Transformer la conformité en résilience : instaurer la confiance face à la réglementation

Le manque de visibilité sur les dépendances. Les entreprises ne découvrent souvent les interconnexions critiques qu’au moment d’une panne ou d’une attaque. 

Ces tests permettent de mettre en évidence les angles morts, de valider les hypothèses et de développer une « mémoire musculaire » opérationnelle, transformant ainsi la conformité en une véritable capacité de préparation. 

Ils contribuent à fournir des architectures renforcées, des conceptions de référence validées, des outils intégrés et des workflows de Recovery testés, conformes aux exigences réglementaires. 

Une collaboration interfonctionnelle, des exercices de Recovery fréquents, des compétences en automatisation et une réflexion axée sur la mission – et non pas une simple vérification de cases. 

Cette approche met l’accent sur la capacité de reprise testée, la visibilité et la continuité opérationnelle – piliers fondamentaux de la réglementation de type DORA. 

Veuillez visionner la vidéo ici pour obtenir une transcription horodatée

Je suis accompagné de ⁓ deux dirigeants, de Pure Storage et de Kyndryl, et je suis très heureux que vous soyez ici. Je vais les laisser se présenter dans un instant, mais je voudrais d’abord présenter le sujet. Vous êtes donc ici parce que vous pensez que nous allons parler de réglementations et de conformité, de la manière de constituer d’excellentes équipes de conformité, de la manière de cocher les cases. Absolument pas. Nous n’allons pas aborder tout cela. Donc, si vous souhaitez partir dans les 20 prochaines secondes, n’hésitez pas. Car ce dont nous allons parler, c’est de la raison pour laquelle ces réglementations existent réellement.

Qu’y a-t-il réellement derrière tout cela ? Contre quoi essayons-nous de nous protéger ? Et comment envisageons-nous cela ? On assiste à une explosion des réglementations aux États-Unis et dans le monde entier, et tout cela vise à aider les entreprises à gagner la confiance de leurs clients et des pouvoirs publics concernant les produits qu’elles déploient. Et pourtant, beaucoup de professionnels du secteur, que ce soit dans l’industrie technologique ou dans le domaine de la conformité, passent un peu à côté de l’essentiel.

Lorsque les clients envoient des questionnaires de sécurité, certes, quelqu’un vérifie que vous avez bien coché toutes les cases, mais ce n’est pas vraiment de cela qu’il s’agit. Je vais donc laisser ces messieurs se présenter. Et lorsqu’ils le feront, je leur demanderai de commencer par me raconter une histoire d’horreur qu’ils ont vécue dans leur entreprise. Ne me dites pas encore comment vous avez résolu le problème, car nous allons l’analyser ensemble. ⁓ Mais ce qui s’est passé et nous…

À la fin de cette session, vous comprendrez pourquoi et comment ⁓ la conformité est un élément essentiel : si vous la gardez à l’esprit et que vous concevez vos processus en tenant compte de la conformité, vous pouvez éviter, ou du moins surmonter avec succès, certaines de ces histoires d’horreur. Au fait, si quelqu’un a des questions pendant la session, n’hésitez pas à les poser. D’accord ? Je vous laisse donc la parole pour vous présenter. Parfait. Merci, Danielle. Je m’appelle Yuvraj Mehta.

Je dirige la stratégie en matière de solutions de cybersécurité chez Pure Storage. Je travaille chez Pure Storage depuis plus de 18 mois maintenant. Et ⁓ je vais commencer par une histoire d’horreur. ⁓ Cela s’est passé en fait six mois après mes débuts chez Pure Storage, chez l’un de nos clients du secteur des services financiers. ⁓ Ce client, que l’on peut considérer comme l’archétype du client qui respecte toutes les listes de contrôle de conformité et tout ce qui s’ensuit, ⁓

a pourtant été victime d’une attaque par ransomware. ⁓ Et ⁓ en substance, pendant des semaines et des mois, ⁓ les attaquants se sont infiltrés dans ses données et ont commencé à les chiffrer. Mais au moment où ils ont réalisé qu’ils avaient été touchés et où ils se trouvaient dans la salle de crise, le moment d’horreur est littéralement survenu lorsque le responsable de la conformité ou la personne

a déclaré : « Nous étions en conformité. Nous avons effectué les vérifications. Nous avons effectué les vérifications. » Mais le RSSI a littéralement rétorqué : « Tout cela n’a aucun sens. Je ne peux pas récupérer les données. » Exactement. Et c’est là que toute la salle a pris conscience de la situation en se disant : « Mon Dieu, nous sommes dans le pétrin. Nous ne nous sommes pas préparés à la restauration, et ce d’une manière vraiment, vraiment fiable et sécurisée. »

