Home » Posts tagged 'Résilience'

Tag Archives: Résilience

Cybersécurité : la résilience, chaînon manquant de votre stratégie

A l’heure de la transformation numérique des organisations, la stratégie de cybersécurité est un sujet sur toutes les lèvres. Dans le même temps, on n’entend quasiment jamais prononcer le mot résilience. Pourtant, la résilience devrait être le pilier majeur de toute stratégie de réduction des risques. Essayons donc de décrypter les raisons de cette anomalie et d’en identifier les risques.

Résilience, le chaînon manquant de votre stratégie de cybersécurité
Crédit © rawpixel.com 2018

Et tout d’abord, il convient de situer la cyber-résilience par rapport à la cybersécurité. Dans les deux cas, il s’agit de répondre aux cyber-risques. Un risque se caractérise par une probabilité de survenance et par un impact (sous forme de conséquences) lors de la réalisation du risque. Dans tous les cas, la stratégie des risques a pour objet d’aligner le niveau des risques au seuil de tolérance de l’Organisation. Cela se fait en mixant la réduction de la probabilité et de l’impact. Bien sûr, la stratégie des risques couvre tous les risques de l’Entreprise et parmi ceux-ci, on aura les cyber-risques.

La réduction de la probabilité de survenance des évènements de sécurité sera essentiellement réalisée grâce à des mesures se situant en amont. On parlera de mesures préventives. On est là dans le domaine de la sécurité. Les mesures de sécurité sont essentiellement de 3 types :

  • préventives
  • de détection (pour détecter l’incident lorsqu’il se produit),
  • correctives pour corriger le système et revenir à une situation acceptable (incluant l’activation d’un plan de continuité ou PCA).

A côté de ces aspects, se pose le problème de la réduction de l’impact et de l’après-crise. Il s’agit donc de répondre à la question « comment pouvons-nous survivre si un tel incident se produit? ». En d’autres termes il s’agit de planifier ce qu’il convient de faire pour réduire les impacts lorsqu’un incident se sera produit. On est là dans le domaine de la résilience.

L’expérience de l’année écoulée

Il y a tout juste un an, l’été 2017 a montré très concrètement à quoi pouvait ressembler des cyber-attaques mondiales. Ce fut le cas notamment avec NotPetya. Un an plus tard, les conséquences du « ransomworm » ne sont toujours pas complètement terminées. Le groupe Merck a annoncé fin novembre 2017 que cette cybe-rattaque lui coûterait environ 600 millions de dollars sur l’exercice 2017 ! Mais, en additionnant les dernières annonces, le seuil des 2 milliards de perte est clairement plus réaliste. C’est la première fois qu’un tel impact est recensé pour un incident cyber. Ce changement de dimension mobilise aujourd’hui enfin les directions générales et les conseils d’administration. Et ce n’est pas trop tôt! Ils sont maintenant demandeurs de moyens pour limiter les impacts de telles attaques. Mais ils sont aussi en attente sur la posture à adopter lorsqu’un cas réel se présentera.

Les mesures préventives de cybersécurité ne suffisent clairement plus à empêcher les cyber-risques de se réaliser. Il est désormais évident que la technologie n’est pas le rempart infranchissable que tout le monde imaginait. La cyber-criminalité est devenue une véritable industrie qui progresse plus rapidement que les moyens de protection ne se développent.

Cyber-résilience : les actions clés

Une cyber-attaque majeure peut être destructive ou entraîner une perte de confiance dans les systèmes clés. Le premier réflexe pour une majorité d’entreprises est alors d’activer le plan de continuité d’activité (PCA). Celui-ci constitue un élément majeur de la stratégie de résilience des organisations. L’objectif est d’assurer la survie de l’organisation lorsque surviennent des sinistres d’ampleur entraînant l’indisponibilité de ses actifs clés. Il peut s’agir de moyens informatiques, d’infrastructures de communication ou d’immeubles voire de collaborateurs.

Or les cyber-attaques majeures, destructives comme Wannacry ou NotPetya, ou provoquant une perte de confiance dans les infrastructures (réseau, gestion des accès, gestion du parc…) telles que les attaques ciblées en profondeur, ne sont pas prises en compte lors de l’élaboration de la majorité des PCA. Ces derniers sont focalisés sur un enjeu de disponibilité. Ils n’appréhendent pas les problématiques de destruction simultanée et de perte de confiance dans le SI induites par les cyber-attaques.

En effet, les dispositifs de continuité du SI sont plus souvent liés aux ressources qu’ils protègent. Ils sont donc également affectés par ces attaques. Depuis plus de dix ans, les dispositifs de continuité (utilisateurs ou informatiques) ont adopté les principes de mutualisation des infrastructures et de secours « à chaud ». Le double objectif de cette approche est à la fois de répondre aux exigences de reprise rapide et d’une meilleure exploitabilité. Mais, de fait, le lien entre le SI nominal et son secours rend les dispositifs de continuité vulnérables aux cyber-attaques.

Des dispositifs de continuité vulnérables

À titre d’exemple, suite à l’attaque NotPetya, l’idée d’utiliser les postes de secours présents sur le site de repli a très rapidement été évoquée dans le cadre d’une gestion de crise. Malheureusement ceux-ci partageaient les mêmes systèmes de gestion de parcs et les mêmes vulnérabilités. Ils donc avaient été logiquement détruits de la même manière que les sites nominaux. Les investissements et les efforts investis dans les dispositifs de continuité ont semblé, à ce moment, très vains.

