Les échos de RSA Conference, Black Hat et DEFCON résonnent encore à nos oreilles. Ces rassemblements, riches en informations, enseignements et prédictions révolutionnaires, ont fait naître chez les RSSI de nouvelles idées et un sentiment renouvelé d'utilité. En ces dernières semaines d'été, il est temps de prendre du recul par rapport au tourbillon des conférences et d'avoir une vue d'ensemble.
In a panel discussion facilitated by Keyfactor and Devo at RSA, CISOs gathered to share their most pressing concerns, the evolving role of the CISO, and the strategic shifts they’re making to navigate today’s complex security landscape. Four key themes emerged as top-of-mind for CISOs—read on to see what’s keeping leaders up at night, and what they plan to do about it.
La cybersécurité est plus que jamais sous les feux de la rampe
La sensibilisation du public aux questions de sécurité a augmenté ces dernières années - en fait, elle n'a jamais été aussi élevée.
Nous avons assisté à des perturbations majeures causées par des cyberincidents :
-
- When a faulty Crowdstrike update in July 2024 affected Microsoft devices across the world, airline outages and customer suffering dominated headlines.
- In 2022, a major Rogers disruption in Canada involving malfunctioning routers affected millions of internet, mobile, and banking customers, including some emergency 911 systems.
- After a February 2024 outage, AT&T discovered that “nearly all” customer data from most of 2022 had been exfiltrated, risking personally identifiable information (PII) in the wrong hands.
- An “expired ground station certificate” at Starlink in 2023 took satellites down for several hours, highlighting the risks of poor certificate management to overall operations.
- Cisco experienced a similar issue in 2023, when expired certificates on inherited SD-WAN hardware brought down cloud, data storage, and e-commerce services.
Ces incidents ont fait entrer la cybersécurité dans les mœurs. Cette visibilité accrue va au-delà de la sensibilisation des consommateurs ; les conseils d'administration et les cadres dirigeants doivent également accorder une plus grande attention aux risques de sécurité et à leurs conséquences potentielles.
Si cette attention accrue confère aux RSSI une place plus importante à la table des négociations, la visibilité n'est pas toujours positive. Les RSSI sont soumis à un examen minutieux de leurs décisions et la pression pour obtenir des résultats est forte.
La responsabilité personnelle est en jeu
The role of the CISO has evolved dramatically in response to this increased scrutiny, and so has the level of personal liability. The SolarWinds supply chain attack, for example, resulted in fraud charges filed against CISO Timothy Brown; at Uber, a data breach led to a criminal conviction and three years’ probation for former CISO Joseph Sullivan.
Compounding these challenges are emerging regulations geared towards protecting the public, such as the SEC’s four-day disclosure rule, or the forthcoming NIST updates to cryptographic algorithms. These regulations are important and helpful for improving cybersecurity practices, but they also increase the workload and complexity of a CISO’s role.
Une approche à adopter pour éviter d'être sur la sellette ? "Si ce n'est pas écrit, ce n'est pas arrivé". Les RSSI qui disposent d'une documentation et d'un audit complets disposent d'informations sur lesquelles ils peuvent s'appuyer lorsqu'ils sont confrontés à des défis réglementaires ou à des enquêtes externes.
Sécurité et risque vont de pair
Bien qu'ils fournissent des conseils et des recommandations d'experts, le dernier mot revient souvent à d'autres cadres, aux membres du conseil d'administration ou aux chefs de service.
Par exemple, un RSSI peut recommander la mise en œuvre de l'authentification multifactorielle (AMF) pour Salesforce, mais si Salesforce appartient à l'équipe commerciale et relève de son budget, c'est elle qui en est responsable en dernier ressort et qui aura le dernier mot sur le déploiement de cette mesure. Une communication et une collaboration efficaces entre les RSSI et les autres parties prenantes sont essentielles pour créer un changement efficace et progressif.
