Le paradoxe du RSSI

Comme aucune équipe de sécurité ne peut tout surveiller, donner aux collaborateurs les moyens d’identifier et de prévenir les menaces contribue à mettre en place une défense plus solide et mieux répartie. 

En s’appuyant sur l’influence, la communication et la collaboration interfonctionnelle pour intégrer les pratiques de sécurité dans les processus de travail quotidiens et la prise de décision. 

Les attaques sophistiquées, telles que le phishing par usurpation d’identité du PDG, exploitent la confiance au sein de l’entreprise et nécessitent une sensibilisation de l’ensemble du personnel. 

La sécurité moderne allie leadership, culture d’entreprise, formation et processus intégrés — elle ne se limite pas aux contrôles d’accès ou aux mesures de défense réactives. 

Lorsque la sécurité est intégrée au sein de toutes les équipes,Cela permet d’identifier les risques plus tôt et d’apporter des réponses plus rapides et plus efficaces. 

Veuillez regarder la vidéoicipour consulter la transcription horodatée

Bienvenue. 

Nous sommes en direct depuis SHIFT et je suis ici en compagnie de Bill
M. O’Connell, directeur de la sécurité chez Commvault, et M. Will Galway, directeur adjoint de la sécurité chez Commvault. 

Voici « The CISO Paradox », un podcast consacré à la sécurité à l’ère de la responsabilité individuelle
. 

Les RSSI traversent actuellement une période difficile. 

Pourquoi ? 

Eh bien, euh… les RSSI sont souvent tenus pour responsables, tant sur le plan personnel que juridique, 

des résultats en matière de sécurité au sein de leur entreprise, mais ils ne disposent pas nécessairement directement du
le budget, les effectifs ou les technologies permettant d’atteindre ces résultats. 

Cela rend leur travail particulièrement difficile. 

Nous allons donc aborder ce sujet aujourd’hui, ainsi que ce que signifie être un RSSI moderne et comment ce
son rôle évolue au sein des plus grandes entreprises du monde. 

Je vais d’abord donner la parole à Bill. 

Bill, qu’est-ce que tu fais exactement ? 

Oui, j’adore le titre de notre séance, qui porte justement sur ce paradoxe, n’est-ce pas ? 

On se trouve là face à un véritable dilemme : d’un côté, on souhaite que le responsable de la sécurité et son
que les membres de l’équipe aient des responsabilités, des responsabilités ultimes. 

Mais d’un autre côté, on évoque également des concepts tels que le modèle de responsabilité partagée, n’est-ce pas ? 

Alors, comment concilier ces deux aspects ? 

Comment mettre en place une organisation qui, euh, puisse garantir la sécurité de l’entreprise ?
à la hauteur des exigences 

tout en reconnaissant qu’ils ne peuvent pas être partout ? 

Il faut donc également prendre en compte l’ensemble des personnes au sein de l’organisation, l’ensemble des technologies,
ainsi que de tous les systèmes et processus. 

J’aime donc voir cela comme un paradoxe : permettre aux deux choses d’être vraies et se concentrer
, certes, sur la question de savoir si nous disposons de l’expertise nécessaire en matière de sécurité, mais aussi sur la manière dont nous pouvons faire évoluer la culture de 

organisation ? 

C’est donc

en quelque sorte une « culture en tant que code » où chacun sait ce qu’il est autorisé à faire. 

Et si vous parveniez à amener l’ensemble de l’organisation à se pencher un peu plus sur la sécurité, euh…
, Cela aura probablement plus d’impact que d’embaucher une personne supplémentaire au sein de l’équipe de sécurité. 

Je pense donc que ces deux aspects sont importants, mais la situation a vraiment évolué avec le temps. 

Tu sais, ton adjoint Will essaie ici de transformer tous les collaborateurs de l’entreprise en
gardiens de la sécurité. 

Comment y parvenez-vous, Will, alors que les attaques ne cessent de gagner en complexité ? 

