{"id":12593,"date":"2020-01-21T14:50:13","date_gmt":"2020-01-21T13:50:13","guid":{"rendered":"https:\/\/www.riskinsight-wavestone.com\/?p=12593"},"modified":"2021-07-12T09:54:59","modified_gmt":"2021-07-12T08:54:59","slug":"radar-du-rssi-2-3-chantiers-majeurs-2020","status":"publish","type":"post","link":"https:\/\/www.riskinsight-wavestone.com\/en\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/","title":{"rendered":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?"},"content":{"rendered":"<p><em>Nous avons pr\u00e9c\u00e9demment pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie de construction. Issus des travaux du radar du RSSI, une s\u00e9lection des chantiers majeurs a \u00e9t\u00e9 identifi\u00e9e. Ils sont \u00e9videmment \u00e0 adapter en fonction de la maturit\u00e9 de votre organisation et de votre contexte.<\/em><\/p>\n<p>&nbsp;<\/p>\n<h2>Repenser sa gouvernance pour la rationaliser<\/h2>\n<p>Certes, le RSSI se doit de d\u00e9finir une strat\u00e9gie cybers\u00e9curit\u00e9 claire et lisible lui permettant de cibler ses priorit\u00e9s voire de pr\u00e9senter une \u00e9valuation de leur efficacit\u00e9. Le mod\u00e8le de gouvernance actuel est-il performant ? Est-il adapt\u00e9 au contexte actuel et \u00e0 venir ? Apr\u00e8s plusieurs ann\u00e9es d\u2019investissements majeurs, comment optimiser les activit\u00e9s du quotidien (le run) SSI ?<\/p>\n<p>Aujourd\u2019hui, bon nombre de RSSI, ou leur hi\u00e9rarchie, remettent en question les organisations cybers\u00e9curit\u00e9 en place. De nombreuses questions se posent notamment au sein des grands groupes o\u00f9 les r\u00f4les et responsabilit\u00e9s sont r\u00e9partis entre plusieurs entit\u00e9s :<\/p>\n<p>Comment g\u00e9rer l\u2019ensemble des entit\u00e9s et s\u2019assurer que les actions sont d\u00e9ploy\u00e9es sur le terrain ? Quelle hi\u00e9rarchie, quelle entit\u00e9 de rattachement (DSI, suret\u00e9, risque\u2026) et quel reporting direct pour la cybers\u00e9curit\u00e9 au niveau du groupe ? Quelle d\u00e9marche de contr\u00f4le instaurer en fonction des diff\u00e9rents rattachements des \u00e9quipes s\u00e9curit\u00e9 (en particulier dans le monde de la finance avec le concept de lignes de d\u00e9fense) ? Quel syst\u00e8me d\u2019information cr\u00e9er dans la fili\u00e8re cybers\u00e9curit\u00e9 pour rendre les actions lisibles et correctement suivies ?<\/p>\n<p>Autant de questions qui militent pour une refonte de la gouvernance, parfois totale.<\/p>\n<p>Par ailleurs, en 2020, l\u2019agence nationale de cybers\u00e9curit\u00e9 fran\u00e7aise devrait publier une mise \u00e0 jour de son r\u00e9f\u00e9rentiel de m\u00e9tier et de nombreuses organisations commencent \u00e0 r\u00e9fl\u00e9chir \u00e0 la structuration de fili\u00e8res RH sp\u00e9cifiques. Ceci permet d\u2019organiser clairement les r\u00f4les et responsabilit\u00e9s, d\u2019identifier les profils \u00e0 recruter mais surtout \u00e0 cr\u00e9er des parcours professionnels diversifi\u00e9s et ainsi \u00e0 attirer et retenir les meilleurs profils au sein de l\u2019organisation.<\/p>\n<p>&nbsp;<\/p>\n<h2>D\u00e9montrer l\u2019efficacit\u00e9 des actions<\/h2>\n<p>Aujourd\u2019hui, d\u00e9montrer l\u2019efficacit\u00e9 des actions men\u00e9es et des mesures de s\u00e9curit\u00e9 mises en place au travers d\u2019indicateurs concrets de couverture des risques, impactants et compr\u00e9hensibles par tous reste un d\u00e9fi pour le RSSI. Et pourtant, ces indicateurs sont cruciaux pour n\u00e9gocier les budgets !