Stratégie

Le Ciso de Rémy Cointreau, Xavier Leschaeve, pousse la cyber sécurité dans toute l'entreprise

Ciso de Rémy Cointreau, Xavier Leschaeve, veut d'abord démontrer sa valeur opérationnelle.

Ciso de Rémy Cointreau, Xavier Leschaeve, a conquis son PDG, et installé Box pour combattre le shadow IT.

PublicitéLes responsables de la sécurité de l'information sont très demandés à mesure que les cyber-menaces évoluent et que la sécurité devient une partie intégrante de toutes les entreprises. Le président Obama a doté l'administration de la Maison Blanche de son premier Ciso fédéral en 2016. Cette montée rapide et récente du Ciso signifie aussi que le poste n'est pas toujours bien positionné ni bien perçu.

Beaucoup disent que le Ciso doit avoir du leadership et disposer d'un siège au comité de direction, pour remplir sa fonction. Le Ciso de Rémy Cointreau, Xavier Leschaeve, a rejoint la société en 2015 et s'est rapidement imposé à ce poste. Pour lui, un Ciso doit expliquer son rôle dans le business plutôt qu'insister sur des termes techniques et donc démontrer sa valeur opérationnelle. Il doit avoir accès aux membres du Comex et leur présenter ses sujets de cybersécurité.

« La direction ne se soucie pas de la technologie », déclare Xavier Leschaeve, qui a précédemment travaillé pour le géant de l'assurance AXA. Ce qui les intéresse, ce sont les risques pour l'entreprise. Je tente donc de présenter tous les risques de sécurité en termes de gestion des risques opérationnels. Vous devez vraiment avoir une vision plus élevée et essayer de voir quel en sera l'impact sur l'activité et sur l'entreprise ». Le rôle a donc énormément changé, depuis qu'une cyber-attaque a coûté 6 millions de livres à la Citibank en 1985 et l'a poussé à nommer Steve Katz, comme responsable de la sécurité. Il est considéré comme le premier Ciso au monde.

Obligé de travailler plus étroitement

« Dans le passé, explique Xavier Leschaeve, au départ vous étiez un codeur, ensuite, un jour, un pare-feu est arrivé et vous avez géré ce périphérique. Après, nous avons commencé à discuter des antivirus, des correctifs et ainsi de suite, mais c'était très technique. La sécurité a évolué vers la gestion des risques. Ce sont des personnes, des processus et des outils. Et pas seulement des outils, donc vous êtes obligé de travailler plus étroitement avec les finances, les ressources humaines, et pour discuter des processus et déterminer comment tout doit être sécurisé, vous devez intéresser les gens.»

Les compétences en communication et une compréhension approfondie de l'entreprise sont maintenant aussi essentielles que les connaissances sur la cybersécurité. Et surtout, le Ciso doit pouvoir discuter avec la haute direction qui a les ressources financières. « Dans mon entreprise, notre PDG est très intéressé et impliqué dans la sécurité. C'est vraiment un bon ambassadeur. Je travaille aussi avec le directeur financier et l'audit juridique ».

Autre point décisif, l'approche unifiée de la sécurité qui signifie que l'informatique de l'organisation doit protéger toute l'entreprise, une nécessité qui devient plus difficile à mesure que les moyens de travail se développent. « Dans le passé, vous aviez votre réseau interne, votre pare-feu, vous aviez vos ressources humaines internes. Tout était interne. Maintenant, avec tous les postes mobiles, la moitié de nos utilisateurs à travers le monde sont des personnes en déplacement tout le temps. »

PublicitéBox plutôt que Drive

Le personnel de Rémy Cointreau a échangé de gros fichiers en ligne via des comptes personnels sur des services tels que Google Drive, considérés comme du « shadow IT » dans la mesure où ils se trouvent en dehors de la gestion du DSI. Xavier Leschaeve voulait leur donner un accès sécurisé à leurs données chaque fois qu'ils en avaient besoin, où qu'ils se trouvent, tout en veillant à ce que la société contrôle le flux de données. Pour atteindre cet objectif, l'équipe informatique s'est tournée vers Box en tant que plate-forme centrale de partage de stockage, pour faciliter le partage de l'information dans toute l'entreprise, en impliquant aussi bien les RH, les finances et l'équipe duty-free qui vend du Rémy Cointreau dans les aéroports.

« Maintenant, si vous souhaitez partager des informations avec une agence externe dans le monde extérieur, vous utilisez Box, que nous avons installé » explique Xavier Leschaeve. « Vous pouvez inviter des gens à collaborer. Je peux le suivre, et je suis en train d'interdire tout le transfert de fichiers, le partage externe. Chaque fois que nous effectuons une migration, nous expliquons qu'il faut Box et rien d'autre. Si quelqu'un veut aller sur Google Drive, je le verrai, nous recevrons une alerte, et je leur dirai : vous n'êtes pas autorisé à utiliser Google Drive, mais Box, car, avec Box, c'est sous notre contrôle. »

Article de Thomas Macaulay / IDG News Service (adaptation et traduction de Didier Barathon)