Voilà le point de départ de notre histoire d’horreur. Nous sommes donc assis dans une salle de crise avec le RSSI, l’équipe de conformité, l’équipe informatique, et tout le monde se regarde en essayant de comprendre : « Mais qu’est-ce qu’on fait, bon sang ? » C’est effrayant. Je vous remercie donc vivement de vous être joints à nous cet après-midi. Je m’appelle Allen Downs. Chez Kyndryl, je suis responsable d’un domaine au sein de notre pôle sécurité et résilience, qui se consacre exclusivement à la

la création de capacités, de méthodologies et de compétences permettant aux clients de se remettre sur pied. Nous nous concentrons donc fortement sur les événements «juste avant le choc» : comment un client doit concevoir son système, comment il doit se préparer, comment il doit détecter correctement les menaces afin de pouvoir avoir confiance en sa capacité de rétablissement, en particulier dans le domaine cybernétique, car cela redéfinit

complètement la façon de penser en la matière. Mais aujourd’hui encore, bon nombre des problèmes et des répercussions sur lesquels nous travaillons avec nos clients à travers le monde sont dus à des erreurs humaines ou à des catastrophes naturelles. Celles-ci n’ont pas disparu, mais nous sommes en quelque sorte habitués à nous en remettre. La véritable nouvelle dimension réside dans la sophistication et la rapidité des changements que nous observons en lien avec les cyberattaques d’origine humaine, conçues pour provoquer des interruptions de service maximales, etc.

Lorsque vous m’avez interrogé sur cette histoire d’horreur, c’était intéressant car je travaille chez IBM dans ce domaine depuis plus de 30 ans maintenant. Je sais que je ne suis pas si vieux que ça, donc c’est vrai, n’est-ce pas ? Et au cours de toutes ces années chez IBM, puis aujourd’hui chez Kyndryl, nous avons traversé, comme Chris l’a mentionné plus tôt lors d’une autre session en petits groupes, il y a… quoi, trois ans, Emilio ? Trois ou quatre ans ? Nous avons été confrontés à de nombreux incidents qui ont touché nos clients. D’accord.

Celui qui me revient le plus à l’esprit est une réunion dans la salle du conseil d’administration d’une grande banque. Je ne mentionnerai même pas le pays, mais nous étions assis dans la salle du conseil d’administration d’une grande banque et le sujet portait sur la manière dont nous pouvions avoir confiance en notre capacité à rendre compte de nos performances environnementales auprès de l’autorité de régulation. Le secteur bancaire. Ils étaient donc soumis à une réglementation. La réglementation devenait plus stricte,

elle faisait l’objet d’une attention accrue et d’une priorité plus élevée. Mais la discussion visait à nous aider à comprendre comment nous pouvions atteindre le niveau « vert ». D’accord. La discussion portait donc sur les indicateurs, n’est-ce pas ? Tout tournait autour de la manière d’atteindre le niveau « vert ». Le représentant du bureau du directeur des systèmes d’information (DSI), chargé des données et de leur sauvegarde, de la conformité et des taux de réussite, n’a pas tardé à évoquer le taux de réussite des sauvegardes et le nombre de restaurations effectuées

restaurations effectuées, et a déclaré avec beaucoup d’assurance qu’il était possible de restaurer les données en huit heures. Ces huit heures ont été reprises dans leur rapport, dans leur soumission à l’autorité de régulation. Ceux d’entre vous qui connaissent un peu la réglementation européenne savent que la Banque centrale européenne a publié un document sur les tests de résistance et que, par conséquent, toutes ces banques ont été invitées à répondre en fournissant une position officielle validée par l’auditeur,

votre équivalent, j’imagine, au sein de cette organisation ; tout était réglé, n’est-ce pas ? Mission accomplie. Les indicateurs communiqués, d’accord, reposaient sur la manière dont ils avaient effectué leurs tests et leurs répétitions à ce sujet. Ce qui est intéressant, c’est que le directeur des risques a ensuite été chargé d’aller le prouver. Quelqu’un en dehors du périmètre du RSSI, quelqu’un en dehors du bureau du DSI, quelqu’un en dehors de l’infrastructure, le RISO, vous vous en souvenez, le centre de données, n’est-ce pas ? Le RISO, le personnel des installations.