Je veux dire, nous avons tous reçu des appels de Sanjay Marchandani, notre PDG, rien que la semaine dernière
, nous demandant des cartes-cadeaux et des virements bancaires pour SHIFT. Alors, Qu’en pensez-vous ? 

pour t’assurer que nous soyons tous suffisamment vigilants ? 

Comment faire évoluer la culture d’entreprise vers un modèle de responsabilité partagée ? 

Oui, et je pense qu’il est important de privilégier l’influence plutôt que l’autorité. 

Comme tu l’as dit en introduction,

, nous ne contrôlons pas tous les systèmes, ni toutes les personnes, ni leur compte WhatsApp personnel. 

Il s’agit donc simplement d’aspects pour lesquels nous devons user de notre influence afin de collaborer avec les dirigeants de l’entreprise et les autres responsables de service, et de
faire passer ce message à nos collaborateurs. 

Je pense que chacun a un rôle à jouer en matière de sécurité, mais tout cela vise à permettre à l’entreprise d’aller de l’avant
plus vite. 

Et je pense qu’il y a des choses que nous pouvons faire — et que nous faisons déjà — pour y contribuer. 

Je pense qu’il est vraiment important de mettre en
instaurer cette culture de la sécurité dont Bill a parlé. 

Et je pense que, euh,

Nous faisons du bon travail dans ce domaine en ce moment. 

Oui, je suis d’accord. 

Au fait, les appels et les SMS étaient des faux. 

Il s’agissait d’une tentative de hameçonnage. 

Ils n’étaient pas réels. 

Euh… Juste pour que tout le monde comprenne bien. 

Euh… Alors, Bill, comment envisages-tu la mise en place d’une organisation de sécurité moderne au
être d’une entreprise aujourd’hui ? 

Parce qu’il ne s’agit pas seulement de bloquer et de contrer, tu sais, euh, les problèmes d’identité et d’accès. 

Qu’en penses-tu ? 

Oui, je pense qu’en partie, euh,

Il faut un certain niveau d’expertise. 

Mais parmi les différents modèles d’organisations de sécurité que j’ai observés par le passé, j’en ai vu certains
qui tentaient d’adopter une approche où la sécurité est le héros, le pompier qui s’occupe de 

de tout. 

Et quand on érige ce mur et cette barrière, on décharge alors tout le monde de la responsabilité d’organiser
toute responsabilité. 

Ils peuvent se dire : « Bon, je vais juste faire mon travail, et le service de sécurité s’occupera des questions de sécurité. »
. » 

Et je ne pense pas que ce modèle fonctionne. 

Je pense que

qu’il faut plutôt voir les choses ainsi : quand on construit une maison, il n’y a pas de
plombier, puis électricien, puis électricien « de sécurité » ou plombier « de sécurité », n’est-ce pas ? 

Le plombier et l’électricien doivent savoir comment effectuer leur travail en toute sécurité dès le
départ. 

Je pense donc que lorsqu’on réfléchit à l’organisation moderne, la question est la suivante : où trouve-t-on les bonnes personnes ?
, quels sont les postes et les fonctions qui devraient faire partie de l’équipe de sécurité ? 

Et ensuite, comment pouvons-nous aider les autres équipes à renforcer leur sécurité ? 

Et comment puis-je aider une entreprise de services ?

à identifier les moments de leur journée où la sécurité est importante, et comment puis-je leur
apprendre à se montrer plus méfiant ? 

Euh… Quand je pense à une organisation d’ingénierie produit, je ne peux pas avoir des développeurs qui
On ne pense pas à la sécurité, et ensuite une équipe de sécurité vient remettre les choses en ordre, n’est-ce pas ? 

Depuis des années déjà, les entreprises s’efforcent d’adopter une approche « shift left » afin que les
les développeurs pensent en termes de sécurité, développent en toute sécurité, et ensuite, oui, il y a l’équipe de sécurité qui 

effectuera également quelques vérifications, 

mais nous ne sommes pas là pour tout repérer. 

Soit l’équipe a évité le problème dès le départ, soit, s’ils ont, euh, créé une faille de sécurité,
Ils l’ont corrigée bien avant qu’elle n’atteigne la phase de production. 

