4ème Université d'été du CESIN - 2023

Date : 25 août de 8h00 à 18h

Lieu : Chateau de Montvillargenne - 2 Av. François Mathet, 60270 Gouvieux

PROGRAMME

08h30 Présentation de la journée – Alain BOUILLE

08h45 Session d’ouverture de l’Université par Marc DARMON - Directeur Général Adjoint de THALES

Nous avons le plaisir et le grand honneur d’accueillir Marc Darmon – Directeur Général Adjoint de Thalès – Président du Comité Stratégique de Filière Industries de Sécurité et Président du GICAT qui fera la keynote d’ouverture de notre Université. 

9h40 Mot de la Présidente – Mylène JAROSSAY

9h45 Pause

10h15 Ateliers prospectifs CESIN (5 ateliers au choix ci-dessous)

12h15 Apéritif + Déjeuner

14h00 Restitution des ateliers par les rapporteurs

15h00 Activités ludiques

17h30 Remise des prix et goûter

18h00 Mot de la fin

LES ATELIERS

Atelier 1 : Évaluer la maturité et les questions essentielles

Il existe de multiples questionnaires et référentiels pour évaluer la maturité d’une organisation. Ceux-ci rivalisent en nombre de questions, mais ces référentiels sont souvent des listes « à plat », sans qu'une pondération entre toutes ces questions permette de discerner les éléments essentiels et de prendre du recul pour estimer réellement la maturité d’une entreprise en cybersécurité.

Quelles seraient les 10 questions essentielles que vous jugez pertinentes et prioritaires pour pouvoir vous faire une bonne idée générale de la maturité d’une entreprise ?

Atelier 2 : Évaluer la maturité en contextualisant les questions

Les questionnaires de maturité sont nombreux, avec un certain recouvrement sur les questions posées d’un questionnaire à l’autre. Cependant, il y a encore eu peu ou pas de réflexion commune sur ce qui pourrait constituer un ensemble de critères permettant de contextualiser les réponses aux questions. En effet, les réponses à des questions sur la maturité d’une entreprise ne peuvent s’analyser de façon intrinsèque. Il faut collecter un minimum d’éléments de contexte sur l’entreprise, tels que sa taille, sa couverture géographique (pays, nombre de sites), la place de l’IT, la centralisation ou non de son système d’information, la nature de ses métiers et des données clés à protéger (données R&D, données clients...), la part de l’OT, etc.

Quels sont les 10 critères essentiels à mettre en parallèle des questions relatives à la maturité, pour pouvoir réellement comprendre et juger de la maturité d’une entreprise ?

Atelier 3 : Tableau de bord de maturité

Il existe de nombreux tableaux de bord en cybersécurité, selon que l’on s’intéresse à la cybersécurité opérationnelle, à la conformité, à la performance, à la gestion du risque cyber et à la sinistralité, ou encore à la maturité. Ces tableaux de bord peuvent comporter, selon le cas, des données instantanées, des statistiques, des courbes de tendances, des benchmarks, des faits marquants, etc.

Qu'est-ce qui constitue pour vous le tableau de bord sur la maturité d’une entreprise en cybersécurité, qu'un responsable cybersécurité devrait pouvoir présenter à son COMEX ? Ce n’est pas un tableau de bord que l’on présente fréquemment, et il faut pouvoir observer l'évolution de la maturité dans le temps avec une historisation de cette maturité.

Quels sont les 10 indicateurs ou informations à présenter au COMEX pour un tableau de bord de maturité ?

Atelier 4 : Les indices de non-maturité

On a coutume d'évaluer la maturité en cybersécurité en se concentrant sur ce que l'entreprise fait bien en matière de sécurité, les méthodes, les processus et les solutions déployées. Et si l'on envisageait la question sous un angle inverse ? Quelles sont les mauvaises pratiques encore persistantes dans l'entreprise qui témoignent d'un défaut de maturité ? Comment les identifier et les traquer ? Quels sont les pires obstacles qui freinent la montée en maturité ?

Quels sont les 10 indices techniques à rechercher dans les pratiques effectives, montrant un non-respect de certains fondamentaux de sécurité, et qui permettraient d'observer et de mesurer le niveau de maturité sous un autre angle ?

Atelier 5 : La maturité du responsable cybersécurité

On peut considérer qu’une entreprise ne progresse en matière de cybersécurité que si elle dispose de personnes compétentes en charge du sujet. Ce principe est vrai pour la cybersécurité comme pour d'autres domaines, mais cette question est encore plus aiguë dans le domaine de la cybersécurité, qui est récent en termes de développement des ressources. Dans ce domaine où les besoins et le nombre de ressources sont en forte croissance, la manière de juger de la maturité du responsable cybersécurité est encore peu discutée et encore moins formalisée. Il suffit, pour s'en convaincre, de comparer la diversité des critères attendus dans les différentes fiches de poste des responsables cybersécurité.

Comment peut-on juger de la maturité d'un responsable cybersécurité ? Quels sont les 10 critères relatifs à la fois aux soft skills, à la posture et à l'action du responsable cybersécurité, qui permettraient d'estimer le niveau de maturité de ce responsable dans l'exercice de sa mission ?