dans la peau d'une RSSI débutante

Je vais raconter ici l'histoire d'Olivia, une jeune Responsable de la Sécurité des Systèmes d'Information (RSSI) fraîchement recrutée par une entreprise bien ancrée en province, qui va démarrer son expérience la tête pleine d'espoirs et d'ambitions. Quelles difficultés va-t-elle rencontrer et qui lui viendra en aide ?

Olivia a été diplômée d'une école de commerce et a débuté comme commerciale régionale en province chez une grande marque du réseau et de la sécurité américaine. Elle n'avait pas de connaissances techniques particulières, mais elle s'est rapidement passionnée pour le sujet de la sécurité et son aspect « aventureux », et a acquis, à force, une connaissance correcte au niveau technique.

Après six années de succès dans cette grande entreprise, elle découvre cette offre d'emploi pour une entreprise locale et se dit que c'est peut-être le bon moment pour « sauter le pas » et basculer dans le monde « client ». Déterminée et convaincante, elle s'est offert quelques certifications validant la pertinence de ses connaissances techniques et a décidé de poser sa candidature pour ce défi qui lui permettrait de valoriser son profil sur le long terme. Elle aimerait tant être reconnue dans son domaine et devenir RSSI de l'année !

Malgré la puissance des objections – « Mais vous êtes une femme ! », « École de commerce ? » accompagné d'un petit rire méprisant – et face à l'absence chronique de concurrents crédibles (« Non, Jean-Pierre, ton fils qui vient d'avoir le bac ne peut pas faire l'affaire »), ils ont décidé de lui faire confiance et de lui offrir le convoité portefeuille. « Au pire, on la vire en période d'essai... »

Quel courage, quelle magnifique prise de risques, et quelle mise en avant des valeurs de l'entreprise ! « C'est l'occasion de prendre l'apéro ! Non ? »

PS : Je tiens à préciser que l'intégralité de ces extraordinaires aventures est totalement fictive, et que toute ressemblance avec des faits réels serait bien évidemment le fruit du plus pur des hasards !

Premier jour

Le stress, impossible de fermer l'œil. Et si tout se passait mal ? Et si elle se retrouvait pétrifiée ? Elle avait plusieurs fois fait un cauchemar où elle avait oublié de s'habiller ou qu'elle s'était trompée de chaussures. Classique. La confiance n'est jamais innée, elle viendra avec le temps.

En sortant de sa voiture, elle repense à son pot de départ. Tout le monde la félicitait, son ancien manager lui avait dit : « Tu reviens quand tu veux ! » Elle savait pourtant que ce virage était « sans filet ». Elle était déjà remplacée par un nouveau commercial junior et elle ne pouvait plus faire machine arrière.

Devant la porte, elle hésite. C'est sa dernière chance de fuir sans perdre la face.

« Pardon, Mademoiselle ! » lui lance un homme d'un certain âge qu'elle bloque sans le vouloir, accompagnant ses mots d'un clin d'œil qu'elle n'apprécie pas. Elle s'écarte, perdue et encore moins confiante quant à ses capacités.

Puis, tournant la tête, elle voit le grand patron qui la regarde depuis une salle de réunion et qui lui fait signe de le rejoindre. Elle oublie alors ses doutes et se précipite à sa rencontre afin de ne pas montrer ses craintes.

Après les banalités d'usage et les félicitations traditionnelles, il lui fait un peu l'état des lieux et de ce que l'on attend d'elle. Premier écueil : première année, on est en cours d'exercice budgétaire et donc il n'y a pas de fonds disponibles pour elle – en tout cas officiellement. Elle devra aller mendier des fonds éventuels auprès de son manager, le directeur informatique.

Elle l'a déjà rencontré trois fois. C'est un homme intelligent mais plutôt dans une optique de terminer sa carrière tranquillement sans faire de vagues. « Je t'invite à déjeuner ? On va aller en terrasse, il fait beau. »

Dépendre du directeur informatique n'est pas une « bonne pratique » pour un responsable sécurité. Elle s'en était émue, expliquant les risques de non-séparation des pouvoirs et de priorités budgétaires. On lui avait répondu que cette position pourrait évoluer avec le temps. Tu verras bien... normalement... ça devrait bien se passer... on a le temps non ?

Soyons honnêtes : Olivia met le pied dans un champ de mines et elle en a conscience. Sa nervosité est tout à fait naturelle ! En phase de découverte, elle n'a déjà pas le droit à l'erreur de peur qu'on la classe définitivement dans la case de la féministe irritante ou de la dinde écervelée. « Je suis une professionnelle, bon sang ! »

Pourquoi une telle pression ? Elle sait également qu'elle a déjà un plan et qu'il lui sera toujours possible de revenir dans la bonne direction. Comment a-t-elle pu construire un plan avant même de rejoindre une nouvelle entreprise qu'elle ne connaît pas ? Tout simplement parce que depuis six années elle fait des plans et elle les exécute. Business plan commercial. Dans son école de commerce, c'était également la base de toute réflexion, alors pourquoi s'en passer ?

Savoir où l'on va tout en sachant d'où l'on vient, c'est toujours plus simple finalement. La simplicité et l'efficacité sont des piliers inébranlables de la réussite.

