Qui devrait lire ceci : une entreprise de vingt à deux cent cinquante personnes sans RSSI, qui reçoit désormais des questions de sécurité de ses clients ou d’une autorité, et qui ne sait pas qui, en interne, est censé y répondre.
Demandez à une entreprise de quarante personnes qui porte la sécurité et vous obtiendrez l’une de trois réponses. Un nom, donné rapidement, en général celui du responsable informatique. Un silence, puis « eh bien, nous tous en fait ». Ou un nom donné lentement, parce que la personne qui le prononce vient de comprendre qu’il s’agit du sien.
La troisième réponse est la réponse honnête. Les deux premières expliquent comment une entreprise arrive à un audit avec un corpus de politiques que personne n’a lu et un registre des risques dont la dernière modification date du mois de sa création.
Le travail existe, que le poste existe ou non
La sécurité dans une petite entreprise n’est pas un projet avec une date de fin. C’est un flux de petites décisions qui arrivent chaque semaine et que quelqu’un doit trancher.
Un client envoie un questionnaire de sécurité assorti d’une échéance. Un ingénieur demande des droits d’administration pour une semaine, et la semaine se termine. Un ordinateur portable disparaît dans un aéroport. Un test d’intrusion remonte onze constats, dont quatre ne seront pas corrigés ce trimestre, ce qui suppose que quelqu’un signe un document déclarant que c’est acceptable. Un contrat client arrive avec une clause de notification sous vingt-quatre heures en cas d’incident, et personne n’a défini ce qui constitue un incident.
Aucune de ces décisions ne nécessite un spécialiste à temps plein. Toutes nécessitent une personne responsable de la réponse. Dans les entreprises qui n’ont pas cette personne, chaque décision est prise par celui sur qui elle est tombée, différemment à chaque fois, et rien n’est consigné.
Ce que les textes exigent réellement
Les deux cadres qui atteignent une PME européenne disent la même chose avec des mots différents, et aucun des deux ne dit ce qu’on leur prête.
NIS2 place l’approbation et la supervision sur l’organe de direction. Les mesures doivent être approuvées par la direction, la direction doit superviser leur mise en œuvre, et elle peut être tenue responsable des manquements. Le détail figure dans la responsabilité de la direction sous NIS2. La directive impose également à la direction de suivre une formation et d’en proposer une similaire aux employés, sujet traité dans les exigences de formation NIS2. Ce que la directive ne fait pas, c’est créer un poste. Elle crée une responsabilité et laisse l’organigramme intact.
ISO 27001 exige que les rôles soient attribués. L’article 5.3 rend la direction responsable de l’attribution et de la communication des responsabilités et autorités relatives au système de management de la sécurité de l’information. La mesure 5.2 de l’annexe A exige que les rôles et responsabilités en matière de sécurité soient définis et attribués selon les besoins de l’organisation. Le mot RSSI n’apparaît pas. Ce qui apparaît, c’est l’exigence qu’un être humain précis, nommé dans un document, soit responsable de choses précises.
Les deux régimes exigent donc un responsable et aucun n’exige un recrutement. C’est dans cet écart que se trouvent la plupart des PME, et cet écart n’est pas une faille. Un auditeur demandera qui porte les décisions de traitement du risque, et « l’équipe de direction » n’est pas une réponse qui survit à la question suivante.
Où le rôle atterrit par défaut, et ce qui casse
Faute de décision, le travail échoit au plus proche. Il y a trois points de chute habituels et chacun échoue de manière prévisible.
Le responsable informatique. Le plus courant, et celui qui paraît le plus raisonnable. Il échoue sur l’indépendance. La personne qui exploite l’infrastructure devient aussi celle qui juge si cette infrastructure est suffisamment protégée, qui décide lesquels de ses propres constats accepter, et qui rend compte de son propre retard. Le conflit est structurel, pas personnel. Il échoue aussi sur le périmètre : les décisions de sécurité portant sur les fournisseurs, les contrats, la formation et l’accès physique ne sont pas des décisions informatiques, et un responsable informatique n’a pas la légitimité pour les prendre.
Le responsable qualité ou conformité. Courant dans l’industrie et dans les entreprises déjà certifiées ISO 9001. Il produit une excellente documentation et très peu de changement. La personne sait rédiger la politique, mener l’audit interne et gérer les preuves, mais ne peut pas juger si une segmentation réseau est saine ni si une durée de rétention des journaux permet d’investiguer quoi que ce soit. Le système de management paraît sain vu de l’extérieur. La différence entre certifié et sécurisé est exactement cet échec.
Le fondateur ou le directeur technique. Le plus compétent des trois et le moins disponible. Les décisions sont justes quand elles sont prises, et elles sont prises tard, par lots, en général la semaine précédant un audit ou la semaine suivant un incident. Le problème n’est pas le jugement. C’est la latence.
Le test qui tranche
Posez cinq questions à l’équipe de direction, séparément, et comparez les réponses.
- Qui signe qu’une vulnérabilité connue et non corrigée est acceptable à porter ?
- Qui décide quand une dérogation d’accès temporaire expire, et qui vérifie qu’elle a bien expiré ?
- Qui lit la documentation de sécurité qu’un fournisseur envoie avant la signature d’un contrat ?