Enfin il reste les sauvegardes comme dernier rempart. Etablies sur une base souvent quotidienne ou hebdomadaire, elles constituent, pour la plupart des organisations, le dispositif de dernier recours pour reconstruire le SI.

Dorénavant, il n’est pas rare de faire face à une intrusion qui date de plusieurs mois. Bien que la  détection soit récente, dans ce cas, les sauvegardes embarquent de fait les éléments malveillants. Il peut s’agir de malwares par exemple, mais aussi de modifications déjà opérées par les attaquants.

De plus, la continuité en tant que telle des systèmes de sauvegarde est bien souvent négligée. Lors de plusieurs cas de gestion de crise sur NotPetya, les serveurs gérant les sauvegardes avaient eux-mêmes été détruits. Les restaurer a souvent nécessité plusieurs jours vu leur complexité et leur imbrication dans le SI.

S’agissant des SI industriels, les constats sont tout aussi alarmants. Les systèmes numériques industriels sont résilients à des pannes techniques ou des incidents mécaniques anticipés. En revanche, ils n’ont que rarement intégré, dès leur conception, les potentialités d’une malveillance humaine et ils ne disposent souvent pas de mécanismes de sécurité avancés. La longueur de leur cycle de vie (souvent plusieurs dizaines d’années) les expose à l’exploitation de vulnérabilités anciennes. Enfin l’indépendance des chaînes de contrôle  vis-à- vis des systèmes numériques qu’elles supervisent n’est pas toujours respectée.

Des leçons tirées de l’expérience

Il s’avère que lors du déroulement d’une crise, le cycle est souvent identique. Les écueils rencontrés sont quasiment toujours les mêmes. Il convient donc de tirer les leçons de cette expérience.

Gestion de crise en cas de cyber-attaques : les écueils rencontrés
Crédit © Wavestone 2017

Des scénarios d’attaques récurrents

Destruction massive ou indisponibilité d’une grande partie du SI

Ce type de cyber-attaques, concrétisé au travers des cas Wannacry et NotPetya, entraîne généralement une indisponibilité massive du fait du chiffrement des fichiers de données et/ou du système d’exploitation. Les sociétés touchées par des attaques de ce type (parmi lesquelles Merck, Maersk, Saint Gobain, Fedex… mais aussi Sony Pictures ou Saudi Aramco) ont perdu jusqu’à plus de 95% de leurs systèmes d’information (des dizaines de milliers d’ordinateurs et de serveurs) en un délai souvent inférieur à 1h.

La situation au démarrage de la crise est alors très difficile. En effet, il n’y a plus aucun moyen de communication et d’échange au sein de l’entreprise, y compris au sein de la DSI. Les victimes ont communiqué sur des pertes atteignant plusieurs centaines de millions d’euros suite à ces attaques.

Compromission et perte de confiance dans le SI

Il s’agit d’attaques ciblées ne remettant pas en cause le bon fonctionnement du système. Elles visent par contre à donner aux attaquants l’accès à l’ensemble des systèmes de l’entreprise (messagerie, fichiers, applications métiers…). Elles leur permettent d’usurper l’identité de n’importe quel employé et de réaliser des actions en leur nom. Les attaquants peuvent ainsi atteindre tout type de données ou réaliser des actions métiers nécessitant plusieurs validations successives.

Ces cyber-attaques ont touché de très nombreuses entreprises dans tous les secteurs. Les conséquences sont souvent des fraudes massives, comme celles ayant touché la banque du Bangladesh. Il peut aussi s’agir de vols de données financières et de paiements. Ce fut le cas de celles ayant touché plusieurs groupes de distribution aux Etats-Unis dont Target ou encore Home Depot.

La situation au démarrage de ce type de cyber-crise est extrêmement complexe. La raison réside dans la conjugaison de plusieurs éléments aggravants : perte de confiance dans le système d’information et flou grandissant sur les actions et objectifs. Il faut alors investiguer discrètement jusqu’à pouvoir déloger l’attaquant et reconstruire un système sain. Les victimes de ces attaques ont également fait état d’impacts financiers atteignant plusieurs centaines de millions d’euros.

La résilience passe par une bonne gestion de crise

Les crises cyber sont des crises très particulières. Elles sont souvent longues (plusieurs semaines). Elles sont parfois difficiles à cerner (qu’a pu faire l’attaquant ? depuis combien de temps ? quels sont les impacts ?). Elles impliquent des parties prenantes externes, elles-mêmes souvent peu préparées sur ce sujet (avocats, huissiers, autorités, fournisseurs, voire les clients…). Il est donc indispensable d’ajuster les dispositifs existants qui n’ont pas été conçus pour intégrer cette dimension particulière.

Acteur opérationnel de la gestion de la crise cyber, la DSI ne doit pas être sur-mobilisée sur l’investigation et la défense. Cela se ferait au détriment de la production et du secours. Cet aspect constitue un point d’anticipation important à ne pas négliger. Il s’agit donc d’identifier clairement les équipes à mobiliser sur la crise et d’organiser les interventions parallèles d’investigation et de construction du plan de défense.

Au-delà de l’aspect organisationnel, il faut s’assurer de disposer également de l’outillage d’investigation (cartographie, recherche de signature de l’attaque, SI de gestion de crise indépendant, capacité d’analyse de malware inconnu…), d’assainissement (capacité de déploiement rapide de correctifs, isolation en urgence de portions non touchées du SI, isolation réseau…) et de reconstruction (accès rapide aux sauvegardes, accès aux documentations minimum de reconstruction, support des fournisseurs clés, capacité à réinstaller massivement des postes de travail…) requis pour comprendre la position de l’attaquant, stopper sa propagation et faire repartir au plus vite l’activité.

