Le 18 mars dernier s’est déroulé à Québec un séminaire sur la gouvernance et les technologies de l’information (TI) organisé par le Centre francophone d’informatisation des organisations (CEFRIO). Cet événement a permis de présenter un nouveau guide sur les pratiques exemplaires de gouvernance en TI et des recommandations.
Les TI et la sécurité informatique (SI) font de plus en plus partie des thèmes abordés par les conseils d’administration (CA). Cela dit, pour plusieurs membres de CA, la complexité de ces sujets est réelle. D’ailleurs selon une enquête réalisée par le CEFRIO et par différents partenaires de cet organisme, les questions d’ordre technologique sont celles que les administrateurs (membre de CA) abordent avec le moins de facilité : seulement un administrateur sur deux (49 %) se dit « très à l’aise » de prendre des décisions en matière de TI, alors que deux administrateurs sur trois le sont quand vient le temps de parler du positionnement stratégique de l’organisation (68 %) ou de ses ressources financières (66 %). Heureusement, un nouvel outil peut les aider à faire de bons choix en matière de TI.
Guide et décisions
Pendant le séminaire, Najoua Kooli, directrice de projet du CEFRIO, a présenté le nouveau guide sur les pratiques exemplaires de gouvernance en TI. Cet ouvrage est le fruit d’un travail qu’elle a dirigé avec six autres partenaires. Il est destiné aux membres des CA afin de leur permettre de prendre de bonnes décisions en ce qui concerne les TI. Il est possible de le télécharger gratuitement à l’adresse suivante : www.cefrio.qc.ca/upload/1670_8001guidefinalweb.pdf.
Table ronde et recommandations
Lors de l’événement, une table ronde, animée par Lyne Bouchard, vice-rectrice au Campus de Longueuil, vice-rectrice aux technologies de l'information de l’Université de Sherbrooke et administratrice de sociétés, a permis aux participants de poser des questions à des membres actifs :
• Josée Goulet, vice-présidente, marketing et communications, DMR
• Daniel Paul, avocat associé, BCF
• Martin Paré, directeur, infrastructure et intégration technologiques, SSQ
• Richard Neault, conseiller senior en SI, ISIQ
• Jacques Topping, administrateur de société, président, MissionBis, et vice-président directeur, Frima Studio
Ce qui est ressorti de cette rencontre, c’est que les CA n’entendent pas assez parler des projets en TI, hormis ceux qui représentent des investissements substantiels ou des contraintes de financement. Il y a donc peu de redditions de compte, sauf lorsqu’un comité spécial est mis en place : à noter que cette suggestion d’un des membres a semblé avoir du succès auprès des experts de la table ronde et de l’auditoire.
Assurément, les projets des TI ont de plus en plus d’impacts sur les affaires. Ils ne sont donc plus des « problèmes » qui doivent être gérés que par la haute direction. Les administrateurs ont désormais une responsabilité importante et ils ont à agir sérieusement en ce qui concerne les TI et la SI.
Il est donc recommandé de développer une expertise dans le domaine des TI, de déterminer les rôles et responsabilités de chacun et de mettre ces sujets à l’ordre du jour des CA. Les membres doivent être bien conseillés et informés afin de prendre des décisions justes quant aux considérations juridiques, organisationnelles ou technologiques.
Il est aussi crucial d’aligner les besoins d’affaires et les TI. La responsabilité des CA est de donner les orientations à la haute direction et de mettre en place des outils de gestion de risques des TI. De plus, le langage utilisé dans le domaine des TI peut être un frein d’appropriation. La vulgarisation est donc incontournable.
En résumé, il est recommandé aux CA de changer l’approche d’évitement et de se s’approprier les TI et la SI . Les aborder, les connaître et les maîtriser apporteront des avantages évidents en termes de gouvernance.lien: http://www.secus.ca/doc/secus_05_10.pfd
samedi 22 mai 2010
vendredi 22 mai 2009
La fonction RSSI, Résumé de lecture par C. Jolivet, conseiller sénior en sécurité de l’information, Fondateur de PR4GM4 Services Conseils
Référence bibliographique : Foray, B. (2007). LA FONCTION RSSI, Guide des pratiques et retours d’expérience, DUNOD - ISBN 978-2-10-050218-9
Le RSSI est le responsable de la sécurité des systèmes d’information. Plus connu sous l’acronyme anglais du CISO (Chief Information Security Officer). Dans son livre, Bernard Foray nous explique et nous guide.
