ROI : Conseils d'experts pour justifier les investissements en sécurité

Les défis du ROI dans la sécurité informatique

Au cours des derniers mois, j'ai eu un certain nombre de conversations sur la nécessité de justifier les dépenses de sécurité. Cette année a été difficile pour de nombreuses organisations, donc les budgets informatiques ne croissent généralement pas. De plus, l'argent déjà alloué a souvent dû être réaffecté pour répondre aux besoins commerciaux changeants. En même temps, les dirigeants et les membres du conseil d'administration sont devenus douloureusement conscients des risques cybernétiques actuels et du coût de l'inattention. Ils attendent de l'équipe informatique et des responsables de la sécurité informatique qu'ils fournissent des données solides qui permettent les décisions d'investissement en sécurité les plus efficaces.

C’est là que de nombreuses entreprises avec lesquelles je parle se heurtent à un obstacle inattendu. Pendant des décennies, l’informatique (et la sécurité informatique) a été traitée comme une discipline purement technique, et les meilleurs professionnels techniques ont été promus à des postes de direction en informatique. Ils peuvent vous guider à travers n’importe quelle question technologique sophistiquée, mais ils ne parlent pas tous le langage des affaires. Cela rend difficile pour les deux parties de la conversation d'arriver à des décisions productives.

Un autre défi pour de nombreux responsables informatiques est le manque de données factuelles sur lesquelles s'appuyer. Dans le domaine de la technologie, vous travaillez avec des faits, et vous disposez de mesures précises et défendables. Par exemple, vous pouvez rendre compte du nombre d'incidents sur une période donnée, ou du temps nécessaire pour corriger un serveur vulnérable. Mais comment démontrer le retour sur investissement attendu d'une sécurité sans entrer dans le domaine des suppositions et des probabilités ? Cela pousse beaucoup de professionnels de l'IT, moi y compris, hors de leur zone de confort.

Utilisons ces perspectives comme une opportunité pour voir ce qui existe.

Les quatre piliers du ROI

Lorsque j'ai l'occasion de parler d'investissements en sécurité, que ce soit en personnes, en processus ou en technologie, j'essaie toujours de poser une question : Comment pensez-vous que cela puisse être rentable ? Les réponses varient grandement, mais elles peuvent être résumées en une ou plusieurs de ces quatre catégories :

• Cet investissement nous permettra d'économiser de l'argent en réduisant les coûts continus.
• Cet investissement nous aidera à respecter les obligations contractuelles ou les réglementations industrielles ou gouvernementales.
• Cet investissement réduira les risques commerciaux (en réduisant la probabilité, l'impact ou les deux).
• Cet investissement nous permettra de poursuivre de nouvelles opportunités commerciales.

Les quatre éléments semblent être de bonnes raisons d'investir. Mais où chacun de ces éléments s'insère-t-il dans la conversation, et comment tout cela s'assemble-t-il ? Examinons chaque élément à son tour.

Économies sur les coûts opérationnels

L'économie de coûts est l'une des mesures les plus évidentes du retour sur investissement, surtout lorsque le CIO ou le responsable informatique est également en charge de la sécurité. Si un projet vous permet de réduire l'espace de stockage, de consolider les licences ou de réduire le temps et l'effort grâce à l'automatisation, vous pouvez calculer les retours avec une certitude raisonnable.

Le bémol ici est de comprendre que cela ne devrait jamais être la seule raison de l'investissement. L'objectif principal de la sécurité informatique est de gérer les risques, et vous vous rendez un mauvais service avec tout projet qui ne commence pas par là. Cependant, les économies de coûts fonctionnent très bien comme raison supplémentaire d'investir dans quelque chose qui réduit un risque qui préoccupe l'entreprise.

Conformité

Les organisations savent qu'elles doivent se conformer aux réglementations pertinentes simplement pour continuer à exercer leurs activités. De nombreuses équipes de sécurité informatique tirent parti de cela et présentent de nouvelles initiatives de sécurité comme indispensables à la conformité. Il n'est pas rare d'entendre un conseil tel que « utilisez la conformité pour financer vos initiatives de sécurité » dans les communautés professionnelles ou les conférences.

En général, il est vrai que les réglementations tentent d'établir des directives minimales pour sécuriser certains types de données ou activités. Cependant, aucune réglementation ne peut vous fournir un guide universel pour sécuriser votre entreprise spécifique contre les menaces actuelles à un moment donné.

La conformité peut être un moyen efficace de lancer une conversation sur le retour sur investissement et d'attirer l'attention dans une organisation moins mature où l'équipe exécutive est moins consciente des risques réels. Cependant, c'est potentiellement un terrain glissant : Vous ne devriez jamais céder à un faux sentiment de sécurité basé sur le fait de cocher toutes les cases d'une liste de contrôle de conformité.

Un autre piège à éviter est de créer la perception que l'équipe de sécurité informatique est un « mal nécessaire » que les dirigeants toléreront et financeront même, mais dont ils se débarrasseraient volontiers si cela était possible.

Je ne dis certainement pas que vous ne devriez pas aborder la conformité dans une conversation budgétaire. Au contraire, vous devriez être conscient des exigences réglementaires actuelles et anticipées pour votre secteur et votre juridiction. Cependant, tout comme la réduction des coûts opérationnels, je pense qu'il serait une erreur de trop compter sur la conformité comme principal moyen de justifier un investissement en sécurité.