Ce sont donc là les domaines dans lesquels une organisation de sécurité moderne apporte une véritable expertise, permettant ainsi
à toutes les autres équipes de travailler dans de meilleures conditions de sécurité. 

Et je pense, pour revenir très rapidement sur le point soulevé par Bill, qu’il y a une évolution vers…
c’est là que se déroule l’activité. 

Je pense que c’est vraiment important. 

Et je pense 

Euh, vous savez, il ne faut plus se limiter au silo de sécurité classique tel qu’on le connaissait autrefois ; il faut
aller là où se déroule l’activité et nouer des liens à ce niveau. 

Pour en revenir à ce que disait Bill à propos des développeurs et des personnes qui sont plus proches du produit. 

Je veux dire qu’il existe des formations et des moyens permettant de renforcer la sécurité de manière globale. 

Outre le produit, on peut également le réaliser en interne. 

Je pense qu’il faut reproduire ces pratiques et aller à la rencontre de l’activité là où elle se trouve afin de
d’améliorer ce que nous faisons. 

C’est tout à fait juste. 

Je voudrais être très précis sur ce point. 

Ainsi, pour les organisations qui développent leur fonction de cybersécurité par nécessité, mais
qui ont peut-être repoussé cet investissement aussi longtemps que possible, votre organisation et les tâches 

qui vous sont confiées revêtent une importance capitale. 

Vous êtes chargé de veiller à ce que les produits développés soient sécurisés lorsqu’ils
parviennent aux clients. 

Vous êtes chargé de 

Vous êtes pratiquement le dernier maillon de la chaîne avec le client avant qu’il n’achète. 

Ils souhaitent s’adresser à l’un de vous deux et s’assurer qu’ils comprennent bien que les produits sont
conçus dans un souci de sécurité et pour faire face à l’imprévu, si jamais celui-ci venait à se produire. 

Euh… Vous avez pour mission de veiller à ce que tout le monde dans l’entreprise, euh… protège notre accès à 
ce qui compte au sein de l’entreprise, et de sensibiliser les gens, car on ne peut pas avoir une équipe

C’est énorme, n’est-ce pas ? 

Il faut donc former les développeurs à la sécurité dans le code, et former les commerciaux
sur le terrain, dans le cadre d’une vente sécurisée. 

Qu’en pensez-vous ? 

Je veux dire, c’est une mission assez vaste. 

Je formulerais la question ainsi. 

Selon vous, quels sont les cinq rôles clés d’une organisation moderne dirigée par un RSSI ?
? 

C’est difficile de répondre, car comme vous l’avez mentionné, tous ces domaines sont extrêmement importants. 

Je pense que… 

L’une des choses que je fais toujours, vous savez, quand j’arrive dans une nouvelle organisation, c’est de
comprendre ce que fait l’entreprise et, vous savez, ce qu’elle essaie de faire 

atteindre ? 

Et je pense que c’est quelque chose qui a beaucoup évolué au fil du temps : au départ, une organisation de sécurité avait
par habitude de, disons, tout refuser. 

Puis on s’est rendu compte qu’on ne pouvait pas faire ça : tout est connecté, tout est numérique. 

Alors, comment puis-je m’assurer que 

que nous soyons sécurisés dès la conception, tout en sensibilisant l’entreprise et en allant à sa rencontre là où elle
C’est bien ça, n’est-ce pas ? 

Pour que nous puissions, euh, y parvenir. 

Euh, je pense aussi que vous me demandez quels sont les postes clés au sein de l’organisation. 

Euh, je ne suis pas sûr de pouvoir les classer, je crois, car ils ont tous des missions très différentes. 

Euh… Mais en fin de compte, pour ma part, je commence par me demander ce que l’entreprise cherche à accomplir et
Quels sont les risques, n’est-ce pas ? 

Tout doit être axé sur les risques. 

Et donc, 

si j’ai une équipe qui se consacre à la sécurité des applications ou une équipe qui s’occupe de l’infrastructure
ou du cloud, euh, il est presque indispensable que nous utilisions le risque comme une sorte de 

une sorte de taxonomie unique permettant d’aborder tout ce qui pourrait mal tourner
tourner, afin que je puisse comparer un problème de conception architecturale qui ne me plaît pas à une 

vulnérabilité potentielle dans une application, et ainsi de suite au sein de l’équipe de sécurité. 

