Quel est le bon moment pour définir une stratégie de sécurité ?

Quand faut-il revoir sa stratégie de sécurité ?

_Un déclencheur classique, c’est ce qu’on appelle un « déclic », qui touche plusieurs parties prenantes – par exemple, lorsqu’un audit révèle des résultats inattendus, que ce soit un test d’intrusion ou un audit de certification. Par ailleurs, de nouvelles exigences business peuvent amener à repenser sa stratégie, surtout si des données sensibles sont désormais traitées ou si certains processus doivent être automatisés.

Voici quelques exemples concrets :

• Automatisation des processus avec de nouveaux systèmes IT ou OT
• Utilisation de l’intelligence artificielle dans les prises de décision
• Traitement de données sensibles, comme des informations de santé ou de localisation
• Lancement d’une nouvelle activité ou changement de modèle économique
• Changement à la tête de l’entreprise
• Fusions et acquisitions

Existe-t-il aussi des facteurs externes ?

_Oui, des événements marquants dans l’environnement de l’entreprise peuvent aussi pousser à revoir sa stratégie, comme :

• Des reportages sur des cyberattaques chez des concurrents

• De nouvelles réglementations (nDSG, ISG, NIS2, CRA, etc.)

• Des menaces externes telles que des attentats, des pandémies ou des perturbations dans les chaînes d’approvisionnement

• Des cyberincidents majeurs (ransomware, fuites de données, etc.)

Sans oublier, bien sûr, les avancées technologiques.

Quels effets les avancées technologiques ont-elles sur votre stratégie ?

_Certaines stratégies deviennent rapidement dépassées. Les nouvelles technologies et les nouveaux paradigmes transforment en profondeur les exigences liées à l’architecture de sécurité. Ces dernières années, on a notamment vu :

• L’essor des outils basés sur l’intelligence artificielle

• L’adoption du modèle Zero Trust en entreprise

• La montée en puissance du SASE

• Les progrès réalisés dans l’informatique quantique

Mais les cyberattaquants s’appuient aussi sur ces innovations. Il est donc crucial de mettre en place des réponses stratégiques adaptées, telles que :

• Des solutions d’authentification résistantes au phishing

• Privileged Access Management

• La sécurisation des environnements OT et IoT

• Business Continuity Planning

Beaucoup de responsables IT affirment avoir une stratégie « en tête ». Cela suffit-il vraiment ?

_En tant que CISO ou CIO, j’ai bien sûr une vision pour les trois à cinq prochaines années. Mais une stratégie « en tête » fonctionne rarement en pratique, car elle n’est pas forcément partagée au sein de l’équipe. L’expert firewall a d’autres priorités que le spécialiste backup, et la direction ou le conseil d’administration ont eux aussi leurs propres attentes.

Une stratégie formalisée et validée en matière de sécurité de l’information et des TIC rassemble tous les acteurs autour d’une même table. Elle favorise le consensus, permet une action coordonnée et évite les conflits d’objectifs. Une bonne stratégie priorise les mesures en fonction des exigences légales, des risques, des dépendances techniques ainsi que des ressources temporelles et financières – tout en les plaçant sur une chronologie réaliste.

Quelle période doit couvrir une stratégie de sécurité ?

_Il n’existe pas de durée fixe – la stratégie doit rester dynamique et adaptable. Cela dit, planifier sur une seule année ne suffit pas.

En pratique, un horizon de planification de 3 à 7 ans s’est avéré efficace. Sur cette période, les objectifs stratégiques sont définis, avec un plan d’actions annuel. La planification détaillée est ensuite réalisée chaque année, en fonction des projets à mettre en œuvre.