Réduction des risques

L'objectif principal de toute organisation de sécurité informatique est la gestion et l'atténuation des risques. Mais comprendre les risques peut être compliqué : Une vulnérabilité nouvellement découverte représente-t-elle un risque pour votre entreprise en particulier ? Devriez-vous prêter attention aux nouvelles concernant des groupes APT soutenus par des États, comme Lazarus ?

La clé est d'aligner la gestion des risques de sécurité informatique sur la gestion globale des risques de l'entreprise au sein de votre organisation. Les organisations de défense ou financières disposent généralement d'une stratégie de gestion des risques mature et établie, parfois avec un rôle dédié de Chief Risk Officer ; si votre organisation a quelqu'un à ce poste, c'est auprès de cette personne que vous voulez apprendre. Mais chaque organisation prend constamment des décisions concernant les risques. Souvent, cette responsabilité incombe au CFO et au CEO. Je pense que vous devriez solliciter leur conseil pour construire une stratégie de gestion des risques alignée et cohérente pour l'organisation. Ne pas le faire crée un travail supplémentaire et peut laisser l'organisation exposée à de réelles menaces que l'IT a négligées par manque d'implication des affaires.

Cela nous ramène au défi avec lequel j'ai commencé : Comment mesurez-vous le risque et les économies prévues ? Je ne vais même pas essayer de tout déballer dans un seul article ; il y a de longs livres sur le sujet (en voici un bon : “How to Measure Anything in Cybersecurity Risk” par Douglas W. Hubbard et Richard Seiersen).

Vous devrez vous fier à l'opinion d'experts pour estimer le coût ou le risque et le niveau de réduction. Cependant, cela ne signifie pas que vous devez simplement deviner. Il existe une approche à double sens pour éviter les suppositions :

• Apprenez de l'intérieur. Apprenez de votre processus de gestion des risques d'entreprise et essayez d'être cohérent avec celui-ci. Vous devrez établir une connexion avec la direction pour y parvenir, et vous aurez besoin de leur avis sur les pertes estimées.
• Apprenez de l'extérieur. Voyez s'il existe un groupe ou un forum de CISO pertinent que vous pouvez rejoindre pour apprendre de l'expérience d'autres entreprises. Une autre bonne source est la recherche sectorielle, telle que le «Cost of Data Breach Report» du Ponemon Institute, parrainé par IBM.

Ne compliquez pas trop les choses — convenez d'une approche et utilisez-la de manière cohérente. Après quelques trimestres, vous pourrez voir (et prouver) des tendances et ajuster si nécessaire.

Opportunité commerciale

Il se peut que vous ayez entendu parler de la « sécurité comme facteur d'activation des affaires » lors de divers événements industriels ces dernières années. La plupart des gens semblent être d'accord sur le fait que c'est une excellente idée, mais peu d'organisations réussissent à tenir cette promesse.

Comme pour les autres aspects du ROI, la communication est cruciale ici. Vous devez établir des connexions et rester en contact avec l'équipe exécutive et les responsables des unités opérationnelles. Ainsi, vous aurez l'opportunité de faire de la sécurité une partie intégrante de chaque nouvelle discussion de projet — et un élément inséparable du plan de mise en œuvre — dès le tout début.

Puisque vous n'êtes pas le propriétaire d'un nouveau projet d'entreprise, vous ne pouvez pas estimer l'ampleur des retours sur l'opportunité dans son ensemble. Cependant, vous n'avez pas à le faire. Je recommande de faire référence à ces nouvelles initiatives dans vos conversations sur le ROI, mais sans essayer de fournir des chiffres spécifiques.

Principaux enseignements

J'ai commencé à travailler sur cet article afin de résumer mes conclusions personnelles de toutes les conversations que j'ai eues cette année sur le ROI dans la sécurité. Voici ma liste :

• Utilisez votre jugement et votre expertise pour estimer l'atténuation des risques pour chaque investissement. Vous n'avez pas besoin d'être précis ; acceptez l'imperfection. N'oubliez pas que l'expertise en gestion des risques existe probablement ailleurs dans votre entreprise — essayez d'apprendre de ces personnes et d'adopter la même approche. Utilisez les outils et les données qui sont à votre disposition.
• Apprenez à parler le langage des affaires. La sécurité n'est pas (seulement) une question technique. Vous pouvez apprendre beaucoup du CFO ou du CRO et du CEO, et vous pouvez utiliser ces conversations pour les aider à en apprendre davantage également. Construire un programme de gestion des risques complet qui englobe les risques financiers, de réputation et de sécurité aidera votre entreprise à se renforcer sur tous les fronts.
• Maintenez les lignes de communication ouvertes avec les dirigeants de l'entreprise. L'investissement dans la sécurité peut (et devrait souvent) faire partie de nouveaux projets et de nouvelles opportunités. Aidez les dirigeants d'entreprise à percevoir la sécurité non pas comme un centre de coûts, mais comme une initiative stratégique.
• Exploitez et équilibrez les quatre arguments du ROI.Bien que la réduction des risques doive être le point de départ, considérez toujours comment le même dollar dépensé peut aider votre organisation à atteindre la conformité, réduire les coûts opérationnels et/ou soutenir les opportunités commerciales.