3 moyens pratiques d'obtenir l'adhésion à vos projets de cybersécurité

Récemment, j'ai discuté avec l'équipe de sécurité d'une grande institution financière qui était prête à mettre en œuvre une nouvelle plateforme. Ils ont élaboré un dossier solide, défini des risques clairs et mis en place une stratégie de sécurité. Ils étaient prêts à se lancer.

C'est alors qu'est apparu le véritable problème qu'ils n'avaient pas anticipé. Dynamique d'équipe.  

Après tout, ils ont entendu, intériorisé et mis en œuvre tous les bons conseils prodigués dans la rue. Ils se sont concentrés sur le problème de l'entreprise. Ils ont fait en sorte que la situation soit plus large. Et pourtant, ils n'ont pas réussi à convaincre leurs collègues des réseaux de marcher sur la même musique.  

Tout a commencé par un responsable de la mise en réseau qui s'est rebiffé : "Pourquoi introduisons-nous de nouveaux outils alors que nous avons encore des licences avec cette autre plateforme ?"

Introduire l'angle de la finance, c'est comme si l'équipe adverse jouait la carte Draw 4 dans un jeu de UNO. Vous devez maintenant franchir des obstacles supplémentaires et inattendus pour démarrer le projet, ce qui peut vous empêcher d'atteindre votre objectif.  

Les projets de cybersécurité échouent parfois à cause d'une technologie déficiente. Mais souvent, ces projets échouent parce que les équipes ne s'entendent pas, que les dirigeants ne restent pas engagés et que l'organisation dans son ensemble ne comprend pas pourquoi tout cela a de l'importance.

Si vous essayez d'obtenir l'adhésion à une initiative de sécurité, voyons comment faire bouger les choses.

L'obstacle le plus fréquent à l'adhésion à un projet de cybersécurité

La réticence des équipes est le principal obstacle (et le plus frustrant) aux initiatives en matière de cybersécurité.

Chaque équipe de votre organisation a sa propre feuille de route, son propre budget et ses propres incitations. Votre projet de sécurité, aussi critique soit-il pour l'entreprise, peut sembler être un détour pour quelqu'un d'autre.

Il se peut que votre proposition fasse double emploi avec des outils qu'ils ont déjà achetés (même si personne ne les utilise), ou qu'ils craignent que votre nouveau système ne casse le leur. Les nouveaux projets représentent une charge supplémentaire en termes de ressources, que l'autre équipe n'est peut-être pas prête à assumer pour le moment.  

Ces conversations peuvent rapidement devenir confuses, non pas parce que la technologie est mauvaise, mais parce qu'elle se heurte aux priorités, aux plans ou à la dynamique de pouvoir d'autres équipes.  

Il s'agit parfois d'une question de contrôle, mais souvent d'une question de timing. Il arrive que les équipes soient bloquées en mode d'auto-préservation. Ce mode de pensée cloisonné ralentit souvent les progrès.  

Pourquoi le parrainage des cadres est particulièrement important

Le thème commun qui ressort de la plupart des conversations que j'ai avec les représentants des ventes d'Illumio ou avec nos clients dont la mise en œuvre a été couronnée de succès est l'adhésion des dirigeants.  

Obtenir le soutien d'un dirigeant ne consiste pas seulement à cocher une case politique. Il donne le ton du projet à l'ensemble de l'organisation.

Lorsque les dirigeants soutiennent publiquement une initiative de cybersécurité, cela crée une dynamique. Il indique à l'organisation que :

• Ce projet est important.
• Nous prenons au sérieux la résilience à long terme, et non les pansements à court terme.
• On attend des équipes qu'elles travaillent ensemble et non qu'elles créent des obstacles.

Un soutien fort de la part de l'échelon supérieur est une véritable fusée pour la mise en œuvre. Sans cela, il n'y a pas de raison pour que les autres équipes fassent en sorte que cela fonctionne.

3 façons d'obtenir l'adhésion à votre projet de cybersécurité

Comment faire en sorte que tout le monde soit sur la même longueur d'onde, en particulier lorsque les priorités des uns et des autres ne correspondent pas aux vôtres ? Voici les meilleures tactiques que vous pouvez utiliser.

1. Écoutez d'abord, puis élaborez une stratégie

D'après mon expérience, la plupart des projets de cybersécurité échouent parce que les individus ne se sentent pas entendus, pas sûrs d'eux ou pas convaincus. C'est pourquoi la première chose à faire est d'écouter.