Le directeur des risques : « Allez le prouver. » On nous a demandé d’en faire la démonstration. Dans les meilleures conditions possibles, les plus parfaites. En réalité, cela a plutôt pris quatre à cinq semaines. Il s’agissait de l’un de leurs processus métier critiques. Le résultat le plus probable : ils n’y sont pas parvenus. C’est l’un de ces moments où l’on se dit : « Je suis client de cette banque, j’ai mon crédit immobilier chez eux. Ces gens-là, vous savez, détiennent mes économies, d’accord ? »

Et c’est sans doute l’un des moments les plus marquants où l’on se dit : « Bon sang, ce secteur n’est pas préparé. » Soit dit en passant, c’était une organisation prudente, historiquement très fière de son bilan en matière de conformité et de respect des règles. Il n’y avait ni faute ni tromperie, un résultat authentique, une approche différente éprouvée pour l’explorer, qui s’est avérée irréaliste. Mais quand on pense à l’impact de tout ça, c’est vraiment terrifiant.

J’ai bien d’autres histoires d’horreur, mais je pense que c’est celle-là qui m’a sans doute le plus marqué. C’est chez moi. Ouah. Du coup, j’ai transféré mon compte d’épargne chez eux. J’y ai gardé mon prêt immobilier. J’y ai gardé ton prêt immobilier. ⁓ Désolé. Non, mais ce que je veux dire, c’est que tu l’as parfaitement illustré. Vous avez un responsable de la conformité — je ne sais pas si cela s’est réellement passé — qui arrive et dit : « Nous sommes en conformité. » Et lui répond : « Et alors ? Vous ne pouvez pas récupérer

et vos systèmes sont à l’arrêt et ils ne vont pas se remettre en ligne dans le délai que vous avez noté sur un bout de papier. Comment donner vie à tout ça ? On va donc décortiquer ⁓ ces récits et je veux les aborder sous trois angles. Répartissons-les en trois catégories différentes. Qu’est-ce qui se cache vraiment derrière la conformité ? Catégorie n° 1 : la visibilité. Catégorie n° 2 : la confiance et le contrôle. Catégorie n° 3 : les compétences.

Parlons donc de la visibilité. Qui veut commencer ? Je peux commencer. Oui. Je pense donc qu’une des choses à garder à l’esprit, n’est-ce pas, lorsqu’on gère une infrastructure complexe – et d’autant plus complexe aujourd’hui avec l’IA –, c’est qu’on ne peut pas renforcer la résilience de ce que l’on ne voit pas. La visibilité est donc la première étape, le point de départ. Et l’élément clé

que nous, chez Pure, avons du moins toujours dit à nos clients et à nos partenaires, c’est que l’une des premières étapes vers la visibilité consiste à simplifier. Simplifier l’ensemble de votre infrastructure, l’ensemble de vos outils. Si vous disposez d’ensembles de données, si votre réseau est compartimenté en silos, vous vous retrouverez alors avec de multiples outils qui se sont développés

autour de ces silos. Ainsi, pour obtenir une vue cohérente et exhaustive de vos ensembles de données, il faut commencer par la consolidation, par la simplification. Il faut donc simplifier. C’est la première chose à faire, car cela permet ensuite d’instaurer la confiance et de s’assurer que ce que l’on voit correspond bien à la réalité. ⁓ C’est la première étape. La deuxième étape en matière de visibilité est en fait l’automatisation.

Vous avez besoin d’automatisation à tous les niveaux de votre pile ⁓ afin de pouvoir mettre en place cette infrastructure complète qui s’intègre à l’ensemble des différents outils dont vous disposez. Vous avez donc besoin d’outils et d’une infrastructure dotée d’API robustes permettant cette intégration. Dernier point, je l’ai déjà mentionné : l’intégration. Vous souhaitez que votre infrastructure de stockage ou votre infrastructure de calcul

s’intègre à vos outils de cybersécurité, n’est-ce pas ? ⁓ Avec des solutions comme Commvault. Mais vous souhaitez également qu’elle puisse s’intégrer à des solutions telles que Kyndryl, aux tableaux de bord et aux fonctionnalités fournies par Kyndryl et votre fournisseur de services. Ainsi, à travers toute cette pile, cette visibilité nécessite, premièrement, de la simplicité, deuxièmement, des API, et troisièmement, une intégration très solide entre ces trois piles.