La rédaction d’un guide de gestion de crise, définissant les étapes structurantes, les responsabilités macroscopiques et les points de clés de décision sera un plus. Et parce qu’il est primordial de s’exercer en amont afin d’être prêt le jour où il faudra faire face à la crise, la réalisation d’exercices de crise sera un bon révélateur de la situation réelle.

Les dispositifs de continuité doivent être repensés

Des solutions les plus simples…

Les dispositifs de continuité doivent également évoluer pour s’adapter aux cyber-menaces. Les solutions possibles sont nombreuses. Elles peuvent toucher tous les types de dispositifs de continuité. Le plan de reprise utilisateur peut intégrer par exemple la mise à disposition de clés USB avec un système alternatif. Les collaborateurs pourraient l’utiliser en cas de destruction logique de leur poste de travail.

Certaines organisations ont fait le choix de provisionner des volumes de postes de travail de remplacement directement avec leurs fournisseurs de matériel afin de les installer rapidement en cas de destruction physique.

A des solutions très complexes et coûteuses…

Le plan de continuité informatique peut inclure de nouvelles solutions pour être efficace en cas de cyber-attaques. La plus emblématique vise à construire des chaînes applicatives alternatives. Il s’agit de « dupliquer » une application sans utiliser les mêmes logiciels, systèmes d’exploitation et équipes de production. C’est une solution extrême, très coûteuse et difficile à maintenir. Elle est envisagée pour certaines applications critiques dans le monde de la finance notamment.

A des solutions intermédiaires mais suffisantes

D’autres solutions moins complexes sont envisagées. Il s’agit par exemple de l’ajout de contrôle fonctionnel d’intégrité dans le processus métier. Son concept repose sur la réalisation de contrôles réguliers, à différents niveaux et à différents endroits dans la chaîne applicative. Ceci permet de détecter rapidement des attaques qui toucheraient par exemple les couches techniques (modification d’une valeur directement dans une base de données) sans avoir été réalisées par les actions métier classiques (via les interfaces graphiques). Ces mécanismes peuvent aussi s’appliquer aux systèmes d’infrastructures, par exemple en réconciliant les tickets de demande de création de compte d’administration avec le nombre de comptes réellement dans le système.

D’un niveau de complexité intermédiaire, il est possible d’envisager la définition de zone d’isolation système et réseau que l’on peut activer en cas d’attaques et qui vont isoler les systèmes les plus sensibles du reste du SI. Le SI industriel pourra, à ce titre, constituer à lui seul, une de ces zones d’isolation vis-à-vis du reste du SI.

Cyber-résilience et cybersécurité doivent être imbriqués

Implémenter ces nouvelles mesures de cyber-résilience nécessite des efforts importants. Des efforts qui seront vains si ces solutions de secours et les systèmes nominaux ne sont pas eux-mêmes déjà sécurisés correctement et surveillés avec attention. Le RSSI est l’acteur clé pour faire aboutir ces démarches souvent entamées mais rarement finalisées. L’aide du Risk Manager  — ou, s’il est désigné, son Responsable du Plan de Continuité d’Activité (RPCA) — sera alors un plus. Il est aujourd’hui communément acquis qu’il est impossible de sécuriser des systèmes à 100%. Il faut donc accepter la probabilité d’occurrence de cyber-attaques. C’est à ce moment-là que le Risk Manager ou le Responsable du PCA prendra tout son rôle.

Il est très clair que la résilience est un pilier majeur de votre stratégie de cybersécurité. A ce titre il convient de l’y intégrer dès la conception. Mais il vous appartient également de convaincre votre conseil d’administration de la réalité des cyber-risques et de la nécessité de la mise en oeuvre de mesures de résilience.

Comment s’y prendre concrètement?

Nous ne le répétons, jamais assez, mais deux bonnes pratiques de base sont absolument nécessaires.

Inutile de réinventer la roue : appuyez-vous sur ce qui existe

Il serait vain de partir d’une feuille blanche. Inspirez-vous des bonnes pratiques du marché. A cet effet, AXELOS a publié une référentiel de bonnes pratiques en matière de résilience des SI : RESILIA. Complémentaires d’ITIL, ces bonnes pratiques vous aideront à compléter vos processus existants afin d’y incorporer la planification de la résilience de votre SI

Faite monter vos collaborateurs en compétence, formez-les

La réponse aux cyber-attaques nécessite une préparation minutieuse et du personnel formé et efficace. A cet effet, 2AB & Associates vous propose des formations sur RESILIA (RESILIA Foundation et RESILIA Practitioner) ainsi que des formations sur la continuité des activités (Business Continuity Foundation et ISO 22301 Lead Implementer). Nous vous proposons également une formation indispensable pour mieux évaluer et planifier la réponse aux cyber-risques : ISO 27005 Risk Manager.

Et bien sûr, nos experts sont à votre disposition pour répondre à vos commentaires.

BCM – Préparez-vous à survivre en cas de crise!

Dans un monde de plus en plus risqué, tout peut arriver à tout instant : une catastrophe naturelle, une cyber-attaque, une pandémie, un incendie. Attendre que l’accident arrive serait condamner votre entreprise à une mort plus que probable. Alors inutile d’attendre. Préparez-vous dès maintenant à survivre à une crise lorsqu’elle arrivera.

