RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
Abonnement gratuit sur
page 34 - Numéro 429 du 15 janvier 2016
Reportage
la trajectoire en cas de dérive.
Entreprendre une démarche d’ERM impose à l’organisme
de se remettre en cause pour apprendre à gérer ses
risques de façon globale pour atteindre ses objectifs
dans un environnement de plus en plus complexe et
connaissant une évolution de plus en plus rapide. Le
RMM sert de guide et permet aux organismes qui
l’adoptent de toucher les dividendes de ses efforts.
Il revient à chacun d’utiliser le modèle en le paramétrant
pour prendre en compte ses risques spécifiques,
ses priorités, et son appétit de risques. C’est la carte
qui permet à tout organisme d’entreprise un voyage
dynamique et de relever les défis pour bénéficier de
toutes les retombées positive de son investissement en
ressources de toutes natures.
Etait-il imaginable que la conférence ERM
n’aborde pas la cyber-sécurité ?
La réponse est évidente, il n’est pas une seule conférence
de risk-management qui n’ait pas sa façon propre
d’aborder ce risque. Les médias sont de plus en plus
envahis par des reportages sur des événements de
cybercriminalité, ou de hacking mais ces faits divers sont-
ils vraiment représentatifs de ce à quoi tout organisme
pourrait être exposé ?
Quoiqu’il en soit, les conseils d’administration et
les dirigeants se saisissent de plus en plus de cette
problématique dont les enjeux sont clairement
stratégiques. Dans ce contexte, on peut proposer une
démarche en cinq étapes
3
:
1. Eduquer sans anecdote
:
La première étape est de
convaincre les dirigeants de l’importance de la pro-
blématique mais cela ne peut pas se faire en collec-
tant les anecdotes des médias car les dirigeants ne
sont impliqués que s’ils voient comment leur orga-
nisme peut être directement impliqué.
2. Collaborer puisque la cyber-sécurité est l’affaire de
tous
:
Dès lors que la direction est convaincue, il est
plus facile d’engager la démarche mais elle ne peut
se faire qu’avec la participation active de toutes les
fonctions puisque le point d’entrée de la malveillance
peut se situer à n’importe quel point de faiblesse de
la défense de l’organisme. La qualité de la protection
suppose donc que des points de contrôle soient mis
en place dans tous les départements et toutes les
fonctions de l’organisme. Ils s’accompagnent sou-
vent de contraintes pour les exécutants qui doivent
donc être convaincus de leur importance, au risque
de les shunter pour gagner du temps. Comme pour
3
Helping the C-suite Assess Cyberrisk – Patrick Dennis –
Risk Management, Octobre 2015 p. 28 & 29
tous les risques, mais peut-être plus encore, les cy-
ber-risques sont l’affaire de tous !
3. Identifier les actifs essentiels
:
Les adversaires po-
tentiels de l’organisme sont principalement intéres-
sés par les banques de données, qu’ils cherchent à
s’emparer d’éléments de propriété intellectuelle,
ou de données privées concernant les salariés, les
clients (les patients en établissement de santé), les
autres partenaires, etc. L’ampleur des banques de
données supposent d’effectuer in tri pour identifier
ce qui soit être protégé en priorité, et il faut mettre
en place des alertes de façon à ce que toute intru-
sion soit détectée rapidement.
4. Vérifier les références de l’écosystème
:
En la ma-
tière, les interconnections avec de nombreux parte-
naires font que la sécurité de l’ensemble est au ni-
veau de la sécurité du maillon le plus faible. A-t-on
fait un bilan croisé avec les principaux partenaires de
façon à les rassurer et à se rassurer sur la solidité
des défenses du réseau global auquel on est relié.
Le recours à des standards reconnus de protection
peut se révéler efficace, dans tous les cas le niveau
de cyber-sécurité est devenu un paramètre impor-
tant dans l’évaluation d’un partenaire, lors de la sé-
lection, ou du renouvellement.
5. Transcrire par écrit
:
Lorsque les évaluations de
l’étape 4 sont satisfaisantes, encore va-t-il falloir
que les contrats liant aux fournisseurs, sous-trai-
tants, prestataires, clients, etc. et sans doute égale-
ment prévoir contractuellement les conditions d’un
contrôle chez les tiers.
Que peut-on tirer de l’expérience
des pionniers ?
Comme dans toute l’histoire de la gestion des risques
depuis son baptême en 1955, les expériences des grands
pionniers permettent de mieux comprendre les défis de
la mise en place et les moyens de les relever. Certains
s’expriment dans les pages du mensuel du RIMS, d’autres
présents à Chicago ont complété leur retour d’expérience
par leurs remarques dans les ateliers, voire dans des
entretiens individuels.
Pour le risk-manager de Paycheck la clé du succès est dans
le fractionnement du projet ce qui permet d’enregistrer
rapidement quelques succès qui encouragent les autres
à s’engager. Il faut toujours garder à l’esprit que la
préservation de valeur ne suffit pas à justifier les efforts,
il faut vraiment démontrer la création de valeur.
Chez Harley Davidson on peut imaginer que protéger la
marque mythique est au cœur de la gestion des risques.
C’est donc naturellement la réputation qui la clé de voûte