Avant de présenter votre plan, prenez le temps de comprendre ce qui se passe sous la surface :

• Qu'est-ce qui empêche cette équipe de dormir ?
• Qu'est-ce qui se trouve déjà dans leur assiette ?
• Ont-ils eu de mauvaises expériences avec des projets similaires dans le passé ?
• Y a-t-il des pressions ou des politiques invisibles en jeu ?

Vous recueillez les objections de surface, mais vous lisez aussi la salle.

Ce type d'écoute active vous aide à découvrir les obstacles émotionnels, logistiques ou culturels qui n'apparaissent pas dans un registre des risques. Une fois que vous les aurez compris, vous pourrez être plus stratégique dans la manière et le moment de faire avancer votre initiative.

L'écoute crée la confiance, et la confiance ouvre la porte à une véritable collaboration.

2. Trouver un terrain d'entente  

Personne ne se ralliera à votre projet de cybersécurité sous prétexte qu'il s'agit du meilleur produit sur le marché. S'il ne correspond pas à leurs priorités, il ne sera pas adopté.

Prenez ce que vous avez appris lors de votre tournée d'écoute et alignez-vous sur des résultats communs - des choses qui intéressent tout le monde. Il peut s'agir d'éléments tels que  

• Délai de récupération  
• Réduction du volume des billets
• Moins de perturbations
• Cycles de gestion du changement prévisibles

Lorsque vous montrez aux gens que votre projet peut les aider à atteindre leurs propres objectifs, vous passez du statut de bloqueur à celui de facilitateur. C'est ainsi que l'adhésion commence à faire boule de neige.

3. Racontez une histoire qui tient la route

Les faits informent, mais les histoires persuadent. Les gens agissent lorsqu'ils se sentent inspirés, et une bonne narration en est la clé.  

La narration permet de rendre tangibles des menaces abstraites. Elle aide les gens à imaginer les conséquences, les résultats et les avantages d'une manière que les données seules ne pourront jamais faire.

Ainsi, même s'il est exact de dire quelque chose comme "Nous devons investir dans une segmentation plus forte", il sera probablement plus fructueux de raconter une histoire :

"L'année dernière, une entreprise comme la nôtre a été touchée par un ransomware. Leur stratégie d'endiguement des brèches leur a évité de fermer pendant des semaines. Nous pourrions le faire aussi, ou bien faire la une des journaux".

Utilisez des comparaisons avec des organisations similaires, des exemples tirés d'incidents réels ou même des mini-scénarios de type "what-if" pour faire passer votre message. Donnez vie au risque et à la récompense. Cette ligne de discussion permet de replacer l'urgence dans son contexte, et votre chanson trouve une meilleure résonance.  

L'objectif est le contexte. Une histoire bien racontée aide les gens à visualiser le pourquoi de votre initiative, et pas seulement le quoi.

Les projets de cybersécurité ne se vendront pas d'eux-mêmes

Jamais la pression n'a été aussi forte sur les équipes de sécurité pour qu'elles en fassent plus, qu'elles prouvent le retour sur investissement et qu'elles agissent rapidement.

Les budgets sont plus serrés, les architectures plus désordonnées et les menaces plus intelligentes. Et pourtant, on attend de nous que nous défendions l'entreprise sans la perturber.

Cela signifie que nous avons besoin de plus qu'une bonne technologie. Nous avons besoin d'influence, d'adhésion et de la capacité de rassembler les gens avant qu'une brèche ne leur force la main.

Ainsi, la prochaine fois que vous tenterez de faire décoller votre projet de cybersécurité, rappelez-vous :

• Ne vous attendez pas à ce que les outils soient alignés. Alignez vous plutôt sur les résultats. ‍
• Utilisez la narration. Faites en sorte qu'elle soit réelle et non théorique. ‍
• Parlez leur langue. Montrez comment votre projet résout leurs problèmes. ‍
• Obtenez le soutien des dirigeants dès le début. Et faites en sorte qu'ils restent mobilisés jusqu'à la livraison. ‍
• Concentrez-vous sur la mission. Il est plus facile de se mettre d'accord sur l'objectif que sur le processus.

Obtenir l'adhésion à un projet est une compétence, et dans le paysage actuel des menaces, c'est peut-être la plus importante que vous ayez. La technologie est déployée, mais ce sont les gens qui font avancer les choses.  

Vous voulez voir comment Illumio aide les organisations à passer de l'intention à l'action avec des résultats concrets en matière de sécurité ? Découvrez Illumio Insights gratuitement pendant 14 jours.