BCM - gestion de la continuité des affaires
Crédit photo © garagestock

Nous démarrons aujourd’hui une nouvelle série d’articles consacrés à la Gestion de la Continuité des Activités. Il s’agit une problématique concernant tous les types d’organisations, quelle que soit leur taille. D’ailleurs, de plus en plus de réglementations sectorielles et de lois nationales imposent l’existence d’un processus de gestion de la continuité des activités pour certains types d’entreprises (banques, opérateurs télécoms, santé, agro-alimentaire, etc.). Il est également important d’éviter une confusion fréquente et de bien distinguer la gestion de la continuité des activités business d’une organisation, dont nous parlerons ici, de la continuité informatique qui fera l’objet d’un futur article. Ainsi, la continuité informatique ne peut pas exister sans une Gestion de la Continuité des Activités Business dont elle n’est qu’une conséquence.


Vous êtes à la maison, et on vous apprend qu’un incendie majeur touche votre entreprise… Le temps s’arrête et les questions surgissent dans votre tête : „ Est-ce que les employés sont en sécurité? „ Quelles sont les conséquences, qu’avons-nous perdu? „ Combien de temps serons-nous affectés? Que doit-on prioriser?


Toute entreprise est exposée à de nombreux risques. Ces risques lorsqu’ils sont liés à des incidents majeurs, peuvent avoir des impacts considérables au niveau des opérations. Cependant l’impact le plus important se concrétisera au niveau de la confiance et de l’image. Vos clients risquent alors de vous abandonner. Vos investisseurs risquent également de reprendre leurs fonds, privant l’entreprise de moyens d’opérer. Nous allons donc essayer au travers de cet article de voir quelles sont les bonnes pratiques de gestion de la continuité des activités.

La continuité des activités (Business Continuity Management ou BCM), c’est établir à l’avance, sans les facteurs d’urgence et de panique, comment votre entreprise réagira si un incident survient. Elle permet de mettre en place des stratégies pour diminuer les effets de l’incident sur votre environnement, sur vos actifs, vos activités, vos revenus et votre réputation.

Qu’est-ce que la Gestion de la Continuité des Activités (BCM)?

La continuité des activités business

La continuité des activités (Business Continuity Management ou BCM), c’est établir à l’avance, sans les facteurs d’urgence et de panique, comment votre entreprise réagira si un incident survient. Elle permet de mettre en place des stratégies pour diminuer les effets de l’incident sur votre environnement, sur vos actifs, vos activités, vos revenus et votre réputation. La gestion de la continuité des activités commence donc par l’élaboration de votre plan de continuité business (BCP).

Dans cet article, nous vous présentons les différentes étapes à suivre pour construire votre plan de continuité des activités. Celui-ci devra être simple, efficace et orienté vers l’action. Il sera structuré pour vous permettre de faire face à tout type de situation. Vous devrez déterminer préalablement quelles seront les responsabilités de chacun et les procédures à suivre afin d’éviter de dépendre uniquement de la débrouillardise des individus pour faire face au sinistre. Finalement, il sera important que ce plan soit mis en pratique et tenu à jour afin de demeurer pertinent. Le chef d’entreprise devra donc s’impliquer dans la démarche, et un responsable devra être assigné.


Êtes-vous bien préparé aux catastrophes naturelles et aux phénomènes météorologiques extrêmes? Selon une étude récente d’Environnement Canada, les événements météorologiques extrêmes qui survenaient tous les 40 ans reviennent maintenant tous les 6 ans.

Que feriez-vous en cas de cyberattaque? Selon le gouvernement canadien, environ 70 % des entreprises canadiennes ont été victimes de cyber-attaque l’an dernier, avec un coût moyen de 15 000 $ par incident.

 La question n’est donc plus de savoir SI, mais bien QUAND votre entreprise aura à faire face à un incident.


Qu’est-ce qu’un incident?

Un incident, c’est une situation qui peut être, ou conduire à, une perturbation, une perte, une urgence ou une crise. L’incident peut être mineur, comme une perte temporaire d’accès à vos locaux. Il peut aussi être majeur, comme la perte complète de vos systèmes informatiques. Il peut être d’origine naturelle (inondation, incendie), social (grève, émeute) ou technologique (cyber-attaque, etc.).

Pourquoi entreprendre une démarche de continuité des activités (BCM)?

Dans le cas où une urgence se produit, vos employés pourraient être dans l’incapacité d’accéder au lieu de travail. Vos fournisseurs pourraient également ne pas être en mesure de vous fournir le matériel ou les services nécessaires à la poursuite de vos activités. Les incidents provoquant une interruption peuvent survenir n’importe quand et affecter toute entreprise.

Les changements climatiques auront une incidence sur la fréquence et l’ampleur des événements météorologiques auxquels votre entreprise ou vos partenaires pourraient avoir à faire face. De plus, de nouveaux risques émergents, comme les cyberattaques, peuvent aussi concerner tout type d’organisation.

Un plan de continuité des activités vous permet de bénéficier de plusieurs avantages :

  • Réponses plus efficaces lors d’un incident afin :
    • de protéger la vie des employés et les actifs de l’entreprise; ƒ
    • de limiter les pertes matérielles et financières; ƒ
    • d’assurer la poursuite des activités essentielles en permettant ainsi de préserver les revenus et la réputation, et de faciliter le retour à la normale.
  • Implantation de solutions qui réduiront votre vulnérabilité aux incidents et qui augmenteront votre résilience et votre robustesse dans vos opérations normales. „
  • Mise en évidence de l’image d’une entreprise responsable à l’intention des employés, clients, actionnaires, investisseurs, banques et assureurs. „
  • Avantage concurrentiel, car vous pourrez maintenir vos activités même en cas d’incident. „
  • Conformité aux attentes de clients qui peuvent requérir un plan de continuité des activités formalisé. „
  • Respect d’exigences propres à votre secteur telles que les normes AS9100 et IATF 16949 dans le domaine aérospatial, le code SQF dans le domaine alimentaire, Bale III pour le secteur financier ou encore la loi sur les télécommunications (France, Cote d’Ivoire, …) ou les règles de l’Autorité des marchés financiers (AMF) au Canada, .