En effet, quand on dit que quelque chose est crucial, qu’est-ce que cela signifie ? 

Et je n’ai pas besoin que les dirigeants de l’entreprise soient en permanence des experts en cybersécurité. 

Je ne leur parle pas de scores CVSS ou, vous voyez, j’ai expliqué cela en disant que lorsque je dis
que Si quelque chose est critique, cela signifie que nous devons interrompre ce que nous sommes en train de faire. 

Quand je dis que quelque chose est « élevé », vous devez vous inquiéter. 

De même, lorsque je dis qu’un problème est mineur, sachez simplement que nous le surveillons

mais je ne vais pas m’y attarder trop longtemps. 

Je vais consacrer une part disproportionnée de mon temps aux problèmes critiques et à haut risque. 

Je pense donc que tous les acteurs de l’organisation, en particulier au sein de l’équipe de sécurité,
doivent comprendre cette taxonomie afin que nous puissions communiquer avec les métiers de manière à ce qu’ils 

comprenne, sans avoir à entrer dans des discussions sur les injections SQL et la manière de les éviter. 

Je pense également qu’il est important de garder à l’esprit, notamment lorsqu’on parle des risques liés à
ce type, 

La plupart du temps, le risque est évalué en fonction de sa probabilité ou selon les critères définis par une
une autorité, une instance de référence, mais nous devons nous concentrer sur l’impact sur l’entreprise. 

Je pense que c’est un critère vraiment important pour l’évaluer, et ce qui détermine ce niveau de gravité
, c’est l’impact que cela pourrait avoir sur nous ; c’est dans cet ordre que nous aborderons les problèmes. 

Et je pense que c’est une approche judicieuse. 

C’est une approche simple, car je pense simplement que l’ordre dans
auquel on accorde toute l’importance qu’il mérite. 

Parlons donc du risque qui s’est concrétisé pendant… euh… quelques minutes. 

Nous avons tous les trois déjà géré ensemble une réponse à une faille de sécurité, ce qui est la meilleure façon d’apprendre
. 

Hum… Quelles en sont les caractéristiques ? 

Quels sont les traits de personnalité des dirigeants qui sont en première ligne lors d’une intervention en cas de violation de données ? 

Je vais commencer par toi, Will. 

Je pense que l’hygiène informatique est vraiment importante. 

Et je pense que dans la très, très, très grande majorité des fuites de données publiques dont on entend parler, tout commence par l’hygiène informatique
. 

Et je pense que, pour un bon dirigeant, il ne faut pas laisser la perfection devenir son ennemie
c’est une bonne chose, mais il s’agit simplement de veiller à ce que nous parvenions là où nous devons aller pour protéger… 

société. 

Je pense sincèrement que les bons dirigeants ne se contentent pas de cela, mais qu’ils mettent en place
Ils favorisent également les relations et instaurent un climat de confiance entre les différentes divisions de l’entreprise. 

Nous sommes tous dans le même bateau et chaque petit geste compte. 

Que ce soit dans le cadre de relations avec différentes personnes au sein de l’entreprise ou avec différents collaborateurs
dans différentes divisions ou régions. 

Je pense qu’il est vraiment important que chacun puisse se réunir et faire connaissance avec ses
responsabilités dans ce type de modèle de culture de sécurité partagée. 

Et Bill, vous vous présentez devant les conseils d’administration. 

Comment envisagez-vous ce moment où, que vous le signaliez ou non, l’alarme retentit ?
? 

Qui êtes-vous à ce moment-là et quelles sont, selon vous, les meilleures qualités d’un
Un dirigeant confronté à une crise ? 

Personnellement, je trouve ça drôle. 

Les bouchons de circulation peuvent vraiment m’énerver 

Mais quand il se passe quelque chose de très grave, je peux rester très, très calme. 

Et je pense que l’une des qualités les plus importantes est justement de savoir composer
avec des informations incomplètes. 