Le rôle du RSSI implique en fin de compte à la fois la sécurité et la gestion des risques. Compte tenu des ressources limitées et des contraintes de temps, il est essentiel de hiérarchiser les efforts en fonction de l'appétence de l'organisation pour le risque. La compréhension de la tolérance au risque de l'entreprise est essentielle pour déterminer quelles mesures de sécurité doivent être mises en œuvre et à quel moment.
Les RSSI s'adaptent rapidement au nouveau paradigme
Travailler en tant que RSSI peut donner l'impression d'être sur la sellette. Alors que l'innovation technologique explose, il existe quelques approches communes pour calmer le jeu :
Tout documenter
Nous l'avons déjà dit, et nous le pensons vraiment : écrivez-le, et faites remonter le problème à votre équipe de direction. Cette approche méticuleuse de la documentation ne consiste pas seulement à conserver des dossiers, mais aussi à s'assurer que chaque évaluation des risques, chaque recommandation et chaque décision sont consignées sur papier.
Lorsqu'un RSSI identifie une menace potentielle ou une faille de sécurité, il la porte à l'attention de la direction, décrit les conséquences possibles et évalue l'appétence de l'organisation pour le risque afin que tout le monde soit sur la même longueur d'onde avant d'aller de l'avant. En cas d'incident ou d'audit, une documentation complète peut s'avérer salvatrice.
Intégrer les équipes chargées des questions juridiques et de conformité
Les réglementations peuvent être de puissants alliés dans la gestion des risques. Dans le nid de frelons des règles strictes et de la surveillance accrue, vos équipes juridiques et de conformité peuvent vous aider à orienter l'entreprise vers le bon niveau de risque - ni trop prudent, ni trop exposé. Les experts juridiques, en particulier, jouent un rôle dans l'identification du coût d'une erreur, ce qui peut vous aider à prendre une décision éclairée qui s'aligne sur les objectifs de l'entreprise et les objectifs de sécurité.
Obtenir un siège à la table et le garder
Il ne suffit plus aux RSSI de parler technique, ils doivent aussi être capables de parler le langage de l'entreprise. Les dirigeants veulent savoir non seulement quels risques sont atténués, mais aussi quelle est la valeur de chaque ligne du budget. Les RSSI qui peuvent clairement expliquer comment leurs stratégies réduisent les risques et contribuent aux objectifs généraux de l'entreprise ont plus de chances d'obtenir les ressources et le soutien dont ils ont besoin.
Tirer parti de l'expertise de partenaires stratégiques de confiance
Managed service providers and other strategic partners bring specialized expertise to your business, helping CISOs prioritize the trade-offs between integrating new technology and addressing the organization’s specific needs. At Keyfactor, our managed PKI services come with access to PKI experts who can help organizations understand the full scope of certificate management. Partner with experts in the coverage your organization lacks to make informed decisions that balance innovation with security.
La collaboration, la communication et la documentation peuvent faire en sorte que le siège du RSSI soit un peu moins chaud - ou du moins que la chaleur soit répartie de manière à être gérable.
La communication et les partenariats sont l'avenir d'une cybersécurité réussie
Alors que le rôle du RSSI continue d'évoluer, la capacité à parler le langage de l'entreprise reste une nécessité. Une communication claire permet d'obtenir l'adhésion des principales parties prenantes et de transmettre les véritables risques et compromis inhérents à toute décision en matière de sécurité. Cette communication est essentielle pour aligner les stratégies de sécurité sur les objectifs de l'entreprise et pour permettre à l'organisation de comprendre et de soutenir les mesures de sécurité.
The rapid pace of technological advancement, from AI to quantum computing, presents challenges and opportunities for cybersecurity. Working with trusted partners can help CISOs navigate emerging tech and prepare them to integrate new innovations without compromising security.
Check out the full panel discussion to hear directly from industry leaders about what’s on their mind: the strategies and insights shaping the future of cybersecurity.
S'abonner à La Source
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