Etes-vous prêts à affronter un sinistre?

Vous serez peut-être surpris et rassuré d’apprendre que des mesures déjà en place au sein de votre entreprise pourraient vous permettre de répondre à certains scénarios d’incident, tels un problème informatique ou une perte d’accès à votre site opérationnel.

Avant que vous entrepreniez une démarche structurante en continuité des activités, il est recommandé que vous effectuiez une auto-évaluation de votre état de préparation. Ainsi, vous pourrez mieux cerner les enjeux, déceler les forces et les faiblesses de votre entreprise en matière de continuité des activités et comprendre où des efforts seront nécessaires pour répondre adéquatement à un incident.

Éléments potentiellement déjà en place dans votre entreprise (énumération non exhaustive):

  • Capacité de travailler à distance (télétravail); „
  • Produits fournis et/ou services offerts sur plus d’un emplacement; „
  • Systèmes informatiques (courriels, applications informatiques, données) dans le cloud; „
  • Procédures de sauvegarde des données à l’externe; „
  • Plan de sécurité incendie; „
  • Coordonnées des employés et des partenaires business à jour et disponibles à l’extérieur du bureau; „
  • Procédure d’alerte et de mobilisation en cas d’urgence; „
  • Programme de maintenance des équipements; „
  • Stock réparti sur deux emplacements ou distinct de l’environnement de production; „
  • Fournisseurs de remplacement; „
  • Formation croisée des employés ou processus documentés.

Si ce n’est pas déjà fait, dressez une liste des coordonnées des employés et des partenaires clés pour les joindre pendant les heures normales d’ouverture et en dehors de celles-ci. Conservez cette liste à portée de main à l’extérieur de votre site professionnel.


Comment élaborer un plan de continuité?

Pour élaborer un plan de continuité des activités et s’assurer qu’il sera fonctionnel lors d’un incident, quatre grandes étapes sont à suivre. Celles-ci requerront le soutien de la direction et l’implication de tous les secteurs de l’entreprise. Des outils sont disponibles sur le net (par exemple le formulaire d’auto-évaluation élaboré par le Gouvernement du Québec) pour vous soutenir dans la réalisation de chacune de ces étapes. Quand vous aurez rempli les outils, il vous sera ensuite facile de constituer votre plan de continuité des activités.

Plan de Continuité des Activités
Crédit © Gouvernement du Québec

La planification est aussi importante que le plan lui-même.

Le processus d’élaboration d’un plan de continuité des activités est de plus en plus formalisé. Des normes nationales  et internationales (ISO 22301) ainsi que de bonnes pratiques (Business Continuity Institute et Disaster Recovery Institute) définissent les éléments que devrait comporter ce processus.


Dans nos prochains articles consacrés à Gestion de la Continuité des Activités, nous aborderons successivement ces quatre étapes.

Comment démarrer sa Gestion de la Continuité des Activités?

Avant de démarrer vos activités de planification de la gestion de la continuité des activités nous vous invitons à faire suivre aux personnes qui en seront directement en charge, une formation BCM Foundation (les fondamentaux de la Gestion de la continuité des activités).

Si vous êtes confrontés à cette problématique ou si vous avez été victimes d’un sinistre, nous vous invitons à poster vos commentaires. Ceux-ci aideront sans aucun doute d’autres lecteurs confrontés aux mêmes problèmes.

DSI en 2015 : quel est le bon profil?

Responsable de la stratégie informatique de l’entreprise, le DSI n’a pas seulement besoin de connaissances en informatique. Il doit d’abord être un organisateur, un manager et un leader. Voire un visionnaire. Alors quel profil choisir pour ce rôle : informaticien expérimenté ou pas? Votre DSI est-il la personne qui convient pour ce poste?

réunion DSI

Le challenge de l’Entreprise du 21ème siècle réside dans sa capacité d’innovation face à un marché extrêmement dynamique sur lequel les positions compétitives sont en constante évolution. La mondialisation de l’économie apporte toujours plus de concurrence et toujours plus d’informations à compiler pour être à la hauteur du challenge. Dans un monde où l’information est la clé de la création de valeur, il est clair que la capacité de l’Entreprise à gérer cette information revêt une importance stratégique. Fini le temps où le département informatique ne servait que de support au Business. Aujourd’hui son rôle est plus orienté vers l’innovation et le leadership stratégique. Le rôle du DSI a donc considérablement évolué ces dernières années pour passer de celui d’un super-technicien capable de mettre en place une équipe de « pompiers » en charge de résoudre des incidents et de garantir la disponibilité des service IT aux métiers pour soutenir leur activité opérationnelle génératrice de valeur, vers celui de leader stratégique, capable de travailler avec les métiers sur de nouveaux axes de productivité s’appuyant sur la transformation permanente de l’Entreprise en vue de son adaptation à l’environnement concurrentiel.

Les compétences requises pour un DSI ont bien évidemment évolué dans ce sens. Le DSI du 21ème siècle est donc d’abord un stratège, un manager doté d’un fort leadership et un visionnaire capable d’imaginer avec les métiers de l’Entreprise quels seront ses marchés de demain, afin de permettre à ces derniers d’occuper ces nouveaux marchés avant leurs concurrents. Y a-t-il encore besoin d’être un informaticien pour occuper le poste de DSI? Rien n’est moins sûr.