Un million de personnes vous poseront des questions et vous devez vraiment être capable de
vous concentrer pour vous dire : « Bon, qu’est-ce que je dois faire tout de suite ? » 

Quelle est la prochaine étape ? 

Tout en gardant une vue d’ensemble : au final, où en suis-je ?
être ? 

Et ensuite, communiquer avec l’extérieur. 

C’est intéressant : j’ai beaucoup de discussions avec les clients,
j’ai dû le faire tout au long de ma carrière, et parfois, Il faut savoir reconnaître ses torts. 

D’autres fois, l’approche est plus proactive et, comme vous l’avez mentionné, il s’agit d’essayer d’instaurer la confiance dès le début. 

Euh… Et on peut en quelque sorte faire la distinction entre les RSSI qui ont rencontré des problèmes et ceux qui n’en ont pas
en effet, car nombreux sont ceux qui disent : « Eh bien, vous avez eu des problèmes X, Y et Z. » 

« Vous savez, nous ne pouvons pas travailler avec vous. »

Euh… 

Et on commence à se rendre compte, quand on est dans le métier depuis assez longtemps, que… euh, on va finir par manquer
… des entreprises avec lesquelles travailler, n’est-ce pas ? 

Tout le monde rencontre un problème à un moment ou à un autre, ou alors il ne s’en rend tout simplement pas encore compte. 

Ce qui importe donc davantage, c’est de savoir comment ils ont géré la situation. 

Comment ont-ils réagi ? 

Font-ils preuve de transparence ? 

Ah… Et donc, vous savez, c’est ce que je recherche lorsque je discute avec d’autres RSSI ; je
Je pense que c’est le genre de mentalité qu’il faut avoir. 

Mon analogie préférée, c’est celle du boxeur. 

qui prévoit de ne jamais se faire frapper au visage. 

Ce n’est tout simplement pas une bonne stratégie. 

Il faut donc se préparer à ce qu’il se passe quelque chose. 

Et donc, vous êtes toujours tourné vers l’avenir ? 

Vous n’êtes, disons, jamais satisfait du programme, n’est-ce pas ? 

Il y a toujours quelque chose de mieux que tu pourrais faire. 

Du coup, quand tu planifies ton année, prévois 10 à 15 % de budget et de temps en plus… 

en réserve, car vous ne savez pas ce qui va se passer. 

Vous ne savez pas ce qui va changer. 

On ne sait pas comment l’IA va transformer nos métiers d’ici un an. 

Alors, plutôt que de penser que vous avez toutes les réponses, accordez-vous un peu de
souplesse, afin de pouvoir faire preuve de résilience et d’identifier les domaines dans lesquels vous devrez vous adapter. 

Alors, aventurons-nous en eaux plus profondes. 

La confiance se renforce ou s’effrite au moment de vérité. 

Imaginons que votre entreprise ait été victime d’une fuite de données ou que 

Un maillon de la chaîne d’approvisionnement a subi une faille qui vous concerne. 

Euh… Comment faites-vous pour renforcer la confiance tout au long de ce processus, plutôt que de la
établir de bonnes relations avec vos clients, vos employés, votre conseil d’administration et vos dirigeants ? 

Et j’aimerais ajouter un autre élément à cela : la réponse à une
Une faille de sécurité ne se crée pas en un jour, ni en une semaine ; parfois, cela prend des mois. 

Et si de nombreuses personnes reprennent leurs activités habituelles, l’équipe de sécurité, les équipes qui ont peut-être
ont été touchées, tout comme les clients et les fournisseurs, 

doivent continuer à composer avec cette situation jusqu’à ce qu’elle trouve une issue naturelle, mais cela ne se fait jamais rapidement. 

Alors, comment garder le moral et rester concentré ? 

Explorons un peu ces deux aspects pendant une minute. 

Oui, je pense qu’il est bien sûr important de disposer de contrôles adaptés. 