Elle a donc utilisé des « référentiels » publics permettant de « mettre la fonction sécurité dans des cases » – comme le NIST (National Institute of Standards and Technology) qui fait figure de référence internationale. Elle a ainsi préplanifié ses premiers mois avec des tâches qu'elle pourra elle-même réaliser si aucun budget n'est disponible. En travaillant jour et nuit, ça devrait être possible. Une volonté inébranlable, j'ai dit !

Ces outils donnent de bonnes bases de travail mais ne doivent, bien évidemment, jamais remplacer l'expérience du terrain. Et le terrain allait le lui rappeler. Elle allait découvrir un nouvel univers aux mille facettes dans lequel un « plan ne se déroule jamais sans accrocs ».

Premières rencontres

Xavier, son manager et directeur informatique, l'invite à déjeuner. Elle est un peu stressée car il la traîne – bizutage ? – dans un « chouette bar à vin » du coin qui ressemble à son « quartier général ». Une bouteille offerte par le patron (« Bienvenue petite ! »), une ambiance joyeuse et un partage confraternel.

Les heures se succèdent sans un mot sur sa mission ou concernant l'entreprise. « C'est l'occasion de faire vraiment connaissance ! »

À une autre table, un groupe d'hommes les regarde par moments par-dessus leurs épaules, plus ou moins discrètement. « Tu vois, c'est l'équipe commerciale qui fait sa réunion du lundi. »

Un environnement chaleureux où le temps ne file pas très vite. En partant, elle remarque que les commerciaux les suivent du regard. Il y en a même un qui lui fait un clin d'œil. « Au moins Jean-Claude Convenant, lui, il est marrant... pas de Xantia sur le parking évidemment... »

En rentrant, Xavier s'excuse et la dépose devant l'entreprise avant de rentrer chez lui, visiblement indisposé par les heures de « fun » qu'ils venaient de partager. « C'est vraiment prudent que vous conduisiez ? »

Et la voilà seule, face à une équipe informatique, sans avoir été présentée, et il semble que personne ne soit prêt à la prendre au sérieux. Elle ne sait même pas où est son bureau. Monique, l'assistante de Bernard, lui fait même une blague en lui faisant croire que son bureau était au niveau du local poubelles et qu'elle devait aller chercher son ordinateur dans un magasin de la ville voisine. Sacré Monique !

Elle se présente, propose des rendez-vous, et on lui fait des sourires ou on ne lui répond pas vraiment. Le responsable de l'infrastructure, Carl, en charge de la sécurité du réseau de l'entreprise, la voit comme une concurrente et refuse toute discussion. « On va voir combien de temps elle tient, la commerciale. »

Les jours passent, les difficultés persistent. L'accès aux systèmes lui est parfois interdit, comme l'affichage de la configuration des pares-feux. « Ne touche pas à ça, Olivia, tu sais, c'est compliqué. »

Mais comment réaliser une évaluation de la situation si toutes les portes lui sont fermées ? Et surtout, comment les ouvrir habilement sans se mettre toute l'entreprise à dos ? Elle connaît un peu la politique, mais cette organisation majoritairement masculine ne lui facilite pas la tâche.

Olivia a de la volonté et a décidé qu'elle ne serait pas un faire-valoir. « C'est une belle plante, la petite ! »

Bon gré mal gré, elle réussira l'objectif qu'elle s'est fixé : viser à terme une certification sécurité pour l'entreprise (« J'aimerais bien nous faire certifier ISO 27001 ! » – Bernard : « Ça coûte cher ? ») et devenir un jour RSSI de l'année avec sa photo sur un magazine. « On a bien le droit à un peu de narcissisme, non ? »

Présentation du plan

Quelques jours plus tard, elle présente son plan à Xavier et à Bernard. Ils semblent passionnés par le contenu. « Tu as vu, elle présente bien ! »

La présentation est ponctuée de pauses café marquées et d'anecdotes croustillantes. « Tu te souviens quand Monique a cru qu'un pirate avait rendu folle la photocopieuse ? » Énorme éclat de rire.

Néanmoins, une découverte passionnante : il existe un risque informatique. Olivia leur présente une visualisation d'une analyse de risque qu'elle a faite, tant bien que mal, et qui met en avant les premiers risques qui devront faire l'objet d'une discussion à très court terme. Elle a mis le doigt là où ça fait mal.

Le sourire de Bernard s'efface, laissant place à une inquiétude visible. « Mais c'est vraiment possible, ces trucs ? »

Olivia ressent un sentiment de découragement. Mais pourquoi l'ont-ils recrutée ? Pour être la secrétaire du directeur informatique ? Heureusement, le marketing de la terreur est sa spécialité après six années à faire peur à tout le monde avec les « méchants virus ». Elle va lancer un grand programme en mode « budget contre épouvante ».

Il faut donc creuser les risques, les menaces et les vulnérabilités de son entreprise.