<\/p>\n<p>La justification des engagements budg\u00e9taires r\u00e9alis\u00e9s (notamment dans certains secteurs comme la finance ou 2020 sera une ann\u00e9e de rationalisation) est de plus en plus n\u00e9cessaire.<\/p>\n<p>Traiter le risque cyber sous le prisme financier, comme tous les autres risques de l\u2019organisation, permettra de le rendre parlant pour les d\u00e9cideurs. Ainsi, la quantification des risques, m\u00eame si elle est encore au stade embryonnaire, se d\u00e9veloppe au travers de nouvelles pistes. C\u2019est notamment le cas avec la m\u00e9thodologie d\u00e9velopp\u00e9e par Christine Lagarde qui s\u2019applique au secteur bancaire, la m\u00e9thodologie FAIR.<\/p>\n<p>Sur le march\u00e9, la startup Citalid propose une solution maillant m\u00e9thodologie FAIR et threat intelligence, dans le but, \u00e0 terme, d\u2019industrialiser la quantification des risques au niveau de l\u2019organisation. Plusieurs pr\u00e9requis sont n\u00e9cessaires \u00e0 son utilisation (une cartographie des risques, un r\u00e9f\u00e9rentiel des mesures en place, des abaques de co\u00fbts, la mobilisation des m\u00e9tiers\u2026) mais les r\u00e9sultats sont parlants pour mobiliser \u00e0 haut niveau.<\/p>\n<p>&nbsp;<\/p>\n<h2>Industrialiser l\u2019approche des sujets agiles<\/h2>\n<p>Sujet d\u00e9j\u00e0 mentionn\u00e9 dans notre radar du RSSI pour 2019 : les grandes organisations ont d\u00e9marr\u00e9, certaines \u00e0 marche forc\u00e9e, des migrations vers un fonctionnement agile \u00e0 grande \u00e9chelle.<\/p>\n<p>Une premi\u00e8re \u00e9tape a \u00e9t\u00e9 remplie pour beaucoup : l\u2019int\u00e9gration de la s\u00e9curit\u00e9 dans les projets agiles par le biais d\u2019Evil User Stories, de formation des \u00e9quipes \u00e0 la s\u00e9curit\u00e9, de mise en \u0153uvre d\u2019outils d\u2019int\u00e9gration continue et d\u2019int\u00e9gration de tests d\u2019intrusion dans le cycle de d\u00e9veloppement.<\/p>\n<p>Pour autant, tr\u00e8s peu d\u2019organisations ont v\u00e9ritablement pris le parti d\u2019int\u00e9grer la cybers\u00e9curit\u00e9 au nouveau mod\u00e8le op\u00e9rationnel agile. Afin de franchir le pas, les \u00e9quipes cybers\u00e9curit\u00e9 doivent revoir en profondeur leur mod\u00e8le de fonctionnement pour s\u2019adapter aux nouvelles m\u00e9thodes de delivery et garantir un bon niveau de s\u00e9curit\u00e9 dans les produits. Cela implique de restructurer leur approche d\u2019int\u00e9gration de la s\u00e9curit\u00e9 en adoptant une d\u00e9marche de r\u00e9duction incr\u00e9mentale du risque. L\u2019objectif \u00e9tant que les squad soient suffisamment matures et comp\u00e9tentes en mati\u00e8re de cybers\u00e9curit\u00e9 pour \u00eatre autonomes dans leur gestion des risques.<\/p>\n<p>Mais dans une p\u00e9riode interm\u00e9diaire, la pr\u00e9sence d\u2019experts s\u00e9curit\u00e9 dans une posture de service et d\u2019accompagnement est un facteur de r\u00e9ussite pour faciliter la prise en compte de la s\u00e9curit\u00e9 dans les cycles de d\u00e9veloppement agile et assurer une mont\u00e9e en comp\u00e9tences. Pour initier le mod\u00e8le, il est judicieux de le tester sur quelques pilotes afin de l\u2019adapter, si n\u00e9cessaire, avant de le g\u00e9n\u00e9raliser au sein de l\u2019organisation.<\/p>\n<p>&nbsp;<\/p>\n<h2>Internationaliser et rationaliser son approche sur la r\u00e9glementation<\/h2>\n<p>Les r\u00e8glementations (RGPD \/ CCPA, les r\u00e8glementations sectorielles, mais aussi en particulier la directive NIS en 2020) s\u2019appliquent de mani\u00e8re h\u00e9t\u00e9rog\u00e8ne entre les diff\u00e9rentes entit\u00e9s d\u2019un groupe. Avoir une vision unifi\u00e9e de ses obligations reste un graal notamment pour les groupes internationaux.