Alors Allen, j’aimerais que tu ailles plus loin en parlant de visibilité et que tu y ajoutes la notion de contrôle, car dans ton exemple, celui de la banque, je doute fortement que cette banque ait développé en interne toute la technologie qui a conduit à cette situation. Comment gères-tu donc la chaîne d’approvisionnement, le contrôle, la confiance, sans parler du manque probable de visibilité dont souffrait cette équipe sur ce qui se passait ? Mais prenons un peu de recul par rapport à cela.

Je suis fermement convaincu, après avoir travaillé avec de nombreux clients à travers le monde, que le principal défi auquel ils sont confrontés aujourd’hui, et leur principale faiblesse, réside dans la prise de conscience et la visibilité. Oui. Je crois sincèrement qu’il s’agit là d’un enjeu majeur pour eux. Et cela commence véritablement par la compréhension, de la part du client, de ce qu’est son seuil maximal de tolérance à l’indisponibilité. Écoutez, il existe de nombreux indicateurs concernant les sauvegardes, les RTO et les RTO. Le monde a changé, n’est-ce pas ?

Il s’agit désormais de s’assurer qu’il y a une prise de conscience à l’échelle de l’entreprise de ce seuil maximal de tolérance à l’indisponibilité, et de veiller à ce que l’on comprenne bien les dépendances qui existent au sein de l’entreprise. On parle tous de « produit minimum viable », n’est-ce pas ? La plupart des entreprises diront : « Je connais mon produit minimum viable. » Nous les aidons à le vérifier, n’est-ce pas ? Mais ensuite, il faut comprendre l’impact

de l’indisponibilité de cette « entreprise minimale viable » est un aspect avec lequel les clients commencent à rencontrer des difficultés, qu’il s’agisse de l’impact financier, du risque pour la réputation, des conséquences en matière de non-conformité réglementaire, sans parler de la question de la confiance de leurs utilisateurs, etc. J’ai donc le sentiment qu’il y a un manque de prise de conscience concernant, d’une part, la question suivante : « Quels sont mes processus métier critiques ? » D’autre part : « Quels sont les services métier critiques qui soutiennent ces processus ? » Et enfin : « Quelles sont les dépendances au sein de l’entreprise

qui sous-tendent ces services métier critiques ? La prise de conscience. Quelles sont les dépendances au niveau de l’organisation ? Nous avons évoqué les compétences, n’est-ce pas ? Quelles sont les interdépendances au niveau de la couche applicative ou d’un ensemble de couches applicatives ? Quelles sont les interdépendances au niveau de la couche de données ? Est-ce que je connais la dépendance d’un serveur métier critique vis-à-vis de mes données ? Où se trouve-t-il ? Où existe-t-il ? Peut-être sur AWS. D’accord, mais où exactement ? Quels sont les points de défaillance uniques ? Quels sont les points de risque uniques associés ? Pour moi, cette prise de conscience

doit s’étendre à chaque couche de l’entreprise. Allen, fais une petite pause d’une seconde. Combien d’entre vous dans cette salle, combien de vos entreprises ont dressé une liste ou au moins abordé le sujet lors d’une réunion de direction avec le conseil d’administration, en précisant : « Voici les cinq systèmes de l’entreprise qui ne doivent pas tomber en panne, sinon nous serons hors ligne » ? Combien d’entre vous savent de quels systèmes il s’agit ? Pouvez-vous les citer ? Vous tous ? Aucun d’entre vous ?

Bon, vous n’êtes donc pas nombreux. Vous êtes d’ailleurs en bonne compagnie. ⁓ L’un d’entre vous aurait-il eu le courage de dire : « Non, ne vous inquiétez pas, je ne vous aurais pas mis sur la sellette en posant cette question », car la question suivante aurait été : « Savez-vous quelle est la solution de secours si ces systèmes tombent en panne ? Comment assurez-vous la bascule ? » C’est une excellente question et personne ne sait même par où commencer pour y répondre. Mais sans cette réponse, vous n’avez aucune visibilité. Vous y répondez au moment même où survient une crise.