C’est aussi une question de processus : comment y parvenir, sachant que les choses vont changer et que les nouvelles
les technologies vont apparaître à un rythme de plus en plus rapide

Il ne suffit pas d’avoir une liste de contrôle et de se demander : « Ai-je fait ces 10 choses ? » 

Il s’agit également de savoir selon quelle méthode on détermine quelles sont ces 10 choses et en quoi cela sera-t-il
sera-t-il différent l’année prochaine ? 

C’est pourquoi faire preuve d’adaptabilité et adopter cet état d’esprit est probablement aussi important que, tu sais,
de dresser l’inventaire des contrôles techniques dont je dispose un jour donné. 

Je pense que c’est ce que j’attends, ce que j’espère voir au sein de mon équipe. 

Et quand je discute avec d’autres RSSI, 

Je pense que c’est la meilleure qualité que j’ai observée : savoir s’adapter et accepter
le fait qu’on ne puisse pas avoir toutes les réponses. 

Alors, quelle méthode utilisez-vous pour déterminer quelles devraient être ces priorités ? 

Je pense aussi que, vous savez, vous avez parlé de fatigue, n’est-ce pas ? 

Surtout après qu’une infraction s’est produite et que les gens reprennent leur travail quotidien. 

Je pense que si vous êtes évalué tout au long du processus et que vous vous évaluez constamment, vous
vous savez où vous en êtes, vous savez où vous en êtes dans vos progrès, et vous savez ce qu’il 

il reste à faire. 

Je pense donc que cette évaluation est vraiment importante pour savoir quand tirer la sonnette d’alarme
et quand cesser de le faire pour tenter de revenir à un fonctionnement normal de l’entreprise. 

Mais je pense que tout cela découle du travail de préparation que l’on effectue en amont pour
y parvenir. 

Si vous êtes au téléphone avec un fournisseur, un client ou un prospect, et qu’il vous
Demandez-lui de vous raconter une fois où vous avez été victime d’une fuite de données et comment vous 

avez pris contact avec les personnes concernées. 

Comment menez-vous cette conversation ? 

Car il existe toute une gamme de façons de procéder : vous pourriez suivre un modèle juridique, ou laisser
les commerciaux s’en occuperont. 

Mais comment aborder au mieux cette conversation pour instaurer un climat de confiance ? 

Je pense que je travaille dans le domaine de la sécurité depuis près de 20 ans et j’ai eu de nombreuses conversations
avec d’autres RSSI. 

Je pense que la transparence est ce qu’il y a de plus important. 

Je pense que les gens le ressentent 

lorsque vous ne leur donnez pas une réponse complète ou exhaustive. 

Et cela sape sans doute la confiance plus rapidement que n’importe quoi d’autre. 

Et comme dans toute relation fondée sur la confiance, quand on la perd, c’est tellement plus difficile de
la reconquérir. 

Donc, être capable de dire : « Voilà ce dont nous sommes sûrs, voilà ce que nous ignorons », c’est bien
mieux que d’essayer de présenter les choses sous un jour plus favorable qu’elles ne le sont en réalité. 

Vous savez, je suis d’accord pour dire que la transparence est essentielle. 

Et je pense qu’en tant que professionnels de la sécurité, nous attendons avec impatience de lire ces rapports véridiques
publiés à la suite d’une violation de ce type : on en apprend énormément 

lorsque les entreprises font preuve de franchise et d’ouverture quant à ce qui s’est passé. 

Et à ce moment-là, quand on reçoit ce premier appel téléphonique, je pense, comme le souligne Bill, qu’il
il faut se montrer aussi ouvert et honnête que possible, tout simplement parce que les gens 

comprennent que 

Ce genre d’incidents peut arriver, mais c’est votre réaction qui déterminera la façon dont elles vous jugeront à 
l’avenir. 

Bon, changeons de sujet et parlons de l’IA. 

L’IA semble changer la donne en matière de cyberattaques, tant au niveau du paysage que des vecteurs d’attaque
. 

Comment pensez-vous que vos rôles évolueront d’ici un an, à mesure que l’IA gagnera en maturité ? 

Je pense que ça va être délicat. 