<\/p>\n<p>Un travail important de prise de recul, de comparaison et de coordination doit \u00eatre men\u00e9 afin d\u2019optimiser et r\u00e9duire les co\u00fbts de mise en conformit\u00e9, et afin de la rendre p\u00e9renne sans trop d\u2019efforts.<\/p>\n<p>Pour faciliter ce travail, il est pr\u00e9conis\u00e9 de cr\u00e9er un poste de coordinateur r\u00e9gulation : il viendra cartographier les diff\u00e9rentes r\u00e8glementations qui s\u2019appliquent \u00e0 son organisation et \u00e0 ses filiales \u00e0 l\u2019\u00e9chelle globale (pour NIS, il anticipera une potentielle future nomination en fonction de l\u2019approche de chaque pays), il d\u00e9finira une strat\u00e9gie de mise en conformit\u00e9 en fonction du niveau d\u2019imbrication et de maillage du SI global de l\u2019organisation avec celui de ses entit\u00e9s internationales (mise en conformit\u00e9 par SI \/ par \u00e9tat ou mise en conformit\u00e9 globale), il viendra ensuite assister dans la construction d\u2019une roadmap globale de mise en conformit\u00e9 (synth\u00e8se des \u00e9carts vis-\u00e0-vis des r\u00e8glementations, d\u00e9finition d\u2019une cible d\u2019applicabilit\u00e9, structuration des travaux et mise en coh\u00e9rence).<\/p>\n<p>Et surtout, il jouera le r\u00f4le d\u2019expert dans les \u00e9changes avec les r\u00e9gulateurs lors des contr\u00f4les et sa pertinence pourra \u00e9galement lui permettre d\u2019entrer en discussion avec eux pour faire \u00e9voluer les exigences de mani\u00e8re rationnelle et efficace.<\/p>\n<p>&nbsp;<\/p>\n<h2>Mobilier sur la cyber-r\u00e9silience, au-del\u00e0 de la fili\u00e8re cybers\u00e9curit\u00e9<\/h2>\n<p>La d\u00e9multiplication des attaques cyber en 2019 a continu\u00e9 \u00e0 assoir la prise de conscience des directions g\u00e9n\u00e9rales sur le sujet de la cybers\u00e9curit\u00e9. Cette prise de conscience salutaire a initi\u00e9 une vague de projets de cyber-r\u00e9silience en 2019 qui sera amen\u00e9e \u00e0 se prolonger en 2020.<\/p>\n<p>Cependant, viser \u00e0 \u00eatre cyber-r\u00e9silient dans l\u2019absolu n\u2019est pas n\u00e9cessairement efficace. Il est important de cibler les cha\u00eenes m\u00e9tiers critiques et d\u2019\u00e9valuer leur s\u00e9curisation au regard d\u2019attaques bien identifi\u00e9es. Pour ce faire, la mobilisation devra \u00eatre plus large que les \u00e9quipes cybers\u00e9curit\u00e9 : les fonctions li\u00e9es \u00e0 la continuit\u00e9 d\u2019activit\u00e9, les m\u00e9tiers ou encore la direction g\u00e9n\u00e9rale de l\u2019organisation sont des acteurs essentiels au succ\u00e8s de cette d\u00e9marche.<\/p>\n<p>Le RSSI devra intervenir sur des sujets cl\u00e9s comme la s\u00e9lection des attaquants qui seraient le plus probablement amen\u00e9s \u00e0 cibler l\u2019organisation (sur la base des secteurs dans lesquels ils s\u00e9vissent, de leurs motivations, de leur niveau de technicit\u00e9, etc. \u2013 par exemple FIN6 pour les ransomwares, Cobalt group\u2019s pour la fraude, DeepPanda pour le vol de donn\u00e9es, etc.) et l\u2019adaptation concr\u00e8te de la strat\u00e9gie de protection et de d\u00e9tection.<\/p>\n<p>Cette approche peut s\u2019appuyer de mani\u00e8re efficace sur le r\u00e9f\u00e9rentiel MITRE ATT&amp;CK qui permet de cartographier les chemins d\u2019attaques utilis\u00e9s par les attaquants s\u00e9lectionn\u00e9s, challenger les mesures de s\u00e9curisation en place, et identifier des potentiels trous dans la raquette.