L'analyse de risque

Olivia a décidé de commencer par une analyse. Son objectif est de comprendre la situation actuelle de l'entreprise : quels sont les risques ? « Est-ce que ça vous fait mal ? »

En effet, un événement potentiellement risqué n'est pas traité de la même manière en fonction de sa probabilité et de son impact sur l'entreprise. « Un météore détruit la terre ? Et comment gère-t-on cela ? On appelle Bruce Willis ? »

En résumé, si une faiblesse risque de faire perdre une somme importante à son entreprise et qu'elle est facilement exploitable (« Admin / Admin ? Ah oui ? Sur le serveur de gestion de la production ? Jackpot ! »), il convient de traiter en priorité ce type de situation. « Tu vois, quand c'est rouge, c'est qu'on a du boulot ! »

L'entreprise qui l'emploie s'appelle BFC Tracteurs. C'est une entreprise régionale de taille respectable, d'environ cinq cents employés, spécialisée dans la production, l'entretien et la vente d'outils de jardinage professionnels.

Olivia ne s'y connaissait pas tellement sur le sujet. Elle a donc contacté des personnes de son réseau qui ont des liens dans une agence nationale de sécurité. On lui a fait suivre quelques exemples anonymes d'analyses d'entreprises similaires afin de « mettre le doigt là où ça fait mal ». L'objectif étant de ne pas perdre de temps sachant que, faute de budget disponible, elle devait s'en charger elle-même. « Trente mille euros ? Mais c'est très cher ! C'est le budget de l'arbre de Noël de BFC ! » Tout est question de priorités.

Les résultats sont intéressants même si les entreprises en question ne sont pas des copies conformes. Il semble que les secteurs à inspecter en priorité sont :

Premiers contacts

Prenant son courage à deux mains, Olivia se lance pour une première visite de ces points de friction et se dirige tout naturellement vers ce qu'elle pense connaître le mieux : le système ERP, dont elle avait étudié tous les détails lors d'un cours à son école de commerce. Ça parle de processus, de finance et de métier, et c'est quand même plus son élément, comme un petit rocher rassurant dans un océan d'hostilité.

Premier écueil : Marcel, le responsable applicatif, ne répond pas à ses questions.

Que ce soit par mail, par téléphone ou en coup de vent à la cantine, il a toujours autre chose à faire ou l'ignore tout simplement. « Qu'est-ce qu'elle me veut, cette idiote ? J'ai du boulot, moi ! »

Marcel dépend de la direction financière (« C'est important, la comptabilité ! »), mais traite des processus de production, la logistique, la gestion des entrepôts, les ressources humaines... Devant cet enthousiasme débordant, elle s'imagine avec délice l'accueil qui lui sera fait au niveau des chaînes de production. « Une femme qui fait de la sécurité », tout le monde rigole.

De guerre lasse, elle décide de contacter Xavier qui lui propose d'aller déjeuner avec le récalcitrant. « Il ne pense qu'à bouffer, lui... »

Elle accepte, se préparant encore à passer les trois heures les plus productives de la semaine. Et pourtant, miracle ! Après une ou deux bouteilles – on finit par ne plus compter – Marcel devient beaucoup plus aimable, voire un peu trop (« J'aimerais qu'il arrête de me regarder bizarrement ! »). Il s'ouvre à une discussion intéressante où il faut, bien entendu, éviter les écueils habituels tels que les invitations dans son bureau après le déjeuner.

Malgré quelques allusions graveleuses qu'elle préfère oublier et une tentative de lui faire une bise dans le cou (« Tu sais, dans le fond, il est gentil, Marcel ! »), c'est une pleine réussite. Elle en a vu d'autres !

Elle a obtenu le nom des personnes à interroger et même un mail d'introduction impératif lui permettant d'éviter les refus. Après le déjeuner, elle fait une énorme bise à Xavier qui rougit jusqu'aux oreilles avant d'aller passer son après-midi en « home office », cette fois pour la bonne cause.

Dans l'après-midi, ses invitations pour des réunions le lendemain sont toutes acceptées. Continuant ses investigations en parallèle, elle a envoyé des invitations aux responsables des données et de la production et ils ont tous deux accepté immédiatement, à son grand étonnement.

Par ailleurs, elle cherche à se renseigner un peu plus précisément sur les menaces actuelles pouvant prendre son entreprise pour cible. Pour cela, son ancien poste lui est bien utile car elle connaît du monde dans des entreprises de ce secteur qui peuvent mettre à disposition de leurs clients et prospects ce type d'information. Un flux de « menace cybersécurité » adapté pour les entreprises industrielles de taille moyenne de sa région. « La cybercriminalité se spécialise et se régionalise ! »

Ce type d'information est souvent fourni gratuitement pendant un certain temps, sachant que, comme expliqué précédemment, la « peur fait vendre ». Olivia utilisera ce « bulletin météo » afin d'essayer de se protéger des grosses averses en attendant des jours meilleurs – du budget et du temps.

Comme lui disait son mentor, on ne pourra jamais lui reprocher un incident de cybersécurité, pour peu qu'elle l'ait découvert et, pour le moins, anticipé. « Attention, on a une grosse probabilité de se faire exploser nos serveurs de production dans la semaine ! Mais non voyons, on est bien protégés, petite ! Ah bah non tiens... »