Si l’on considère l’IA sous l’angle de la sécurité, c’est un… 

problème à résoudre, car nous essayons de l’utiliser pour, euh, améliorer l’activité et permettre à 
permettre à l’entreprise de se développer plus rapidement. 

Nous essayons également de l’utiliser à des fins de sécurité afin de nous aider à protéger l’entreprise. 

Mais nous voulons également nous assurer qu’elle ne se retourne pas contre nous alors que nous essayons de
atteindre ces deux premiers objectifs. 

Je pense donc que cela va changer la donne. 

Et je n’y ai pas cru pendant longtemps. 

Mais plus on observe l’évolution de la situation, l’IA agentique et la
manière à partir de quand les entreprises commenceront-elles à faire confiance à un modèle ?

capable de fournir ces résultats et d’apprendre au fil du temps, presque mieux que des employés dans certains
cas, 

Je continue de penser que les employés sont indispensables pour garantir la sécurité. 

Je ne prétends pas que nous allons tous être dépassés par une surabondance d’IA, mais je pense que cela
va considérablement changer notre façon de concevoir et de planifier la protection de l’entreprise, à mesure que l’IA 

devient de plus en plus omniprésente, tant dans les attaques que dans la défense d’une
entreprise. 

Oui, et c’est un excellent exemple qui montre que 

Tu sais, je pense qu’il faut anticiper l’inconnu et se laisser un peu
de temps et de budget pour faire face à des changements qui évolueront si rapidement au cours de l’année prochaine que je ne peux pas 

prévoir précisément comment nous utiliserons l’IA. 

Et quand les gens parlent d’IA, qu’entendent-ils exactement, n’est-ce pas ? 

L’IA agentique, par opposition au simple apprentissage automatique. 

Alors, euh, est-ce qu’on se laisse la marge de manœuvre pour dire : « D’accord, on n’a pas de réponse. » 

Nous n’avons pas toutes les réponses aujourd’hui, mais nous savons 

que cela va avoir un impact énorme pour nous. 

Et donc, au-delà de la simple question de la sécurité au service de l’IA et de l’IA au service de la sécurité, cette course
à la course à l’armement qui est en cours, où le seuil à franchir pour qu’un acteur malveillant utilise l’IA contre une entreprise

ne cesse de baisser. 

C’est de plus en plus abordable et facile. 

Et le niveau de compétences requis pour faire ce qu’ils auraient pu faire il y a quelques années… euh, c’est devenu tellement plus
simple. 

C’est donc l’autre aspect sur lequel nous devons nous pencher : comment, comme l’a dit Will, comment nous
Comment se défendre contre cela ? 

Euh… Sachant que cela a toujours été de plus en plus facile et qu’il y a eu, euh, davantage d’outils
disponibles, mais aujourd’hui, euh, l’IA utilisée pour mener des attaques contre la sécurité, c’est quelque chose que nous allons vraiment

il faut comprendre. 

Oui, et c’est juste que, quand on pense à l’évolution des méthodes des attaquants, avant, c’était
une personne très intelligente qui n’aurait cessé de frapper à la porte d’entrée d’une entreprise jusqu’à ce qu’elle 

parvienne à entrer. 

Puis on s’est dit : « Je peux utiliser ces outils de script pour y arriver plus vite. » 

Et ensuite, avec les résultats obtenus grâce à ces outils, il fallait encore prendre une décision : « Bon, sur qui… »
« Sur quoi vais-je me concentrer à partir de là ? » 

Mais aujourd’hui, grâce à l’IA, celle-ci sera capable d’automatiser ce processus bien plus rapidement. 

Avant, il suffisait simplement de courir plus vite que, disons, la personne à côté de
soi. 

Eh bien, ça va devenir un peu plus difficile, car je pense que les attaques vont
gagner en rapidité, ce qui signifie que notre défense devra s’adapter au même rythme. 

Exactement. 

Et la réponse. 

Oui. 

Je pense qu’il faut partir du principe qu’ils vont réussir à s’infiltrer et qu’il nous faut trouver comment les
maîtriser et remédier à la situation le plus rapidement possible. 

Tout à fait. 

Oui. 