Oui. Et souvent, les clients découvrent cette dépendance au moment même où la crise survient ou lorsque l’incident s’est déjà produit, et à ce moment-là, il est trop tard. D’où le cas de ce grand distributeur au Royaume-Uni, n’est-ce pas ? Un distributeur au Royaume-Uni. Je veux dire, où en sommes-nous maintenant ? Cinq mois après ? Si Derek était là, il le saurait avec certitude, mais ça fait cinq mois qu’ils sont hors service. D’accord. Une histoire intéressante. Une grande banque de premier plan a été prise au dépourvu lorsqu’elle a perdu l’un de ses services métier critiques

à la suite d’une panne d’un hyperscaler la semaine dernière. Ils n’étaient même pas au courant, car cela passait par la chaîne d’approvisionnement d’un tiers. Ils n’avaient pas réalisé qu’un de leurs services métier critiques dépendait d’un centre de données situé en Virginie. D’accord. Ils ont subi un incident dû à une erreur humaine. Ce n’est même pas une cyberattaque. Je sais que je m’emballe un peu sur ce sujet, mais je travaille avec tellement de clients qui ne connaissent pas la réponse à cette question. C’est une excellente question

que vous venez de poser. C’est pourquoi, à mon sens, la prise de conscience est essentielle. Comprendre cela, saisir les interdépendances, puis déterminer le niveau maximal de tolérance qui deviendra votre indicateur clé de performance (KPI) – autour duquel vous concevrez le processus, développerez les compétences et mettrez en œuvre la solution avec les contrôles adéquats pour gérer ce risque. Oui. Je n’ai pas de réponse à vous donner. Non, c’est fantastique. D’accord. Parlons donc en quelque sorte du troisième niveau, celui des compétences.

C’est vraiment important, car ce que nous espérons, c’est que les participants quittent cette conférence – et si vous travaillez dans le domaine de la conformité –, en se disant : « D’accord, je sais ce que j’ai à faire. Je dois identifier les systèmes qui sont vraiment essentiels à l’activité. Et il n’y en a pas beaucoup, une demi-douzaine tout au plus. Et je dois m’assurer de bien le comprendre. Ensuite, je dois déterminer qui est responsable du plan de basculement en cas de défaillance. Quelles sont les compétences nécessaires pour y parvenir avec succès ? Donc, Danielle, je voudrais répondre à cela

mais je voudrais compléter ce qu’Allen a dit, notamment en ce qui concerne le contrôle et la confiance, n’est-ce pas ? ⁓ Le grand défi, les défis qu’Allen a exposés, on les retrouve partout, n’est-ce pas ? Surtout en matière de sensibilisation, mais on ne peut pas instaurer la confiance si on ne peut pas vérifier, n’est-ce pas ? C’est le vieil adage : « Faire confiance, mais vérifier. » ⁓ Et pour acquérir cet ensemble de compétences, il faut

s’assurer que les systèmes sur lesquels on a une visibilité et les dépendances qu’on a identifiées – comme Allen l’a mentionné – fassent l’objet d’un processus permettant de vérifier ces plans de manière continue. C’est développer cette mémoire musculaire. Je reviens à l’histoire d’horreur évoquée plus tôt dans la conversation :

cette banque n’avait pas développé ce réflexe en matière de résilience. Cela nous ramène donc à votre organisation, n’est-ce pas ? Et à vos collaborateurs : ils doivent acquérir ce réflexe en matière de résilience. Ils en ont besoin, mais comment y parvenir ? C’est comme lorsque vous allez à la salle de sport : si vous voulez développer un muscle, vous devez y aller tous les jours ou, disons, adopter une routine régulière. Ces processus doivent donc s’intégrer

au fonctionnement quotidien ou mensuel de votre organisation : « nous disposons de ces systèmes, nous les avons identifiés, nous savons où ils se trouvent », mais nous devons passer en revue tous nos guides d’intervention. Nous devons ancrer cette mémoire musculaire chez notre personnel informatique et chez nos responsables de la sécurité des systèmes d’information (RSSI) afin que, lorsqu’un incident survient, ils sachent comment réagir. Et il ne faut surtout pas que

lorsqu’un incident survient, on fasse appel à des renforts en urgence pour qu’ils nous aident, car c’est la recette du désastre : cela prend tout simplement trop de temps. C’est comme si, vous savez… On ne peut pas faire un gâteau simplement parce qu’on a dix personnes assises là, ⁓ donc les compétences dont vous avez besoin doivent en réalité être intégrées à votre organisation au fil du temps ; il faut avoir un plan sur la manière de s’y prendre, mais celui-ci doit reposer sur les fondements de la

visibilité : je sais ce que je fais, je connais les dépendances, et ensuite, tiens, qu’est-ce que je restaure ? Quelles sont ces applications critiques dont je dois absolument assurer la reprise ? Et ensuite, vous élaborez ces plans de manière cohérente.