Dans la première partie, très intéressante, l’auteur nous parle de la mission du RSSI et de ses défis. En effet face aux menaces qui se répandent comme une pandémie, il est trop facile de faire peur en criant au loup. Mais tant que le client ne prend pas conscience des risques associés aux vulnérabilités de ses TI, il ne consacre pas d'efforts pour les atténuer. Trop souvent la sécurité est vue comme « une contrainte » (p. 17), un frein et non une valeur ajoutée à ses affaires.
L’auteur explique aussi que « la sécurité de l'information et toutes ses mises au point et ces optimisations vont certainement bousculer l'organisation, les individus et le contenu même du travail » (p. 10).
L’une des missions du RSSI est donc « de changer l'image de la sécurité afin qu'elle soit vue comme un service et non une contrainte (p. 17).
Il nous parle également, de la stratégie du gagnant-gagnant. En effet, il nous rappelle qu’ « au delà de la première réaction des techniciens, un peux vexés que vous puissiez remettre en cause leur compétence, vous aurez accru leur technicité, vous les aurez valorisé, ils se sentiront beaucoup plus confiants pour gérer leur système et tout le monde sera gagnant » (p. 19).
De plus, « le travail de RSSI est un travail de fourmi, sur le long terme, il apprend à être patient pour changer la culture de l'entreprise, le comportement des informaticiens, des utilisateurs et à faire rentrer la sécurité dans les habitudes de chacun » (p. 19). Cela prend du temps.
Dans la seconde partie il parle des fondamentaux incontournables. Il aborde des sujets tels que les politiques de filtrage de coupe-feu, les audits techniques, la gestion des journaux, la veille sur les vulnérabilités, etc.
Puis en troisième partie il explique les quelques problèmes opérationnels… tel que le déploiement d’une PKI, la sécurité et la mobilité, le Wireless, etc.
Enfin dans la quatrième partie, il parle des moyens de contrôle tel que les tests d’intrusions, les systèmes de détection d’intrusion, etc.
Ce livre de 260 pages est un retour d’expérience enrichissant. 18 chapitres indispensables à la bonne compréhension des défis à relever pour tous les professionnels qui assistent leurs clients responsables de la sécurité de l’information!
Dans la première partie, très intéressante, l’auteur nous parle de la mission du RSSI et de ses défis. En effet face aux menaces qui se répandent comme une pandémie, il est trop facile de faire peur en criant au loup. Mais tant que le client ne prend pas conscience des risques associés aux vulnérabilités de ses TI, il ne consacre pas d'efforts pour les atténuer. Trop souvent la sécurité est vue comme « une contrainte » (p. 17), un frein et non une valeur ajoutée à ses affaires.
L’auteur explique aussi que « la sécurité de l'information et toutes ses mises au point et ces optimisations vont certainement bousculer l'organisation, les individus et le contenu même du travail » (p. 10).
L’une des missions du RSSI est donc « de changer l'image de la sécurité afin qu'elle soit vue comme un service et non une contrainte (p. 17).
Il nous parle également, de la stratégie du gagnant-gagnant. En effet, il nous rappelle qu’ « au delà de la première réaction des techniciens, un peux vexés que vous puissiez remettre en cause leur compétence, vous aurez accru leur technicité, vous les aurez valorisé, ils se sentiront beaucoup plus confiants pour gérer leur système et tout le monde sera gagnant » (p. 19).
De plus, « le travail de RSSI est un travail de fourmi, sur le long terme, il apprend à être patient pour changer la culture de l'entreprise, le comportement des informaticiens, des utilisateurs et à faire rentrer la sécurité dans les habitudes de chacun » (p. 19). Cela prend du temps.
Dans la seconde partie il parle des fondamentaux incontournables. Il aborde des sujets tels que les politiques de filtrage de coupe-feu, les audits techniques, la gestion des journaux, la veille sur les vulnérabilités, etc.
Puis en troisième partie il explique les quelques problèmes opérationnels… tel que le déploiement d’une PKI, la sécurité et la mobilité, le Wireless, etc.
Enfin dans la quatrième partie, il parle des moyens de contrôle tel que les tests d’intrusions, les systèmes de détection d’intrusion, etc.
Ce livre de 260 pages est un retour d’expérience enrichissant. 18 chapitres indispensables à la bonne compréhension des défis à relever pour tous les professionnels qui assistent leurs clients responsables de la sécurité de l’information!
Inscription à :
Articles (Atom)