2.1 - Défendre le budget du RSSI en euros

Les RSSI font aujourd'hui face à trois conversations à enjeux élevés pour lesquelles leurs outils actuels n'ont pas été conçus. Défendre un budget de sécurité devant un DAF qui évalue chaque demande en retour sur investissement par euro plutôt qu'en scores de maturité. Négocier une cyber-assurance dont la couverture a été dimensionnée selon des benchmarks sectoriels plutôt que sur la courbe de perte réelle de l'organisation. Et gouverner les déploiements d'IA générative alors que la surface d'exposition évolue plus vite que n'importe quel document de politique interne.

Dans chaque cas, le problème est le même : les données de risque technique ne sont pas traduites en termes financiers, ce dont la prise de décision a pourtant besoin. Un score de maturité n'est pas un rendement. Un benchmark sectoriel n'est pas un profil d'exposition. Une politique de gouvernance n'est pas une estimation de risque. Le fossé entre ce que produisent les équipes de sécurité et ce dont les dirigeants ont besoin pour agir est précisément celui que cette série vise à combler.

‍

Ce que Christophe Forêt et Gerry Caroll ont abordé :

• Pourquoi les budgets de sécurité sont réduits et ce qui change concrètement lorsque la demande est exprimée en euros plutôt qu'en scores de maturité
• Un modèle étape par étape que vous pouvez appliquer à vos propres investissements en matière de contrôle
• Un format de défense budgétaire sur une page — trois chiffres, totalement justifiables — conçu pour résister à l'examen du DAF et aux négociations avec les achats
• Une étude de cas réelle : comment un groupe de santé international a obtenu l'approbation totale de son budget dès la première lecture après avoir adopté cette approche

Points clés abordés

• Un problème de traduction, pas de compréhension du DAF: Le webinaire a démontré que les RSSI et les DAF parlent souvent des « langues » différentes et utilisent des unités de mesure distinctes. Les préoccupations des DAF portent fréquemment sur absence de rendement financier qui puisse être comparée à d'autres demandes.
• Pourquoi les justifications budgétaires actuelles échouent: Les propositions de sécurité formulées en termes tels que scores de maturité (par exemple, maturité DLP ou progression de la maturité NIST CSF) ne fournissent pas d'unité financière directe pour l'évaluation.
• Preuves et points de référence: Les intervenants ont souligné que de nombreuses initiatives numériques ou liées à la sécurité ne répondent pas aux attentes et que, lorsque les rendements ne sont pas quantifiés, cela réduit la confiance dans les demandes futures. Ils ont également indiqué que les organisations pratiquant une gestion stratégique des risques sont plus susceptibles de défendre avec succès leurs budgets de sécurité.
• Modéliser le risque approprié en euros (ou unités financières comparables): Une fois l'exposition aux pertes quantifiée en termes financiers, les contrôles de sécurité peuvent être évalués de la même manière que les autres allocations de capital au sein de l'organisation.
• Une méthode structurée pour changer la donne: Les intervenants ont décrit une approche reproductible pour :
  1. évaluer la performance actuelle des contrôles par domaine,
  2. quantifier les pertes par scénario en devise,
  3. classer les contrôles candidats selon le risque éliminé par unité investie,
  4. investir dans les contrôles offrant le meilleur rendement,
  5. actualiser le modèle en continu (et pas seulement annuellement) à mesure que les menaces et les contrôles évoluent.
• Vue de portefeuille pour une défense en profondeur: Plutôt que de choisir uniquement le contrôle au « meilleur ROI », le webinaire a décrit le financement d'un portefeuille capable de couvrir à la fois les événements fréquents ou normaux et les scénarios extrêmes et rares, même si certaines strates offrent des profils de rendement différents.

‍

> Le replay est disponible : ici

‍