Je suis d’accord. C’est intéressant du point de vue des compétences, je vois cela sous deux angles. Il y a les compétences techniques : celles qui permettent de mener l’analyse et d’identifier les dépendances. Mais vous savez, là où je mets l’accent en matière de compétences, et quand je pense aux compétences au sein de notre organisation, cela relève davantage d’un état d’esprit et d’une culture. D’accord. Cela tient davantage à cet état d’esprit et à cette culture. Et c’est ce changement qui doit s’opérer. Exactement. J’ai entendu…

Chris Lovejoy, lors d’une autre session, dire quelque chose que j’ai noté et qui m’a plu. Nous avons vécu dans un monde de métriques, et l’un des problèmes liés aux réglementations, c’est qu’on a tendance à entendre : « Montrez-moi vos taux de réussite » et « Montrez-moi votre conformité à vos indicateurs clés de performance », etc., etc. C’est donc une approche axée sur les indicateurs. Chris mentionnait que les indicateurs doivent devenir une mission, n’est-ce pas ?

Et j’adore ça, car cela revient à s’intéresser aux compétences dont nous dépendons pour faire fonctionner ces services métier critiques, pour garantir la confiance envers nos organisations, à s’intéresser à ces compétences. Et cela implique qu’une transformation s’impose. Il faut adopter un état d’esprit différent quant à ce en quoi nous avons confiance, comment nous faisons confiance, comment nous instaurons la confiance, comment nous validons les choses.

Et j’adore cette expression : « faire confiance, mais vérifier », n’est-ce pas ? Je sais que cela existe depuis longtemps, mais cela n’a jamais été aussi pertinent aujourd’hui qu’auparavant, car ces compétences vont bien au-delà des simples indicateurs, des connaissances techniques, des capacités, des certifications, etc. Nous avons tendance à recruter sur cette base, mais il y a un aspect essentiel qui entre en jeu : l’état d’esprit et l’attitude culturels. D’accord. Cela ne doit pas être considéré comme un indicateur ; cela doit être une mission.

Or, l’avantage d’une mission, c’est qu’elle vous motive à la mener à bien. La réussite de son résultat, vous voyez ce que je veux dire ? Excusez-moi, j’aimerais ajouter une chose. Pour rebondir sur ce qu’a dit Allen : la mission ne peut pas se résumer à « nous devons respecter telle réglementation » ou « nous devons nous conformer à telle exigence ». Elle doit être axée sur un résultat. Et quel est ce résultat ? N’est-ce pas ? Vous savez, il y a la loi DORA au sein de l’UE, des réglementations similaires en Inde, ⁓

en Australie, et ici, vous avez une réglementation axée sur les soins de santé. Le résultat que toutes ces réglementations cherchent à favoriser, c’est la résilience et la capacité de reprise. Donc, lorsque vous vous adressez à votre organisation et que vous souhaitez définir une mission autour de cela, cela ne peut pas être : « Hé, ⁓ nous devons définir une mission visant à être conformes à la loi DORA ou aux normes NIST. »

Ça ne marche pas, car cela reste alors très cloisonné. Cela devient une mission pour, peut-être, votre service de conformité, ou peut-être votre service des risques. C’est aussi ennuyeux. Oui, c’est ennuyeux, n’est-ce pas ? C’est du genre : « Bon, combien d’indicateurs vais-je cocher ? Combien de rapports dois-je générer pour mon autorité de régulation ? » Il faut plutôt dire : « Notre mission est d’être résilients et de nous remettre rapidement lorsque quelque chose de grave se produit. » C’est tout. Je crois qu’il y a quatre ou cinq ans,

le mot à la mode au sein des services informatiques, vous savez, c’était « efficacité ». Comment devenir de plus en plus efficaces, n’est-ce pas ? En réduisant les coûts, etc. Ce n’est plus le cas aujourd’hui, n’est-ce pas ? Ça doit être une réalité, et ce n’est même plus un simple mot à la mode. Ça doit être intégré dans notre culture. Comment devenir plus résilients ? N’est-ce pas ? Et cela devrait être notre mission. Pas simplement « je dois me conformer à telle ou telle réglementation ». Vous êtes tous les deux en train de ⁓

en train de conclure, en quelque sorte, sur ce sujet vraiment important : la culture de la conformité est en train de changer et doit probablement évoluer plus rapidement. Il faut, vous savez, que les compétences techniques soient fondamentales, mais il faut sortir de la sphère technique et traduire cela en quelque chose qui compte pour les gens, quelque chose qui donne envie aux gens de s’asseoir dans une salle pour écouter. Donc… je pense que la meilleure façon de changer la culture, c’est de commencer par nous-mêmes. Je vais donc poser une dernière question, puis ouvrir le débat. Il ne nous reste que quelques minutes.