Une révolution technologique et culturelle est en cours

La mobilité et le Cloud sont en train de remodeler de façon fondamentale l’informatique d’entreprise. Ils ont déjà changé la relation globale entre l’informatique et le reste de l’organisation. Cette nouvelle façon de gérer l’information est devenue à la fois un défi et une immense opportunité pour les DSIs, mais saisir cette opportunité exige un changement de culture, de mentalité et de compétences. Pour réussir, le DSI et le personnel du département informatique doivent travailler main dans la main avec le business dans un vrai partenariat basé sur une relation de confiance.

Age du boulierLes attentes de pouvoir travailler en utilisant les outils les mieux adaptés à leurs besoins, et la capacité de mener en parallèle des tâches personnelles et  des tâches de leur Entreprise au travail, mais aussi à la maison, tout en préservant la confidentialité des renseignements personnels sont devenues la norme pour une majorité d’employés.

Cette nouvelle organisation engendre des risques importants au niveau de la sécurité des informations et de la résilience de l’Entreprise. Il est donc vital que le DSI soit également un véritable gestionnaire des risques d’Entreprise afin d’inclure les aspects liés à la cyber-résilience dans sa stratégie.

Quel est le rôle d’un DSI?

COBIT® 5 décrit le DSI comme étant « le plus haut dirigeant de l’entreprise en charge de l’alignement des stratégies IT et des stratégies d’affaires. Il est également responsable de la planification, des ressources et de la gestion de la livraison des services informatiques ainsi que des solutions pour soutenir les objectifs de l’entreprise ».

En d’autres termes, son rôle, en coopération avec l’ensemble des membres du Comité de Direction, consiste à participer à l’élaboration des stratégies Business et à s’assurer que les stratégies IT sont bien « embarquées » (ou alignées) avec celles de l’Entreprise. La stratégie IT devra ensuite être validée et approuvée par le Comité Stratégique qui répond au Conseil d’Administration.

COBIT® 5 décrit le Comité Stratégique comme « un groupe de hauts dirigeants nommés par le conseil d’administration afin de s’assurer que ce dernier participe aux grands dossiers et décisions liés à l’IT, et qu’il en est tenu informé. Le comité est responsable de gérer les portefeuilles d’investissements en informatique, les services informatiques et les actifs informatiques en veillant à la création de valeur et que le risque soit géré. Le comité est généralement présidé par un membre du Conseil d’Administration et non par le Directeur du Système d’Information« .

Le DSI est chargé d’identifier les domaines potentiels de croissance qui auront un besoin accru du soutien informatique, et de diriger la conception et l’exécution d’une stratégie Informatique qui construit ces fonctions essentielles dans le domaine IT. En d’autres termes, le DSI a donc comme rôle d’élaborer la stratégie IT (« Responsible »), en alignement avec les stratégies Business en vue de satisfaire les objectifs de l’Entreprise qui eux-mêmes se déclinent de la mission qui lui a été assignée par le Conseil d’Administration. Le Comité Stratégique a, pour sa part, la charge de valider l’ensemble des stratégies et de s’assurer de leur alignement.

Une fois les stratégies validées, le DSI répond (est « Accountable ») de la livraison des solutions et des services définis dans la stratégie. Sa première responsabilité sera donc de rédiger et de faire appliquer la Politique Informatique. Pour cela il devra gérer les risques IT dans la limite de l’appétit du risque de l’Entreprise, négocier et implémenter des contrats complexes, notamment en matière de sous-traitance, transmettre la politique en vue de son application à son Senior Management qui la traduira en processus, et s’assurer de la résilience du système informatique, incluant les aspects de sécurité, d’intégrité et de confidentialité, ainsi que de s’assurer de la conformité légale et réglementaire.

Les aptitudes et compétences requises pour un DSI

Pour remplir son rôle, le DSI devra donc faire montre d’aptitudes et de compétences correspondant aux responsabilités qui lui sont assignées.

1. Alignement des stratégies du système d’information et des métiers de l’entreprise

Cela signifie être capable de:

  • Anticiper les besoins de l’entreprise à long terme
  • Améliorer l’efficacité et l’efficience des processus de l’organisation
  • Déterminer le modèle de système d’information et l’architecture d’entreprise alignés avec la politique de l’Organisation et assurer un environnement sécurisé
  • Prendre des décisions stratégiques pour la politique informatique au niveau de l’Entreprise, y compris au niveau des stratégies de sourcing
  • Faire preuve de leadership pour la construction et la mise en œuvre de solutions innovantes sur les long terme

2. Gouvernance du Système d’Information

Cela signifie être capable de:

  • Faire preuve de leadership concernant la stratégie de gouvernance informatique en communiquant, propageant et contrôlant les processus pertinents du département informatique entier
  • Définir, déployer et contrôler la Management des Systèmes d’Information en ligne avec les impératifs Business
  • Prendre en compte tous les paramètres internes et externes tels que la législation et le respect de normes de l’industrie pour optimiser les risques et le déploiement de ressources en vue de générer un bénéfice Business équilibré.

3. Gestion des relations avec les métiers

Cela signifie être capable de:

  • Identifier les relations clés qui devraient être initiées pour comprendre les exigences informatiques du Business
  • Promouvoir la vision et les opportunités que la technologie peut présenter pour l’entreprise, y compris la possibilité de transformation et son impact probable sur le Business
  • Diriger la conception d’une procédure pratique permettant de maintenir des relations positives avec le Business

4. Développement du Business Plan

Cela signifie être capable de:

  • Fournir un leadership stratégique pour le développement de Business Plans pour exploiter au mieux les capacités des technologie de l’information afin de répondre aux besoins des métiers
  • Considérer les modèles possibles et applicables de sourcing
  • Présenter une analyse coûts/bénéfices et des arguments justifiables à l’appui de la stratégie choisie
  • Communiquer et vendre le Business Plan aux parties prenantes de l’Enterprise en tenant compte des intérêts politiques, financiers, et organisationnels.

