Ce que nous avons appris au Sommet Gartner sur la sécurité de l'information et la gestion des risques 2018 au Maryland

Temps de lecture : 4 minutes

Le Sommet Gartner sur la sécurité de l'information et la gestion des risques à National Harbor, Maryland, s'est déroulé du 3 au 7 juin. L'événement de Gartner est une excellente occasion pour les professionnels de la cybersécurité de se mettre en réseau et d'assister à des panels sur des sujets allant des responsabilités de RSSI à la sécurité du cloud, de la détection d'intrusion à l'évaluation des risques, de protection des terminaux à la conformité. Les participants fortunés ont pu faire briller les connaissances d'étoiles de l'industrie comme Bob Kalka d'IBM Security, Gil Zimmermann de Cisco, Michael McLoughlin de Microsoft, Robert Herjavec de Herjavec Group et Augusto Barros de Gartner, Earl Perkins et Roberta Witty.

Si vous ne pouviez pas y assister cette année, voici l'occasion de profiter de ce que je pense être les points forts de l'événement.

Parler aux dirigeants d'entreprise est une compétence clé en matière de cybersécurité d'entreprise

Nous savons comment les entreprises peuvent maintenir et améliorer leur position en matière de sécurité. Mais l'argent fait tourner le monde et si vous voulez que de bonnes pratiques de cybersécurité soient mises en œuvre, vous devez convaincre les cadres non techniques.

La sécurité est souvent un problème pour la suite C non technique. Vous devez les traiter comme des clients auxquels vous avez quelque chose à vendre. Lorsque vous vendez de la sécurité efficacement, les clients se sentent satisfaits de la résolution de leurs problèmes.

Leigh McMullen de Gartner a déclaré:

«Aujourd'hui, le champ de bataille pour la révolution industrielle numérique est l'expérience client. Ce n'est pas une question de coût; ce n'est pas une question d'efficacité; ce n'est même pas une question de produit. C'est une question d'expérience.

En tant que responsables de la sécurité, nous voulons que les choses soient contrôlées. Nous voulons qu'ils soient stables, mais les attentes des gens sont établies par des forces indépendantes de notre volonté, ce qui signifie que nous devons changer notre façon de nous engager si nous voulons réussir. Nous devons abandonner le contrôle pour gagner en influence.

La sécurité ne doit pas ruiner l'expérience client, mais c'est souvent le cas. Les clients, et c'est tout le monde dans votre entreprise, veulent que les efforts qu'ils déploient pour correspondre à la valeur qu'ils s'attendent à obtenir. Si vous livrez la mauvaise expérience, ils vous tiendront juste à l'écart. "

Dans la mesure du possible, vous devez traduire votre façon de parler des réalités technologiques et des solutions en termes commerciaux. Moins de jargon de cybersécurité, plus de magazine Fortune.

Paul Proctor de Gartner a déclaré:

«Lorsque nous parlons des risques et de la sécurité technologiques, principalement en termes technologiques, les parties prenantes nous traitent comme des assistants qui jettent des sorts et protègent l'organisation. Rendre les risques et la sécurité plus transparents et alignés sur les activités est une condition absolue pour vous sortir du monde magique. »

Si vous allez lancer "wingardium leviosa", expliquez simplement qu'il s'agit d'un sort de lévitation.

Les dirigeants sont souvent blâmés après une cyberattaque importante. Vous devez leur vendre la défensibilité.

Leigh McMullen de Gartner a déclaré:

«Nous traitons la sécurité comme un art sombre depuis si longtemps que lorsqu'une organisation est piratée, les gens ne comprennent pas. Donc, la question principale est: "Qui a foiré?" Vous ne pouvez pas garantir que l'organisation ne sera pas piratée, alors arrêtez de vendre la protection de vos dirigeants et commencez à vendre quelque chose dont ils ont vraiment besoin, la défense. »

Le processus d'évaluation des risques doit inclure tous les cadres non techniques applicables afin d'être conduit correctement.

Paul Proctor de Gartner a déclaré:

«Offrir aux dirigeants une prise de décision dans le contexte des résultats opérationnels rend ces engagements plus qu'intéressants pour eux. Cela influe directement sur les décisions qu'ils prennent. Vous les aidez maintenant à faire leur travail. »

Vos clients craignent naturellement le risque. Cette crainte a eu un effet négatif sur l'innovation en matière de sécurité - un must absolu à mesure que les cybermenaces évoluent.

Proctor a déclaré:

«Les organisations ralentissent parce qu'elles craignent ce problème. Si vous pouvez améliorer leur confort et leur compréhension des risques et de la sécurité, vous pouvez aider votre entreprise à évoluer plus rapidement. C'est vraiment une valeur commerciale de la sécurité. »

Meilleure sécurité grâce à de bons DevOps

Le chercheur en nuage Mark Nunnikhoven a discuté de l'importance de bons DevOps. La phrase est souvent mal appliquée. Essentiellement, DevOps vise à trouver un équilibre efficace entre le développement et les opérations. C'est si simple.

Correctement implémenté, DevOps propose des pipelines de livraison de plus en plus efficaces, en raison de boucles de rétroaction constantes. DevOps peut créer «une culture de collaboration qui réduit les risques en réduisant la taille des changements dans les environnements de production», mettant en vedette les personnes, les processus et les produits.

Afin de réduire les risques lors de la mise en œuvre des améliorations DevOps, effectuez de nombreuses modifications plus petites plutôt que d'effectuer moins de modifications plus importantes. Si vous essayez de déployer une très grande quantité de nouveau code à la fois, il peut être plus difficile de corriger de nouveaux bogues et vulnérabilités.

Une bonne cybersécurité commence au stade du développement, plutôt que comme une étape d'audit, ce qui se traduit par des approches périmétriques plus obsolètes du renforcement de la sécurité.

Si une sécurité DevOps appropriée signifie que le processus de développement prend plus de temps, alors qu'il en soit ainsi. Toutes les étapes du développement doivent être conçues dans un souci de sécurité. Plus un bogue est détecté tôt, plus il est facile à corriger.

Les «compétences non techniques» telles que la facilité sociale et la capacité de communiquer efficacement sont essentielles pour que le développement et les opérations fonctionnent ensemble avec succès. Peu de professionnels de la sécurité peuvent exceller avec des «compétences solides» seuls.

Système de billetterie ITSM

COMMENCER L'ESSAI GRATUIT OBTENEZ GRATUITEMENT VOTRE SCORECARD DE SÉCURITÉ INSTANTANÉE

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://blog.comodo.com/it-security/gartner-event-and-risk-management-summit-in-maryland/