas de réponse. » 

Nous n’avons pas toutes les réponses aujourd’hui, mais nous savons 

que cela va avoir un impact énorme pour nous. 

Et donc, au-delà simplement de la sécurité pour l’IA et de l’IA pour la sécurité, cette course
à l’armement qui est en train de se dérouler, où les obstacles empêchant un acteur malveillant d’utiliser l’IA contre une entreprise 

ne cesse de baisser. 

C’est de plus en plus bon marché et facile. 

Et le niveau de compétences requis pour faire ce qu’ils auraient pu faire il y a quelques années… euh, c’est devenu tellement plus
simple. 

C’est donc l’autre aspect auquel nous devons réfléchir : comment, comme l’a dit Will, comment nous
défendre contre cela ? 

Euh… Sachant que cela a toujours été de plus en plus facile et qu’il y a eu, euh, davantage d’outils
disponibles, mais maintenant, euh, l’IA, euh, pour les attaques de sécurité, c’est quelque chose que nous allons vraiment 

devoir comprendre. 

Oui, et quand on pense à l’évolution des méthodes des attaquants, avant, c’était
une personne très intelligente qui allait frapper à la porte d’une entreprise jusqu’à ce qu’elle 

parvienne à entrer. 

Puis on s’est dit : « Je peux utiliser ces outils de script pour y arriver plus vite. » 

Et ensuite, avec les résultats obtenus grâce à ces outils, il fallait encore décider : « Bon, sur qui
vais-je me concentrer à partir de là ? » 

Mais aujourd’hui, avec l’IA, celle-ci sera capable d’automatiser ce processus bien plus rapidement. 

Avant, il suffisait simplement de courir plus vite que, vous savez, que la personne à côté de
vous. 

Eh bien, ça va devenir un peu plus difficile, car je pense que les attaques vont
gagner en rapidité, ce qui signifie que notre défense devra évoluer au même rythme. 

Exactement. 

Et la réponse. 

Oui. 

Je pense qu’il faut partir du principe qu’ils vont réussir à s’infiltrer et qu’il nous faut trouver comment les
contenir et remédier à la situation le plus rapidement possible. 

Tout à fait. 

Oui. 

Je pense que, vous savez, j’aime rappeler aux RSSI deux points clés qui, selon
moi, ont été oubliés ces deux dernières années. 

J’ai constaté un énorme glissement vers la défense. 

Et comme vous l’avez mentionné, je crois vraiment que c’est aussi une question de résilience : on
va encaisser des coups. 

Serez-vous capable de vous relever ? 

Dans quelle mesure pouvez-vous vous relever ? 

Ah ! Et donc, quand on pense à des concepts comme la triade CIA, n’est-ce pas, la disponibilité, c’est l’un
des principes fondamentaux de la sécurité. 

Ah, ou encore, avec le NIST, il s’agit de la reprise après sinistre. 

Et je pense donc que nous nous sommes jusqu’à présent trop concentrés sur la défense 

et je pense que les RSSI avisés se rendent compte qu’ils doivent aussi se demander : « Comment puis-je contribuer à la
reprise ? » 

Ah, comment détecter le problème le plus rapidement possible ? 

Mais aussi : comment remettre mon entreprise sur les rails ? 

Cela m’amène parfaitement à ma dernière question, qui est la suivante. 

Vous savez, la norme n’est pas d’être parfait. 

La norme, ce n’est pas de tout faire correctement. 

La norme, c’est d’essayer. 

La norme, c’est de progresser. 

Pour conclure, comment faites-vous pour essayer ? 

Quelle est votre priorité pour progresser ? 

Pour quoi voulez-vous être reconnu d’ici deux trimestres seulement ? 

Je veux être reconnu pour bien faire les tâches ennuyeuses. 

Je veux être reconnu pour avoir amené l’entreprise à un niveau où les failles courantes, ces points
faibles sur lesquels la plupart des entreprises pèchent, ne nous concernent pas. 

Je veux m’assurer qu’en adoptant de bonnes pratiques et en les mesurant correctement, nous soyons capables de
nous maintenir bien au-dessus du niveau requis 

afin de disposer du temps et du budget nécessaires pour gérer les problèmes dont nous n’avons pas encore
connaissance. 

Mais il faut commencer par les choses simples, il faut toujours s’attaquer aux tâches faciles en premier. 

C’est excellent. 

Merci de votre attention. 

Oui, vous savez, c’est intéressant : le sport occupe une place importante dans ma vie. 

Je suis quelqu’un de très compétitif et je joue toujours en défense. 

Et donc je pense que ça me parle vraiment, et la raison pour laquelle je me suis lancée dans ce
domaine, c’est que, comme tu vas le dire, si on fait bien son travail, ça passe inaperçu. 

Personne ne le remarque, n’est-ce pas ? 

Euh, c’est très spectaculaire d’être en attaque, mais, euh, en défense, il faut juste faire son travail
comme on vous le demande. 

Et donc, vous savez, je pense que, euh, vous savez, je suis d’accord à 100 % : il s’agit de
s’assurer que nous disposons du niveau de défense adéquat pour que, si quelque chose devait arriver, nous soyons prêts 

y faire face. 

Nous pouvons réagir rapidement et remettre l’entreprise sur les rails. 

Et je pense, vous savez, que c’est là que je veux être. 

Merci à Bill, directeur de la sécurité chez Commvault, et à Will, 

directeur adjoint de la sécurité chez Commvault. 

Nous avons beaucoup de chance que vous travailliez chez Commvault et que vous aidiez tant de
personnes, en interne comme en externe, à mieux appréhender les défis auxquels nous sommes tous confrontés 

en matière de cyber-résilience. 

Si vous souhaitez en savoir plus, rendez-vous sur notre Readi verse. 

Il regorge d’informations, de conseils et de bonnes pratiques destinés aux responsables de la sécurité et aux
dirigeants, pour les aider à se lancer, à gagner en maturité et à devenir encore plus performants 

car il s’agit d’un modèle de responsabilité partagée et l’objectif est d’aider chacun d’entre nous à devenir
plus fort. 

Merci beaucoup. 

vous