Les cadres dirigeants doivent arrêter de prendre des risques inutiles

La culture d'entreprise du risque peut provoquer des perturbations dans le monde réel

Certaines prises de risques sont insensées. La majorité des crédits subprimes, qui allaient déboucher sur l'effondrement du crédit et la crise financière mondiale, a été octroyée à des personnes qui ne remplissaient pas les conditions pour assumer de tels emprunts. Et pourtant, presque toutes les banques ont adopté ces pratiques.

Et plus récemment, personne n'aurait jamais imaginé le confinement et la menace que pouvaient représenter des activités comme aller à l'école, travailler, rencontrer des amis ou aller à la plage pour notre santé et celles des êtres qui nous entourent. Mais maintenant que nous avons compris le contexte, c'est une évidence.

Aussi bien la crise financière de 2008 que la pandémie actuelle ont généré de très grosses perturbations. Les conséquences de ces événements auraient pu être évitées ou pour le moins atténuées si nous avions pu mieux apprécier le risque ou écouté plus tôt les gestionnaires de risque et les experts en santé publique.

La culture d'entreprise a-t-elle un manque d'appréciation du risque ?

La manière dont nous prenons le risque en considération est souvent illogique et imprévisible. Nous avons pu observer une migration importante vers le télétravail. Ce changement présente un nouveau vecteur d'attaque pour les cybercriminels opportunistes. Il serait logique de penser que les organisations se concentrent sur la sécurité de leur applications dans le cloud, mais trop souvent elles partagent l'idée reçue que la sécurité est l'affaire du prestataire de service dans le cloud alors que dans la réalité, les instances mal configurées dans le cloud sont la principale source de divulgation de données.

Il ne vous viendrait jamais à l'idée d'utiliser le cloud ou votre ordinateur portable sans mot de passe ou une autre forme de protection. Pourtant, les organisations confient souvent l'achat des périphériques de l'Internet des objets et des clés USB au service des achats de l'entreprise. Celui-ci, à chaque fois, cherchera à obtenir les dispositifs les moins chers au lieu de payer un peu plus pour bénéficier de fonctions telles que le chiffrement. Vous pouvez vous poser la question suivante : la clé USB que vous avez utilisée dernièrement était-elle chiffrée et protégée par un mot de passe ? Si la réponse est « Non », il est grand temps de réaliser un audit sur votre exposition en termes de sécurité cybernétique.

La culture n'est pas la seule explication du manque d'attention porté au risque. Il nous arrive tous, depuis l'adepte des selfies jusqu'au directeur des achats, de ne pas évaluer les risques. Ce comportement est également le fruit du fonctionnement des organisations.

Il y a trois points qui doivent toujours être pris en compte

Nous pouvons espérer que notre histoire récente nous aura appris à prêter plus d'attention au risque. Les cadres supérieurs doivent changer la manière dont ils motivent et gèrent leurs équipes. Ils doivent inclure les trois points clés dans leur perspective : revenu, bénéfices ET risque. Les directeurs des achats doivent évaluer le risque et doivent comprendre que la cybersécurité doit intervenir dans les décisions d'achat, depuis les dispositifs bon marché ( les SSD chiffrés ne coûtent pas tellement plus cher ) jusqu'aux systèmes plus complexes.

Dans une culture attentive au risque, le paiement d'une modeste prime de cybersécurité pour tout, depuis les dispositifs sécurisés et chiffrés jusqu'aux systèmes complexes dans le cloud serait un investissement sensé et les Directeurs de l'organisation et des systèmes d'information sauraient qu'ils pourraient tirer l'alarme sans être ignorés.

Changements de culture requis pour faire la différence

Notre société n'a jamais été aussi interconnectée que maintenant. Elle n'a jamais non plus reposé autant sur les technologies, ce qui contribue à sa vulnérabilité, surtout quand on sait que les menaces ne cessent d'évoluer et de grandir.

Les leaders doivent changer la manière dont les équipes dirigeantes et les employés se comportent. Ce type de changement culturel en vue d'une plus grande appréciation du risque doit venir du sommet de la pyramide. La culture de l'éthique numérique (y compris la confidentialité et la sécurité des données) doit se répandre à tous les niveaux, de haut en bas. Les organisations qui adoptent cette culture de l'éthique numérique et qui sont attentives au risque sont non seulement moins susceptibles d'être victime d'une divulgation de données, mais elles seront également mieux positionnées pour réagir si un incident de ce type devait survenir.