Bien aligner ses investissements de cybersécurité avec les risques métier
Nombreux sont les RSSI qui se retrouvent dans la formule : « la moitié de l’argent que je dépense en publicité est gaspillée, mais je ne sais pas quelle moitié ». Lorsque leurs investissements dans les outils de cybersécurité ne s’appuient pas sur des données quantifiées, ils ne savent souvent pas où concentrer leurs dépenses pour en tirer le meilleur bénéfice possible.
Pour répondre à ce problème, C-Risk a lancé une série de trois séminaires. Leur objectif ? Partager les meilleures pratiques pour intégrer les performances des outils de sécurité IT à l’évaluation des risques cyber en termes financiers.
Quand les entreprises savent quels sont les outils qui offrent le plus de valeur, elles sont à même de prendre des décisions mieux informées pour réduire leurs risques et minimiser les interruptions ou les pertes de données. Ainsi, elles sont en capacité d’aligner plus étroitement leurs investissements de sécurité avec les actifs métier les plus à risque.
Identification des investissements
Premier invité de cette série de webinaires : Jack Jones. Référence en matière de gestion du risque cyber, Jack Jones a créé le standard FAIR, et occupe actuellement le poste de Chief Risk Scientist chez Risk Lens. « Les entreprises doivent apprendre à mieux identifier les éléments qui méritent qu’on leur consacre du temps et des efforts », souligne-t-il. « Si une entreprise estime qu’elle doit investir dans un outil de chiffrement, d’authentification multifacteur, une solution SIEM ou quoi que ce soit d’autre, il lui incombe de comprendre s’il s’agit d’un bon investissement ou non. »
Les participants au webinaire se sont intéressés au rôle de FAIR (Factor Analysis of Information Risk), standard indépendant pour la quantification et la gestion des risques informatiques. Cette approche suscite l’enthousiasme et a fait germer de nombreuses idées au sein de la communauté de la gestion du risque, selon Tom Callaghan, cofondateur de C-Risk et coprésident du FAIR Institute Paris.