5. Management des risques métiers liés à l’informatique

Cela signifie être capable de:

  • Diriger la définition d’une politique de gestion des risques en tenant compte de toutes les contraintes possibles, y compris les questions techniques, économiques et politiques
  • Mettre en œuvre la gestion des risques au niveau du Système d’information grâce à l’application des politiques et procédures de gestion des risques
  • Évaluer les risques pour le Business de l’organisation, y compris au niveau d’Internet, du Cloud et des appareils mobiles
  • Documenter les risques potentiels et les plans de réponse.

6. Leadership et travail d’équipe

Cela signifie être capable de:

  • Renforcer l’engagement sur une vision partagée afin de fournir des services client de qualité
  • Encouragez les personnels à prendre des décisions de façon indépendante et à assumer le leadership dans leur domaine d’expertise
  • Vaincre, grâce à sa performance, à la confiance qui lui est faite et au soutien à son leadership
  • Créer un environnement dans lequel les membres de l’équipe sont des moteurs pour améliorer performances et la productivité
  • Veiller à ce que les liens appropriés / partenariats entre les équipes soient maintenues.

7. Gestion Financière

Cela signifie être capable de:

  • Assurer la gestion financière stratégique des finances, le financement du capital / hors trésorerie, l’amortissement des coûts de projet, la gestion d’exercice, la gestion du coût du capital.

Alors avez-vous le bon profil pour être DSI en 2015?

Compétences requises pour un DSILe DSI, par essence, doit absolument être membre du Comité de Direction car c’est à ce niveau que se situent les responsabilités de Gouvernance et de Stratégie. Au niveau du savoir être, il doit être capable de travailler en équipe avec les autres membres du Comité de Direction et savoir se concentrer sur ce qu’il convient de faire (la stratégie et la rédaction de politiques) plutôt que sur comment on va le faire (les processus et les procédures). Le « comment » relève de la responsabilité du Senior Management.

Sur la base des éléments décrits précédemment, il est clair que le DSI de 2015 n’est pas un « informaticien » ayant un profil technique et ayant gravi les échelons pour arriver à ce poste en fin de carrière. Il doit s’agir avant tout d’un stratège, d’un manager complet, d’un organisateur, d’un leader et d’un visionnaire. Ce type de profil ne correspond pas du tout au profil d’un ingénieur informaticien mais plutôt à celui d’une personne issue d’une grande école de management ou de commerce avec une expérience réussie de quelques années à un poste de senior manager ou de membre d’un Comité de Direction.

Quelques formations et certifications viendront idéalement compléter les aptitudes et les compétences du DSI, sur la base des référentiels de bonnes pratiques universellement utilisés dans ce domaine.

Voici quelques unes des formations et certifications typiquement destinées à un profils de DSI :

COBIT® pour le Board et les Exécutifs (1 jour) : les responsabilités de gouvernance et de management du système d’information et comment réaliser l’alignement avec les attentes des actionnaires/propriétaires, les objectifs de l’Entreprise et la Stratégie Informatique.

COBIT® 5 Foundation (3 jours) : les fondamentaux de la gouvernance et du management des systèmes d’informations, incluant comment en implémenter les facilitateurs et évaluer leur aptitude à supporter la mission de l’Entreprise.

RESILIA Foundation (3 jours) : les fondamentaux de la cyber-résilience, incluant la cyber-sécurité, et notamment comment intégrer la cyber-résilience dans la stratégie informatique.

ITIL® Service strategy (3 jours) : formation de niveau « intermediate » du cursus ITIL, la qualification Stratégie de Service (SS) est l’un des cinq modules du cycle de vie des services ITIL et vous fournit les conseils vous permettant de concevoir, développer et mettre en œuvre la stratégie de fournisseur de service en alignement avec la stratégie de l’Entreprise.

AB Consulting, seul Organisme de Formation Accrédité (ATO) par l’ISACA et AXELOS sur la totalité de ces domaines en Afrique, vous propose l’ensemble de ces formations et certifications. Nous pouvons également vous aider au travers de nos services de coaching et d’accompagnement sur ces aspects ainsi que réaliser à votre demande des évaluation d’aptitude de votre système de management ou de votre système de gouvernance.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact:

RESILIA, objectif cyber-résilience

RESILIA, le cadre de référence de cyber-résilience, publié récemment par AXELOS, fait une entrée remarquée dans le paysage des référentiels de bonnes pratiques au moment-même où se déroule le mois de la cyber-sécurité, auquel AB Consulting s’associe au travers de la publication d’articles et de sa participation à une série d’évènements destinés à sensibiliser les Entreprises sur les risques en matière de cyber-sécurité.

RESILIA - cyber-resilience

Quel est le problème?

Le problème avec la sécurité informatique, c’est que, traditionnellement, elle est largement axée sur la technologie, se préoccupant surtout de contrôles et de mécanismes en en oubliant souvent la raison : il s’agit de protéger les actifs de l’organisation. Cela résulte le plus souvent en des mesures de protection totalement inadaptées : soit on sauvegarde tous les actifs et cela conduira à un coût disproportionné, ou, à l’inverse on met en place une protection insuffisante pour préserver des actifs précieux dont on ne réalise la valeur qu’une fois qu’un incident de sécurité est survenu.