<\/p>\n<p>Deux point cl\u00e9s que tout le march\u00e9 prendra en compte l\u2019an prochain :<\/p>\n<ul>\n<li>La sauvegarde des sauvegardes : quasiment toutes les organisations victimes d\u2019attaque cyber ont \u00e9t\u00e9 confront\u00e9es au m\u00eame probl\u00e8me : les syst\u00e8mes de sauvegardes \u00e9taient touch\u00e9s et leur remise en \u00e9tat a entra\u00een\u00e9 de nombreux jours de cessation d\u2019activit\u00e9. La sauvegarde du syst\u00e8me de sauvegarde a \u00e9t\u00e9 oubli\u00e9e.<\/li>\n<li>Le durcissement de l\u2019Active Directory : cible majeure des attaques que nous avons trait\u00e9es sur 2019, l\u2019active directory doit voir ses fondamentaux repens\u00e9s et de nombreux projets de reconstruction dans les r\u00e8gles de l\u2019art et de surveillance ad-hoc sont planifi\u00e9s ou devront l\u2019\u00eatre en 2020.<\/li>\n<\/ul>\n<p>Parall\u00e8lement \u00e0 cela, l\u2019entra\u00eenement des \u00e9quipes est plus que jamais n\u00e9cessaire. Les exercices de crise vont continuer de se complexifier afin d\u2019exercer les \u00e9quipes au plus proche de la r\u00e9alit\u00e9.<\/p>\n<p>Certains r\u00e9fl\u00e9chissent \u00e0 les combiner avec une approche cyber range, permettant de simuler r\u00e9ellement une crise technique sur une infrastructure temporaire dupliquant les syst\u00e8mes et les donn\u00e9es de l\u2019organisation en vase clos pour y jouer des attaques et s\u2019entrainer \u00e0 les d\u00e9fendre.<\/p>\n<p>&nbsp;<\/p>\n<h2>Gestion des vuln\u00e9rabilit\u00e9s : industrialiser pour d\u00e9multiplier<\/h2>\n<p>Le d\u00e9calage entre le volume de vuln\u00e9rabilit\u00e9s identifi\u00e9es (via des scanners automatis\u00e9s, audits, pentests, etc.) et leur traitement (pour la plupart artisanal) est devenu un point de souffrance majeur et pr\u00e9sente ainsi de risque pour la fili\u00e8re. Les rapports s\u2019empilent mais la situation ne s\u2019am\u00e9liore pas : encore <a href=\"https:\/\/www.wavestone.com\/fr\/insight\/benchmark-securite-sites-2019\/\">57% des 250 sites webs audit\u00e9s par Wavestone en 2019<\/a> pr\u00e9sentent une faille majeure, un chiffre stable sur les 3 derni\u00e8res ann\u00e9es.<\/p>\n<p>Pour en sortir, il y aura un v\u00e9ritable besoin en 2020 d\u2019uniformiser et d\u2019apporter de la coh\u00e9rence entre ces diff\u00e9rentes sources de vuln\u00e9rabilit\u00e9s, les agr\u00e9ger entre elles pour consolider une liste d\u2019actions claire \u00e0 mener et ainsi les prioriser, identifier les porteurs, traiter les actions puis les retester. Pour passer \u00e0 l\u2019\u00e9chelle, un outillage sera n\u00e9cessaire, les plateformes de GRC classiques peuvent y r\u00e9pondre mais des solutions plus adapt\u00e9es sont en passe de voir le jour, comme par exemple celle de la startup Hackuity<\/p>\n<p>&nbsp;<\/p>\n<h2>SOC &amp; Fusion Center : int\u00e9grer davantage l\u2019\u00e9tude de la menace<\/h2>\n<p>Sur les 40 incidents majeurs g\u00e9r\u00e9s par le CERT-Wavestone l\u2019ann\u00e9e derni\u00e8re, seulement 26% des incidents de s\u00e9curit\u00e9 ont \u00e9t\u00e9 identifi\u00e9s par le service de d\u00e9tection cyber de l\u2019organisation (le SOC dans la plupart des cas).<\/p>\n<p>Dans 44% des cas, ce sont les collaborateurs qui ont alert\u00e9 directement, souvent trop tard. Ces chiffres et les diff\u00e9rents retours march\u00e9 que nous observons t\u00e9moignent du besoin de mont\u00e9e en maturit\u00e9 des SOC. Ainsi, plus qu\u2019une tendance forte pour 2020, \u00e9lever le niveau de jeu des SOC en int\u00e9grant davantage l\u2019\u00e9tude de la menace et une meilleure automatisation est absolument n\u00e9cessaire.