Le manuel du RSSI : Comment DXC aligne la sécurité sur la croissance de l'entreprise

‍TheCISO's Playbook est une série en cours qui présente les points de vue stratégiques des principaux dirigeants du secteur de la cybersécurité. Ce billet présente Mike Baker, RSSI chez DXC Technology.

La cyber-résilience ne consiste plus à cocher des cases. Il s'agit de dépasser le risque grâce à une stratégie qui ne se contente pas de réagir, mais qui anticipe.

Telle est la vision de Mike Baker, RSSI chez DXC Technology. Avec plus de 130 000 employés et une clientèle composée d'entreprises parmi les plus complexes au monde, Baker n'a pas le luxe de considérer la cybersécurité comme un problème informatique. Pour lui, il s'agit d'un outil de travail.

"À l'époque, il suffisait de disposer de pare-feu, d'un antivirus et d'outils pour les points d'extrémité", explique M. Baker. "Aujourd'hui, c'est à peine si l'on parle de la surface.

Aujourd'hui, M. Baker dirige la stratégie de sécurité mondiale de DXC avec un principe directeur : protéger l'entreprise sans la ralentir. Pour cela, il faut plus que des outils. Cela exige une stratégie cohésive et tournée vers l'avenir, alimentée par la confiance zéro et l'IA.

Confiance zéro + IA = une combinaison parfaite

Pour faire face à la vitesse et à l'ampleur des menaces modernes, M. Baker estime que les RSSI doivent considérer la confiance zéro et l'IA comme un binôme stratégique, et non comme des investissements distincts.

"La confiance zéro est le cadre. L'IA est la capacité", a-t-il expliqué. "Ensemble, ils vous aident à prendre de meilleures décisions, plus rapidement.

Chez DXC, cette stratégie est mise en œuvre chaque jour dans son propre réseau. Et c'est ce que DXC recommande à ses clients.  

L'équipe de sécurité de DXC utilise l'accès basé sur les rôles et la microsegmentation pour s'assurer que seules les bonnes personnes ont accès aux bonnes données, et rien de plus. L'IA renforce ces contrôles en automatisant l'application des politiques, en signalant les anomalies et en ajustant dynamiquement l'accès en fonction du comportement de l'utilisateur.

La confiance zéro est le cadre. L'IA est la capacité. Ensemble, ils vous aident à prendre de meilleures décisions, plus rapidement.

Les graphes de sécurité, qui offrent une vue unifiée et structurée des données de sécurité de l'organisation, sont la clé de cette réussite.

"Les graphiques de sécurité ne sont pas nouveaux", a-t-il déclaré. "Mais ce qui a changé, c'est leur rôle essentiel dans la mise en œuvre de l'IA sur les différentes plateformes."

Ces graphes donnent aux organisations un modèle de la façon dont les utilisateurs, les appareils et les systèmes interagissent dans leur réseau. Ils permettent à l'IA de détecter des modèles à grande échelle, de mettre en évidence les risques plus rapidement et de déclencher une réponse rapide sans attendre qu'un humain fasse le lien entre les points.

"L'association de l'IA et des graphiques de sécurité nous permet de réduire le temps de détection et de libérer du personnel pour des tâches à plus forte valeur ajoutée", a déclaré M. Baker. "C'est un multiplicateur de force.

Aller au-delà de la conformité

Trop d'organisations considèrent encore la conformité comme l'étoile polaire de la cybersécurité. Pour Baker, c'est un piège dangereux.

"La conformité est un enjeu de taille", a-t-il déclaré. "Zero Trust vous aide à aller au-delà des cases à cocher et à commencer à penser de manière proactive.

Au lieu d'adapter les contrôles à chaque nouvelle réglementation, l'équipe de Baker met en place des processus proactifs et reproductibles qui s'attaquent aux risques sous-jacents du réseau, et pas seulement aux exigences de conformité.

Le respect des règles est un enjeu de taille. La confiance zéro vous aide à aller au-delà des cases à cocher et à commencer à penser de manière proactive.

Cette approche permet à DXC d'anticiper les audits et de libérer des ressources pour des améliorations à long terme. Cela permet également aux équipes de sécurité de mieux s'adapter lorsque les mandats changent, comme c'est toujours le cas.