Le résultat de cet état de fait, c’est qu’on blâmera des départements qui, à leur niveau, faisaient de leur mieux pour fournir une solution qui se révèle inadéquate pour un problème qui se situe à l’échelle de l’organisation, et pas seulement à celle du département..

Un changement de paradigme s’est produit il y a quelques années avec l’émergence de la «sécurité de l’information», induisant un changement de culture au travers de la focalisation sur ce qui devait  être protégé au détriment de qui devait s’en charger, s’appuyant sur l’introduction du concept que la sécurité est une responsabilité collective et pas seulement celle du domaine informatique.

Les métiers de l’Entreprise ont finalement compris qu’ils avaient un rôle crucial à jouer dans la catégorisation des actifs en fonction de la valeur qu’ils représentent pour l’Organisation, c’est à dire de l’impact qu’aurait la perte de ces actifs sur l’Entreprise, et pas seulement le prix des actifs tangibles. A titre d’exemple, un ordinateur portable perdu pourrait coûter  1000 € au titre de son remplacement, mais entraîner la perte d’une opportunité d’affaire faisant perdre 10.000 € à l’entreprise. Si l’ordinateur portable a été volé et que des données confidentielles qu’il contenait ont été divulguées, alors, à ces montants peuvent s’ajouter des amendes pouvant atteindre 100 000 € par exemple. Et n’oublions pas que cette fuite d’information pourrait menacer l’avenir de l’entreprise à cause de la perte de réputation et d’image de la marque qui en résulteraient ainsi que de la réduction de la confiance de la clientèle … A partir de là on entre très rapidement dans une spirale infernale qui conduit beaucoup d’Entreprises ayant subi une cyber-attaque à une disparition pure et simple dans les deux années suivantes….

RESILIA, de quoi s’agit-il?

Logo RESILIAIl est clair que la prévention ne suffit pas. La loi de décroissance des rendements montre qu’à partir d’un certain point,  un excès de prévention devient totalement inefficace en termes de coûts. Malheureusement, de nombreuses organisations trop immatures ont fixé ce seuil à un niveau incroyablement bas. C’est là que  RESILIA  intervient en proposant des bonnes pratiques nous aidant à planifier et à résister aux effets indésirables d’un incident de sécurité.

Alors, comment ça marche?

Ces effets peuvent-ils être contenus? La réponse est positive. La sécurité de l’information n’est pas un but en soit.  C’est un parcours balisé suivant un processus simple:

  1. Identifier les principaux actifs. Classez-les selon leur valeur pour l’organisation, pas seulement leur valeur valeur monétaire. Il faut comprendre l’impact pour l’Entreprise s’ils sont perdus ou volés. La perte de données est un problème et le vol de données a un coût très élevé: nous ne parlons pas seulement d’amendes infligées par les organismes de réglementation, mais aussi et surtout de la réputation de la marque et de l’hémorragie de clients qui va résulter de la perte de confiance induite.
  2. Déterminer l’appétit du risque de l’organisation. Quelles sont les menaces qui pèsent sur ces actifs? Où sont leurs vulnérabilités? Certains risques sont totalement inévitables, ou ont un coût disproportionné de réduction qui peut être difficilement acceptable. Alors, un plan de réponse devrait être disponible au cas où le risque se transformer se concrétise. Il est toujours plus sûr d’avoir un plan en espérant ne jamais avoir à l’utiliser que de ne pas en avoir du tout.
  3. Communiquer la stratégie: planifier et annoncer. Qui sont vos partenaires? Quels seront leurs responsabilités? Comprennent-ils les conséquences de responsabilités non assumées? Y at-il des conditions préalables – comme une formation complémentaire ou des mesures législatives qui nécessitent d’être satisfaites?
  4. Exécuter le plan: impliquer les personnes et les processus, et pas seulement la technologie. Intégrez les changements au niveau culturel en faisant de la sécurité un élément naturel opérations quotidiennes – les gens ont besoin de se sentir sécurisés de façon habituelle grâce à la sensibilisation sur les avantages et des ramifications plutôt que de de ressentir qu’il ne s’agit que d’un exercice qui se traduira par une case supplémentaire à cocher.
  5. Examen et vérification: appliquer la gouvernance à tous les niveaux, effectuer des audits réguliers pour évaluer les niveaux de maturité et examiner les opportunités d’amélioration, mesurer et présenter des rapports qui serviront de preuve de la conformité et identifier les failles. Vous pouvez également simplement laisser aux hackers le soin de trouver les failles par eux-mêmes d’abord !…

Mais tout cela ne va pas sans difficulté. La Sécurité exige un engagement fort au niveau du Conseil d’Administration, des efforts soutenus et des investissements importants pour être couronnée de succès: ce sont les personnes responsables de l’approbation des contre-mesures défensives qui ont le plus à perdre si les mesures ne sont pas prises – celles qui verront le plus rouge visages quand vous expliquerez pourquoi on n’a pas fait plus tôt ce qu’il fallait. Donc, c’est là que se situe votre retour sur investissement: si vous voulez avoir une idée de votre budget, pensez à combien il en coûtera à votre organisation si vous ne faites pas ce qu’il faut et que vous devez supporter des conséquences telles que des pénalités par exemple..

Si la sécurité n’est pas pour vous, alors peut-être qu’elle est pour vos concurrents.

Pour tout complément d’information ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact :

Catégories

Archives

Calendrier

février 2019
L M M J V S D
« Jan    
 123
45678910
11121314151617
18192021222324
25262728  
%d blogueurs aiment cette page :