Je pense que, vous savez, j’aime rappeler aux RSSI deux points essentiels que j’ai remarqués
et que, selon moi, les gens ont tendance à oublier depuis quelques années. 

J’ai constaté un énorme glissement vers la défense. 

Et comme vous l’avez mentionné, je crois vraiment que c’est aussi une question de résilience : on
va encaisser des coups. 

Serez-vous capable de vous relever ? 

Dans quelle mesure est-on capable de rebondir ? 

Ah ! Et donc, quand on pense à des concepts comme la triade de la CIA, n’est-ce pas, la disponibilité, c’est l’un
des principes fondamentaux de la sécurité. 

Ah, ou encore, selon le NIST, il s’agit de la reprise après sinistre. 

Et je pense donc que, jusqu’à présent, nous nous sommes trop concentrés sur la défense 

et je pense que les RSSI avisés se rendent compte qu’ils doivent également se poser la question suivante : « Comment puis-je contribuer à la
« reprise ? » 

Ah, comment repérer le problème le plus rapidement possible ? 

Mais aussi : comment remettre mon entreprise sur les rails ? 

Cela m’amène tout naturellement à ma dernière question, qui est la suivante. 

Vous savez, la perfection n’est pas la norme. 

La norme, ce n’est pas de tout faire correctement. 

La règle, c’est d’essayer. 

La règle, c’est de progresser. 

Pour conclure, comment vous y prenez-vous pour essayer ? 

Quelle est votre priorité pour progresser ? 

Pour quoi souhaitez-vous être reconnu d’ici deux trimestres seulement ? 

Je veux être reconnu pour ma capacité à bien accomplir les tâches fastidieuses. 

Je souhaite être reconnu pour avoir permis à l’entreprise d’atteindre un niveau où les failles courantes, celles
sur Celles-là, dans lesquelles la plupart des entreprises échouent, ne nous concernent pas. 

Je tiens à m’assurer qu’en adoptant de bonnes pratiques et en les évaluant correctement, nous soyons en mesure de
rester bien au-dessus du niveau requis 

afin de disposer du temps et du budget nécessaires pour gérer les problèmes que nous n’avons pas encore
connaissance. 

Mais il faut commencer par les choses simples, c’est toujours par elles qu’il faut s’attaquer en premier. 

C’est excellent. 

Merci de votre attention. 

Oui, vous savez, c’est intéressant : le sport occupe une place importante dans ma vie. 

Je suis quelqu’un de très compétitif et je joue toujours en défense. 

Et donc je pense que ça me touche vraiment, et c’est pour ça que je me suis lancée dans ce
Le truc, c’est que, comme tu vas le dire, si tu fais bien ton travail, ça passe inaperçu. 

Personne ne le remarque, n’est-ce pas ? 

Euh, c’est très spectaculaire d’être en attaque, mais, euh, en défense, il faut juste faire son travail
comme on est censé le faire. 

Et donc, vous savez, je pense que, euh, vous savez, je suis tout à fait d’accord : il s’agit de
s’assurer que nous disposons d’un niveau de protection suffisant pour être prêts si jamais quelque chose devait arriver 

et y faire face. 

Nous sommes en mesure de réagir rapidement et de remettre l’entreprise sur les rails. 

Et je pense, vous savez, que c’est là que je veux être. 

Merci à Bill, directeur de la sécurité chez Commvault, et à Will, 

directeur adjoint chargé de la sécurité chez Commvault. 

Nous avons vraiment de la chance que vous travailliez chez Commvault et que vous aidiez tant de
les personnes, tant en interne qu’en externe, à mieux comprendre les défis auxquels nous sommes tous confrontés 

en matière de cyber-résilience. 

Si vous souhaitez en savoir plus, rendez-vous sur notre plateforme Readi. 

Il regorge d’informations, de conseils et de bonnes pratiques destinés aux responsables de la sécurité et aux
les dirigeants, afin de les aider à se lancer, à gagner en maturité et à devenir encore plus performants 

car il s’agit d’un modèle de responsabilité partagée dont le but est d’aider chacun d’entre nous à devenir
plus fort. 

Merci beaucoup. 

vous