35:14Cet enregistrement n'est pas encore disponible.
Master the 3 Levels of Risk Decision-Making
Télécharger les ressourcesCatégories
Gouvernance, risque et leadership (GRC)Conformité et réglementationGestion du risqueProgramme et stratégie de sécuritéResponsable de la sécurité (RSI / CISO) et conseilSécurité offensive et expositionGestion des vulnérabilités
Fournisseurs et outils abordés
Commandité par
À propos de cette session
Nathan Wenzler, stratège en chef de la sécurité chez Tenable et vétéran du domaine depuis vingt-cinq ans, soutient que le vrai défi des équipes de sécurité n'est pas technique mais communicationnel, et propose un cadre à trois niveaux pour adapter le discours sur le risque selon l'auditoire exécutif, stratégique ou tactique. Au niveau exécutif, il recommande des indicateurs simples, type feux de circulation ou lettres, plutôt que des métriques de volume, illustré par une anecdote où une réduction de vulnérabilités de 34 pour cent a été balayée par le conseiller juridique comme un travail à peine commencé. Au niveau stratégique, il prône la traque des anomalies positives comme négatives, citant l'exemple d'une équipe de correctifs qui surpassait toutes les cibles grâce à un script maison, ensuite déployé partout, faisant passer les pays non conformes de trente-six à un seul. Au niveau tactique, il recadre la résistance technique comme un problème de confiance humaine : les ingénieurs rechignent parce qu'ils se sentent dépossédés du crédit de leur travail, et l'empathie combinée à des métriques anonymisées et ludifiées rétablit l'adhésion. Il termine par une démonstration de tableau de bord reliant le risque technique à un montant qui parle au directeur financier, suivie d'une période de questions sur les lignes hiérarchiques du RSSI.
À retenir
- Adapter la métrique à l'auditoire : feux de circulation ou lettres pour la direction et le conseil, tendances et priorisation au niveau stratégique, scores individuels pour les équipes tactiques.
- Ne jamais entamer une conversation avec la direction ou le conseil avec des métriques de volume (comptes bruts de vulnérabilités); demander directement aux dirigeants quel format les aide le plus à décider.
- Traquer activement les anomalies positives, pas seulement les échecs; quand une équipe ou une région surpasse largement les autres, en comprendre la cause et reproduire la pratique.
- Anonymiser et ludifier les métriques au niveau tactique plutôt que de pointer publiquement les administrateurs sous-performants; le blâme public tue la collaboration nécessaire pour régler les causes profondes.
- Traduire le risque technique en un montant lié à un actif d'affaires (par exemple le chiffre d'affaires mensuel d'un site web) pour que le directeur financier et le conseil saisissent immédiatement l'enjeu d'un sous-investissement.