Quelle leçon avez-vous apprise à vos dépens au cours de votre carrière dans ce domaine ? Et comment les autres peuvent-ils en tirer des enseignements ?

C’est une bonne question. Je pense que… Parce que lorsque vous vous présentez devant un conseil d’administration, comme vous l’avez souligné, dire « nous devons nous conformer à la loi DORA » est ennuyeux. J’ai déjà vécu une situation de ce genre et je ne veux pas que cela se reproduise. Voici la leçon que j’en ai tirée et voici ce que nous allons faire pour y remédier. Je pense que la leçon que j’ai apprise à mes dépens, c’est que si vous ne brisez pas les cloisonnements au sein de votre organisation et…

entre les équipes, notamment les équipes clés dont vous savez qu’elles seront indispensables dès qu’un incident survient. Et si vous ne prenez pas de mesures à l’avance pour briser ces cloisonnements, la capacité de reprise devient bien plus difficile. Et ces cloisonnements ne concernent pas seulement les personnes, n’est-ce pas ? Il s’agit aussi de cloisonnements ⁓ qui existent au sein de votre pile technologique et de vos piles de données, n’est-ce pas ? Si vous ne prenez pas de mesures proactives à l’avance pour identifier ces cloisonnements,

et de commencer à les démanteler de manière à ce que, lorsqu’un événement grave se produit, ces silos n’existent plus et que tout le monde travaille ensemble, des personnes aux technologies, pour garantir cette capacité de reprise. Vous vous retrouverez alors dans une situation très délicate lorsque ce genre de situation se présentera. C’est une question vraiment intéressante. Et, vous savez, l’une des choses qui m’a frappé au fil des années, c’est l’importance de la confiance.

L’importance de la confiance au sein de votre propre organisation, l’importance d’instaurer la confiance auprès de vos clients, la confiance du marché, la confiance des autorités de régulation, etc. La confiance est probablement l’un des facteurs les plus importants dans le monde des affaires. C’est grâce à la confiance que l’on se développe. D’ailleurs, si vous bénéficiez d’un niveau de confiance adéquat, vous ne rivalisez plus sur les prix, mais sur votre réputation.

D’où vient la confiance ? La confiance vient… et nous l’avons déjà dit, et merci de l’avoir rappelé, car cela m’a fait réfléchir au fait que la véritable essence de la confiance, c’est la confiance que l’on peut vérifier. On peut la vérifier. Il est irresponsable de faire confiance sans pouvoir vérifier. De très nombreuses organisations ont échoué à cause de cela. Je me pose donc la question suivante : comment peut-on vérifier ? On vérifie, et la conformité, d’une certaine manière, sert de ligne directrice. Ce n’est pas vraiment…

sans vouloir manquer de respect à la conformité, qui est fantastique lorsqu’elle est appropriée. C’est une ligne directrice, mais la capacité d’une organisation à vérifier variera d’un cas à l’autre. D’accord. C’est pourquoi la sensibilisation est si importante. La visibilité est si importante, n’est-ce pas ? La capacité à vérifier dépend de la mise en place de contrôles adéquats permettant de vérifier. Je vais le dire. Je vais peut-être trahir mon âge ici, mais : « Hé, testez, testez, testez, testez de manière appropriée. » Et ce que j’entends par « tester de manière appropriée »,

C’est de briser les silos dont nous avons parlé tout à l’heure. Ne testez pas le silo. Testez ce qui compte pour le client du client. Testez ce qui compte pour le conseil d’administration. C’est pour ça que nous… Ouais, et je devrais vraiment le faire. Vous aimeriez probablement que je le fasse. Mais le fait est que la capacité à tester doit correspondre aux critères de réussite de l’organisation. C’est pourquoi il faut commencer par se concentrer sur le minimum viable et sur les services métier critiques.