<\/p>\n<p>Pour les plus matures, il conviendra de prendre du recul sur la cha\u00eene cybers\u00e9curit\u00e9 pour apporter du liant entre la d\u00e9tection et les autres maillons de la cha\u00eene : l\u2019\u00e9valuation (via une red team par exemple), l\u2019exercice de crise et la r\u00e9ponse \u00e0 incident. Par exemple, monter une \u00ab purple team \u00bb, combinant des \u00e9quipes d\u2019attaque (red) et de d\u00e9fense (blue), permettra de stimuler un SOC et de le faire progresser sur des cas tr\u00e8s concrets en exercice de crise.<\/p>\n<p>Le SOC pourra \u00e9galement muter pour devenir un lieu unique de surveillance s\u00e9curit\u00e9 de l\u2019organisation : le Fusion Center, que les plus en avance commencent \u00e0 construire, en y int\u00e9grant les logiques de lutte contre la fraude, de s\u00e9curit\u00e9 physique ou encore d\u2019analyse de la menace.<\/p>\n<p>&nbsp;<\/p>\n<h2>Extended Company &amp; Third Party Management<\/h2>\n<p>La grande majorit\u00e9 des autorit\u00e9s cyber dans le monde consid\u00e8re les attaques indirectes comme l\u2019une des grandes tendances en mati\u00e8re de menace. Aussi, parce que la compromission d\u2019un seul interm\u00e9diaire peut parfois suffire \u00e0 p\u00e9n\u00e9trer le SI de plusieurs organisations, le retour sur investissement pour l\u2019attaquant est d\u00e9multipli\u00e9, et ainsi, ce type d\u2019attaque sera certainement encore en hausse pour l\u2019ann\u00e9e \u00e0 venir.<\/p>\n<p>Du c\u00f4t\u00e9 des organisations, la gestion de son \u00e9cosyst\u00e8me reste sujet complexe \u00e0 traiter \u00e0 la vue du nombre de tiers, de leur maillage, et du manque de visibilit\u00e9 sur le SI au global. Jusqu\u2019\u00e0 aujourd\u2019hui, la gestion des tiers se fait souvent via l\u2019envoi de PAS (Plan d\u2019Assurance S\u00e9curit\u00e9) et la mise \u00e0 jour des contrats mais cela consomme beaucoup de ressources au sein des organisations et est trop souvent inefficace (65% des organisations d\u00e9clarent que leur processus ne sont pas efficaces d\u2019apr\u00e8s une \u00e9tude Ponemon de 2019).<\/p>\n<p>Le grand enjeu pour l\u2019ann\u00e9e 2020 sera de professionnaliser l\u2019approche. Ainsi, les solutions de gestion de tiers comme celle de CyberGRX, Risk Ledger ou encore CyberVadis proposent d\u2019industrialiser l\u2019approche. Si elles ne vont certainement pas assez loin pour les tiers les plus critiques, leur approche est pertinente pour une grande majorit\u00e9 d\u2019entre eux. En compl\u00e9ment, des solutions \u00e9mergent afin de v\u00e9rifier le niveau de s\u00e9curit\u00e9 des logiciels fournis par des tiers.<\/p>\n<p>C\u2019est notamment le cas de la solution de la startup Moabi qui propose de v\u00e9rifier le niveau de s\u00e9curit\u00e9 r\u00e9ellement impl\u00e9ment\u00e9 dans les solutions des logiciels embarqu\u00e9s, les v\u00e9hicules connect\u00e9s et l\u2019IoT. Enfin, m\u00eame s\u2019il est imparfait (car bas\u00e9 sur l\u2019analyse de param\u00e8tres externes : s\u00e9curit\u00e9 du DNS, configuration du site web, etc.), l\u2019usage d\u2019agence de notation cyber va continuer \u00e0 se renforcer. Il convient pour le RSSI de mettre de la coh\u00e9rence dans l\u2019ensemble de ce dispositif pour avoir une vision consolid\u00e9e de son niveau de risque, et ensuite de pouvoir travailler main dans la main avec les principaux acteurs. Et pour les plus faibles, probablement les accompagner dans la mont\u00e9e en comp\u00e9tences.