Analyser l’existant et connaitre son organisation

Un premier point stratégique consiste à bien connaitre le fonctionnement de son organisation. En effet, sans ce prérequis, il est difficile de se projeter et de concevoir une gouvernance sécuritaire performante. On constate à ce sujet que souvent, les entreprises délaissent ce volet pour déployer des solutions plus ou moins adaptées à leurs besoins. Cette approche, au-delà d’être partiellement efficace, est surtout incomplète et laisse des trous dans la « raquette sécurité ».

Ne pas se focaliser sur des aspects purement externes

Ce point-clé est fondamental. Globalement, plus de 80 % des projets de cybersécurité se concentrent sur les aspects externes et donnent lieu au déploiement de solutions comme des pare-feux, antivirus, etc. Bien que les attaques externes puissent causer des dégâts importants, ces dernières ne sont pas toujours les plus impactantes. On constate en effet que les menaces internes sont particulièrement dangereuses et nécessitent de mettre en place des dispositifs adaptés.

Le management des accès : un squelette nécessaire

Dans ce contexte, parmi les nombreuses précautions à prendre, il convient d’assurer une gestion de bout en bout du cycle de vie des collaborateurs de l’entreprise. Ainsi, dès le départ, les entreprises ont pour obligation de piloter au plus juste l’allocation des ressources mises à disposition des collaborateurs. Dans certains cas, cela semble évident sur des aspects purement « matériels » : voiture de fonction, etc., mais ce point n’est que la partie visible. Un autre actif stratégique mérite toute l’attention des gestionnaires de dotation.

C’est notamment le cas des accès aux ressources numériques de l’entreprise et aux applicatifs et outils de communication (messagerie…). Ce point est un axe stratégique de la gouvernance sécuritaire à mettre en œuvre. En ce sens, une politique de gestion des accès aux ressources digitales est incontournable. Cela permet notamment lors du départ des collaborateurs de s’assurer que leurs accès au système d’information sont coupés et qu’ils ne peuvent plus visualiser et utiliser les données de l’entreprise.

Ce premier point qui pourrait être complété par d’autres exemples met en évidence la nécessité de ne pas prendre à la légère les menaces internes. En prenant également en compte cette dimension, les entreprises pourront alors se prémunir simplement contre diverses menaces tout en gagnant en fluidité dans le management des collaborateurs.

Par Christophe GRANGEON, Directeur Général & Associé chez USERCUBE