Et d’ailleurs, il faut savoir quel est l’impact par rapport auquel on effectue les tests. Les paiements vont vous coûter, dans certains cas, des milliards de dollars par jour, n’est-ce pas ? Ce n’est pas une exagération, les chambres de compensation, n’est-ce pas ? Etc. C’est de cette exposition dont nous parlons ici. Donc, en somme, la leçon que j’en ai tirée, je pense, c’est la nécessité de pouvoir faire confiance. On peut faire confiance, mais il faut vérifier. Or, pour vérifier, il faut disposer des contrôles permettant de le faire. Il faut pouvoir tester.

Et puis, sur le plan culturel, il faut disposer des compétences. Je crois fermement en ces trois catégories que vous avez mentionnées plus tôt. La visibilité est essentielle, les contrôles sont indispensables. Disposer des compétences est absolument une priorité pour que les organisations réussissent et atteignent la maturité dans ce domaine. Je dirais que cela dépend de votre organisation, de là où vous en êtes. Exactement. Il n’y a pas de solution miracle. Ce que Commvault, Pure et Kyndryl ont fait,

c’est de fournir un outil, un mécanisme, n’est-ce pas, que les organisations peuvent examiner, imiter et, si besoin est, adopter également, n’est-ce pas ? Nous nous positionnons, nous établissons la norme sur la manière dont les organisations et les clients peuvent se conformer à ces réglementations, mais d’une manière qui comble le fossé technique, le fossé en matière de compétences et le fossé en matière de confiance, n’est-ce pas ? Nous nous attaquons donc à cela, nous avons établi une norme.

Cela répondra-t-il aux besoins d’une organisation ? Cela dépend de l’organisation. Vous savez, chercher une solution miracle n’est probablement pas la bonne façon d’aborder la résilience et la capacité de reprise dès le départ. Mais ce que nous avons fait, c’est fournir un exemple, n’est-ce pas ? En disant : « Voilà, c’est une approche que nous avons validée. Nous avons effectué des tests sur le plan technique, sur le plan des compétences

et nous n’hésitons pas à dire à nos clients et à nos partenaires : « Vous pouvez adopter cette approche, elle vous aidera à vous remettre d’une attaque par ransomware. » Voilà ce que nous avons fait. Si cela répond aux besoins d’une entreprise, c’est un excellent début et nous serions ravis de collaborer avec elle également.

Et pour aller plus loin, je pense que ce qui est vraiment fascinant dans ce que nous avons accompli avec Commvault, Pure Storage et Kyndryl, c’est que notre point de départ était le point de vue du client. ⁓ Quel problème essayons-nous de résoudre pour le client ? Et nous avons choisi une réglementation, en l’occurrence la DORA. Nous nous sommes donc mis tous les trois autour d’une table… Emilio, tu étais là aussi, n’est-ce pas ? Des heures, des jours… des mois. Nous avons travaillé à harmoniser les capacités

grâce aux compétences, à la technologie, à la stratégie de stockage et à la pile de contrôle apportée par Commvault. Et nous avons trouvé une solution conforme à la réglementation DORA en vigueur à l’époque. Il s’avère que la DORA est présente dans toutes les régions du monde, avec des thèmes communs que nous observons. Ce que nous avons donc conçu ensemble repose en grande partie sur un besoin client et cela crée une solution que nous pouvons proposer au client.

La rapidité et les capacités mises en œuvre répondent à bon nombre des exigences de ces clients. Oui. Qu’ils soient soumis à une réglementation ou non. Et je pense que, d’un point de vue culturel, entre nos trois organisations, cela a extrêmement bien fonctionné car, lorsque les trois organisations travaillent ensemble, ce n’était pas tant la technologie ou les fonctionnalités – sans vouloir manquer de respect – mais plutôt la relation. C’est ça le résultat. C’est le résultat que nous essayons également d’atteindre. Oui. C’est une excellente façon de conclure, car…

Ce que je tenais à dire au nom de Commvault, c’est merci à vous deux. Merci à Pure et à Kyndryl. Vous êtes vraiment des partenaires essentiels pour nous. Nous avons travaillé très dur pour construire ensemble ces relations et cette confiance. Cela ne signifie pas que nous sommes parfaits. Cela ne signifie pas que notre solution est parfaite, mais cela signifie que nous apportons beaucoup de savoir-faire dans la relation et le partenariat que nous mettons en place pour nos clients. Et nous vous en sommes très reconnaissants à vous deux. Alors merci de votre attention, merci de votre attention. Merci de nous avoir invités. Merci de votre attention. Merci de nous avoir invités.