<\/p>\n<p>A noter que m\u00eame les fournisseurs de services et de solution s\u00e9curit\u00e9 sont concern\u00e9s par ces mouvements. Le dynamisme du march\u00e9 (cr\u00e9ation de nombreuses start-ups dans le domaine, de nombreux rachats ou partenariats, notamment par des entreprises Am\u00e9ricaines ou Isra\u00e9liennes\u2026) peut remettre en cause rapidement certaines orientations et d\u00e9cisions.<\/p>\n<p><em>Le dernier article de la s\u00e9rie sera l&#8217;occasion de pr\u00e9senter les tendances d&#8217;avenir de la fili\u00e8re cybers\u00e9curit\u00e9.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Nous avons pr\u00e9c\u00e9demment pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie de construction. Issus des travaux du radar du RSSI, une s\u00e9lection des chantiers majeurs a \u00e9t\u00e9 identifi\u00e9e. Ils sont \u00e9videmment \u00e0 adapter en fonction de la maturit\u00e9&#8230;<\/p>\n","protected":false},"author":15,"featured_media":12586,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"page-templates\/tmpl-one.php","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3222,36],"tags":[3456,105,3076,181,447],"coauthors":[837,807,3091],"class_list":["post-12593","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyberrisk-management-strategy","category-cybersecurity-digital-trust","tag-chantiers","tag-gouvernance","tag-radar","tag-rssi","tag-strategie"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v27.0 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?<\/title>\n<meta name=\"description\" content=\"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?\" \/>\n<meta property=\"og:description\" content=\"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\" \/>\n<meta property=\"og:site_name\" content=\"RiskInsight\" \/>\n<meta property=\"article:published_time\" content=\"2020-01-21T13:50:13+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-07-12T08:54:59+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"2560\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"G\u00e9r\u00f4me Billois, Gabriel Amirault, Ana\u00efs Etienne\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"G\u00e9r\u00f4me Billois, Gabriel Amirault, Ana\u00efs Etienne\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"13 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\"},\"author\":{\"name\":\"G\u00e9r\u00f4me Billois\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/person\/8c7dc7008d92d9f59fb0c108c988cb17\"},\"headline\":\"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?\",\"datePublished\":\"2020-01-21T13:50:13+00:00\",\"dateModified\":\"2021-07-12T08:54:59+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\"},\"wordCount\":2547,\"publisher\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg\",\"keywords\":[\"Chantiers\",\"gouvernance\",\"radar\",\"RSSI\",\"strat\u00e9gie\"],\"articleSection\":[\"Cyberrisk Management &amp; Strategy\",\"Cybersecurity &amp; Digital Trust\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\",\"name\":\"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?\",\"isPartOf\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg\",\"datePublished\":\"2020-01-21T13:50:13+00:00\",\"dateModified\":\"2021-07-12T08:54:59+00:00\",\"description\":\"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg\",\"contentUrl\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg\",\"width\":2560,\"height\":2560,\"caption\":\"flat design for team work concept over yellow\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.riskinsight-wavestone.com\/en\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#website\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/en\/\",\"name\":\"RiskInsight\",\"description\":\"The cybersecurity &amp; digital trust blog by