Comment choisir les bons indicateurs de risque de tiers à communiquer au conseil d'administration ?

Ayant été CISO pour de grandes sociétés multinationales pendant plus de 20 ans, j'ai créé, dirigé et fait évoluer des programmes de gestion des risques de tiers pour des organisations très complexes. Cette expérience m'a beaucoup appris, notamment ce qui a fonctionné et ce qui n'a pas fonctionné. Aujourd'hui, en tant que PDG de Cambridge Cyber Advisers, je suis assis de l'autre côté de la table du conseil d'administration, travaillant aux côtés du président du conseil d'administration pour aider le RSSI à réduire au maximum les risques sur l'ensemble du spectre de la sécurité.

Dans mon rôle de conseiller du conseil d'administration, j'observe souvent que des mesures et des données complexes sont transmises à la direction par l'équipe de sécurité. Trop souvent, une grande partie du message et des résultats souhaités se perdent dans la traduction, car l'équipe de sécurité doit reformuler les données pour des publics non concernés par la sécurité. Pour y parvenir, l'équipe de sécurité crée son propre ensemble de mesures significatives.

Dans cet article, je définirai les indicateurs significatifs, j'évoquerai les difficultés que je rencontre pour déterminer les bons indicateurs à communiquer au conseil d'administration et je décrirai une approche mature de la communication des indicateurs de risque par des tiers.

Que sont les mesures significatives et comment s'appliquent-elles à la gestion des risques liés aux tiers ?

Les rapports de sécurité doivent être clairs et concis, et aucun autre domaine n'est plus critique que celui de l'assurance des tiers. L'assurance tierce partie est l'un des domaines de risque les plus difficiles à quantifier et à gérer du point de vue du RSSI, et ce pour trois raisons :

1. la grande taille des écosystèmes tiers
2. le niveau constant de changement parmi les fournisseurs
3. les défis en matière de ressources que pose la gestion simultanée de milliers de fournisseurs

Des mesures significatives sont donc nécessaires pour présenter clairement un ensemble consolidé d'indicateurs clés de performance (ICP) et d'indicateurs clés de risque (ICR) aux dirigeants ou aux membres du conseil d'administration. Ces mesures réduisent la nécessité d'analyser des tableaux de bord de sécurité vastes et complexes en distillant les implications réelles de la sécurité derrière les chiffres.

Un exemple de mesure significative est le temps moyen de détection (MTTD). Cette mesure montre au conseil d'administration l'efficacité avec laquelle vous détectez les problèmes au sein de la chaîne d'approvisionnement, les performances des indicateurs clés de performance (KPI) et des indicateurs clés de performance (KRI), et comprend des informations sur les aspects techniques, les processus et la culture. Les détails supplémentaires sont toujours disponibles si nécessaire, mais il est important de présenter une mesure consolidée et significative en premier lieu.