Pourquoi zéro est le chiffre clé pour un CISO

Il est essentiel de comprendre ces concepts «zéro» et leurs implications pour protéger les ressources de l’entreprise et garantir la continuité de l’activité. Ils influencent la planification stratégique de la cyberdéfense et intègrent l’évolution des besoins de protection afin de pouvoir réagir de manière rapide et appropriée à un incident tel que celui de Roundcube. 

Aujourd’hui, le monde IT se situe hors du périmètre – cloud, IoT et télétravail en sont les mots-clés. Ces facteurs accélèrent l’abandon des concepts de sécurité classiques et installent les concepts «zéro» au sein des meilleures pratiques et du renforcement de la cyberrésilience. De concert avec l’évolution des menaces et des mesures de défense, le rôle du CISO est en pleine mutation: la cyberdéfense gagne en importance stratégique avec des concepts comme Zero Trust afin de garantir le bon fonctionnement de l’activité.  

La société d’études de marché Gartner articule ce changement en quatre phases. Au fur et à mesure qu’il gagne en maturité, le poste de CISO passe d’un rôle réactif à un rôle actif:

1. Security & Compliance Manager: il définit les bases des directives de sécurité, met en œuvre les mesures de sécurité et veille au respect des exigences réglementaires.
2. Responsable du Cyberrisk Management: son rôle dépasse les aspects techniques pour inscrire la cybersécurité dans le contexte des risques pour l’entreprise.  
3. Membre essentiel du Risk Management: le CISO fait partie intégrante de l’équipe de gestion des risques. Ses évaluations ont une importance stratégique et les cyberrisques sont exprimés en termes d’impact sur l’activité opérationnelle – la CRQ (Cyberrisk Quantification) devient un outil incontournable. 
4. Business Enabler stratégique: la cybersécurité et la gestion des cyberrisques deviennent un facteur stratégique du développement de l’entreprise. L’appétit pour le cyberrisque est aujourd’hui un aspect clé du développement stratégique. 

Une évolution qui impose aux CISO d’aller au-delà des valeurs purement techniques dans leur communication. Ils doivent plutôt exprimer les cybermenaces en termes de risques pour l’entreprise, notamment sous forme de pertes de chiffre d’affaires potentielles ou d’impact sur l’activité commerciale. La cybersécurité peut ainsi passer d’un facteur de coût à un véritable moteur pour l’entreprise.

Les concepts «zéro» – Zero Trust, 0-day, patient zéro et heure zéro – sont indissociables et constituent la base du développement stratégique de la cyberdéfense. Le rôle du CISO est d’accompagner cette transformation et de la déployer avec succès en tant qu’interface entre le business et l’IT. En effet, l’approche de cybersécurité Zero Trust permet de circonscrire les cyberrisques et de construire un socle fiable pour les plans de développement de l’entreprise. 

Mais comment un CISO définit-il ce rôle? Et avec quel impact sur la stratégie de cyberdéfense?

1. Zero Trust, une philosophie stratégique à adopter: cela requiert un changement culturel et opérationnel qui dépasse la simple mise en œuvre d’outils. Ce concept peut se mettre en place par étapes, en commençant par l’IAM (Identity and Access Management) et les «low hanging fruits», là où les avantages sont visibles rapidement. La mission du CISO consiste à démontrer l’utilité économique des mesures, p. ex. des postes de télétravail sûrs ou une transformation numérique conforme à la protection des données.
   
2. Renforcer la sécurité de la chaîne d’approvisionnement: ces derniers temps, les failles 0-day se multiplient dans les produits de sécurité. Le Google Threat Intelligence Group (GTIG) a analysé 75 failles 0-day exploitées en 2024. Parmi toutes les attaques contre des produits d’entreprise, 60% visaient des solutions de sécurité. Aussi les entreprises doivent-elles aussi traiter les prestataires de sécurité et les logiciels tiers critiques en appliquant les principes du Zero Trust. 
3. Prioriser la sécurité en plaçant les personnes au centre: dans de nombreux scénarios d’attaque, l’être humain est la première victime, le patient zéro. Les collaborateurs jouent donc un rôle central dans la cybersécurité, à la fois comme cible et comme première ligne de défense. Cela implique de mieux sensibiliser à la sécurité et d’instaurer une culture de la sécurité dans toute l’entreprise. 
4. Quantifier financièrement les cyberrisques: la capacité à évaluer financièrement les risques est décisive au moment de l’heure zéro, là où une entreprise détecte une attaque et doit prendre des décisions rapides. Une estimation de l’impact potentiel en termes de coûts, appuyée sur des faits, permet de fixer les priorités, de cibler les ressources et de bien gérer la communication de crise. Ainsi, pour l’entreprise, la cybersécurité devient une discipline aussi bien technique qu’économique. Il existe différents cadres, p. ex. FAIR (Factor Analysis of Information Risk) ou NIST SP 800-30, pour quantifier les cyberrisques et calculer les pertes possibles. 
5. Renforcer le Business Continuity Management (BCM): chaque seconde compte en cas d’urgence, surtout à l’heure zéro. C’est là que l’entreprise sait si elle est prête ou non à affronter une cyberattaque. Il est essentiel de tester et contrôler régulièrement les plans d’urgence afin de garantir le Disaster Recovery ainsi que le RTO (Recovery Time Objective) et le RPO (Recovery Point Objective). Les exercices de simulation améliorent la coopération entre la cybersécurité et les différents départements en cas d’urgence.
6. Surveillance et ajustement en continu: les 0-day exploits en particulier soulignent la nécessité d’une surveillance continue de l’environnement interne. Ces attaques survenant de façon inopinée, les entreprises doivent être en mesure de détecter les anomalies en temps réel, de réagir rapidement et d’adapter leurs mesures de défense de manière dynamique. Seule cette agilité permet à l’organisation de rester résiliente face aux menaces imprévisibles.