- Qui est appelé à vingt-deux heures quand quelque chose semble anormal, et que cette personne est-elle autorisée à faire ?
- Qui rédige la section sécurité du dossier présenté au conseil, et qui la conteste ?
Si les cinq réponses citent trois personnes différentes ou plus, ou si l’une des réponses désigne un service plutôt qu’une personne, personne ne porte la sécurité. L’entreprise a distribué le travail sans conserver la responsabilité, c’est-à-dire l’arrangement qui se lit le plus mal en audit et qui fonctionne le plus mal en incident.
Ce que porter la sécurité recouvre réellement
Débarrassé du titre de poste, le travail dans une entreprise de cette taille tient en une courte liste récurrente.
- Tenir le registre des risques et forcer une décision sur chaque ligne plutôt que de la laisser vieillir. La forme qui résiste à l’examen est décrite dans les preuves qui se constituent toutes seules.
- Tenir le journal des dérogations : qui a demandé, ce qui a été accordé, quand cela expire, qui a vérifié.
- Évaluer les fournisseurs avant signature et au renouvellement, l’une des dix mesures que NIS2 nomme.
- Répondre aux questionnaires de sécurité des clients et maintenir la cohérence des réponses entre eux.
- Mener l’audit interne et la revue de direction, la boucle décrite dans audit interne et revue de direction.
- Décider de ce qui constitue un incident et répéter le circuit de notification avant d’en avoir besoin.
- Rendre compte au conseil dans des termes sur lesquels il peut agir.
Dans une entreprise de quarante à cent cinquante personnes, cela représente un à deux jours de décision par mois, posés sur un outillage qui produit les faits sous-jacents en continu. Ce n’est pas un emploi à temps plein. Ce n’est pas rien non plus, et cela ne survit pas au statut de dixième priorité de tout le monde.
Recruter, attribuer, ou emprunter
Trois façons de combler l’écart, et l’arithmétique diffère nettement.
Recruter. Un responsable sécurité au Luxembourg représente un coût annuel à six chiffres charges comprises, demande trois à cinq mois de recherche sur un marché où toutes les banques visent les mêmes profils, et nécessite trois mois de plus pour devenir utile. Cela fait presque un an avant que la première décision ne s’améliore. Le recrutement finit par être le bon choix pour la plupart des entreprises qui grandissent. Il est rarement le bon premier geste, parce qu’une entreprise qui n’a jamais eu la fonction ne sait pas encore quel profil lui convient.
Attribuer en interne. Le moins coûteux, et viable si deux conditions sont réunies : la personne dispose d’une autorité explicite écrite plutôt qu’implicite, et le temps est protégé dans l’agenda plutôt que supposé. Ce qui échoue n’est jamais la personne. C’est que le rôle a été ajouté à un poste déjà plein, sans autorité ni heures, et qu’il a perdu chaque arbitrage face au travail de production.
Emprunter. Un dispositif vCISO achète la prise de décision sans le cycle de recrutement, pour quelques jours par mois plutôt qu’un salaire, et démarre en jours plutôt qu’en trimestres. Il achète aussi l’indépendance : quelqu’un dont le jugement sur l’infrastructure n’est pas un jugement sur son propre travail. La limite honnête est qu’un responsable à temps partiel ne peut pas être la personne qui remarque quelque chose à vingt-deux heures, donc la moitié détection doit venir de l’outillage plutôt que de l’attention.
Ce qu’il faut éviter, c’est la quatrième option, qui consiste à reporter la décision et à laisser le travail continuer de tomber sur le plus proche. C’est l’arrangement que toute entreprise a déjà avant d’en choisir un des trois.
La réalité technique
Les deux cadres s’arrêtent à la responsabilité. NIS2 exige que la direction approuve et supervise les mesures. ISO 27001 exige que les rôles soient attribués et documentés. Un auditeur peut vérifier les deux en lisant une page.
Ce qu’aucun des deux n’exige, c’est que le responsable nommé puisse voir quoi que ce soit. Un responsable sécurité muni d’une lettre de mission signée, sans inventaire des actifs, sans rétention de journaux au-delà du réglage par défaut et sans alerte, porte un corpus documentaire, pas une posture de sécurité. Il peut vous dire ce que dit la politique. Il ne peut pas vous dire si elle a tenu mardi dernier.
Combler cet écart est peu spectaculaire et très concret. Le responsable a besoin d’un inventaire qui se met à jour seul plutôt que d’un inventaire reconstruit à la main à chaque cycle d’audit, de journaux conservés assez longtemps pour reconstituer un incident plutôt que pour satisfaire un réglage par défaut, de constats qui arrivent hiérarchisés selon l’activité plutôt qu’en liste indifférenciée, et d’une piste de preuves qui se régénère au lieu d’être assemblée le mois précédant la venue de l’auditeur. Avec cela, un responsable travaillant deux jours par mois tient la position. Sans cela, un RSSI à temps plein passerait l’essentiel de la semaine à collecter des faits qu’un système aurait dû collecter seul.
La responsabilité est l’exigence. La visibilité est ce qui donne un sens à l’exigence. Pour savoir laquelle des deux vous manque, un audit de sécurité indépendant répond en quelques semaines, et la vue d’ensemble de ce qu’attend NIS2 figure dans le guide de conformité NIS2.