"Vous passez de la recherche de la conformité à l'anticipation des risques", a déclaré M. Baker. "Cela rend l'ensemble de l'organisation plus résiliente, au-delà des exigences de base des mandats de conformité.

Elle renforce également la crédibilité auprès des chefs d'entreprise qui veulent considérer la sécurité comme un atout et non comme un centre de coûts.

Faites valoir vos arguments avec une stratégie, pas avec des outils

L'un des changements les plus importants que M. Baker a observé au cours de sa carrière concerne la manière dont les RSSI communiquent avec le conseil d'administration. L'époque des rapports sur le nombre de correctifs et le déploiement d'outils est révolue.

"Aujourd'hui, la cybersécurité consiste à présenter une stratégie holistique, et non une pile de contrôles", a déclaré M. Baker. "Vous devez montrer au conseil d'administration où vous consacrez du temps, de l'énergie et des investissements dans l'ensemble du réseau et, ce qui est tout aussi important, pourquoi.

C'est là qu'intervient la confiance zéro. Il offre aux responsables de la sécurité un cadre clair et convivial pour expliquer comment ils protègent l'organisation, depuis les utilisateurs et les appareils jusqu'aux données et aux applications.

"Cela vous permet d'expliquer clairement comment vous protégez l'organisation et quelles sont les priorités en matière d'investissement", a-t-il déclaré. "Les conseils comprennent cela".

En liant chaque décision à l'impact commercial, comme la réduction des temps d'arrêt, la protection de la propriété intellectuelle ou le maintien de la confiance des clients, les RSSI peuvent faire évoluer la conversation des mesures basées sur la peur vers la résilience et l'état de préparation.

Sécuriser les activités sans les ralentir

La sécurité ne doit pas être un goulot d'étranglement pour la productivité. Baker considère la sécurité sans friction comme un avantage concurrentiel clé.

"Les utilisateurs ne doivent pas avoir l'impression d'être ralentis", a-t-il déclaré. "Ils devraient simplement s'assurer qu'ils peuvent faire leur travail en toute sécurité.

Chez DXC, les contrôles de sécurité sont conçus pour être invisibles dans la mesure du possible. Les défauts intelligents, l'accès adaptatif et l'IA intégrée permettent aux employés d'évoluer rapidement sans créer de nouveaux risques.

Cet équilibre est essentiel pour l'innovation. "La confiance est la monnaie de la croissance", a déclaré M. Baker. "Si nous ne pouvons pas protéger nos données et celles de nos clients, nous ne pourrons pas gagner la confiance nécessaire pour nous développer.

La confiance est la monnaie de la croissance. Si nous ne pouvons pas protéger nos données et celles de nos clients, nous ne pourrons pas gagner leur confiance pour nous développer.

C'est pourquoi DXC ne se contente pas de promouvoir la confiance zéro auprès de ses clients, mais la met en pratique dans sa propre infrastructure de réseau. C'est également la raison pour laquelle Baker considère l'IA non pas comme un outil émergent, mais comme une capacité fondamentale.

"Les adversaires utilisent déjà l'IA pour accélérer les attaques", a-t-il déclaré. "Ne pas adopter l'IA n'est pas seulement une occasion manquée, c'est aussi une responsabilité.

Protéger l'entreprise à grande vitesse et à grande échelle

Les conseils d'administration veulent de la visibilité. Les clients veulent de la confiance. Les attaquants ne ralentissent pas.

Pour s'imposer dans cet environnement, les RSSI ont besoin d'une stratégie claire et cohérente qui s'aligne sur les résultats de l'entreprise.

C'est pourquoi Baker met l'accent sur la confiance zéro et l'IA, et travaille avec des partenaires tels qu'Illumio pour donner vie à cette stratégie grâce à l'observabilité alimentée par l'IA et aux contrôles de confiance zéro.

Son conseil aux responsables de la sécurité : "Racontez une histoire vraie. Montrez comment vos investissements en matière de sécurité protègent l'entreprise. Utilisez des cadres tels que la confiance zéro et des capacités telles que l'intelligence artificielle pour donner du sens à votre stratégie".

En fin de compte, les RSSI d'aujourd'hui ne doivent pas se contenter de sécuriser les systèmes, ils doivent aussi assurer la résilience de l'entreprise sans compromis.

Prêt à mettre en œuvre vos stratégies de confiance zéro et d'IA ? Commencez votre Essai gratuit d'Illumio Insights aujourd'hui.