Wavestone&#039;s consultants\",\"publisher\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.riskinsight-wavestone.com\/en\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#organization\",\"name\":\"Wavestone\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/en\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2021\/08\/Monogramme\u2013W\u2013NEGA-RGB-50x50-1.png\",\"contentUrl\":\"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2021\/08\/Monogramme\u2013W\u2013NEGA-RGB-50x50-1.png\",\"width\":50,\"height\":50,\"caption\":\"Wavestone\"},\"image\":{\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/logo\/image\/\"}},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/person\/8c7dc7008d92d9f59fb0c108c988cb17\",\"name\":\"G\u00e9r\u00f4me Billois\",\"description\":\"G\u00e9r\u00f4me Billois is a Partner at Wavestone in the Cybersecurity and Digital Trust practice. He graduated from the National Institute of Applied Sciences in Lyon. He has deep expertise in risk management and cybersecurity, developed over more than 15 years of experience. G\u00e9r\u00f4me is a board member of CLUSIF, a member of the ISO JTC1\/SC27 committee, responsible for information security standardisation, and a founding member of Club27001, a non-profit dedicated to promoting the ISO 27001 standard. He holds CISA, CISSP and ISO 27001 PA certifications. G\u00e9r\u00f4me co-authored several books on cybersecurity (Eyrolles, Cepadues, Wiley &amp; Sons, Larcier), is a regular media and conference speaker (Assises de la S\u00e9curit\u00e9, ISACA, CLUSIF, CNIS, etc.), and gives university lectures.\",\"url\":\"https:\/\/www.riskinsight-wavestone.com\/en\/author\/gerome-billois\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?","description":"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/","og_locale":"en_US","og_type":"article","og_title":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?","og_description":"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.","og_url":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/","og_site_name":"RiskInsight","article_published_time":"2020-01-21T13:50:13+00:00","article_modified_time":"2021-07-12T08:54:59+00:00","og_image":[{"width":2560,"height":2560,"url":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg","type":"image\/jpeg"}],"author":"G\u00e9r\u00f4me Billois, Gabriel Amirault, Ana\u00efs Etienne","twitter_misc":{"Written by":"G\u00e9r\u00f4me Billois, Gabriel Amirault, Ana\u00efs Etienne","Est. reading time":"13 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#article","isPartOf":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/"},"author":{"name":"G\u00e9r\u00f4me Billois","@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/person\/8c7dc7008d92d9f59fb0c108c988cb17"},"headline":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?","datePublished":"2020-01-21T13:50:13+00:00","dateModified":"2021-07-12T08:54:59+00:00","mainEntityOfPage":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/"},"wordCount":2547,"publisher":{"@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#organization"},"image":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage"},"thumbnailUrl":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg","keywords":["Chantiers","gouvernance","radar","RSSI","strat\u00e9gie"],"articleSection":["Cyberrisk Management &amp; Strategy","Cybersecurity &amp; Digital Trust"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/","url":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/","name":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?","isPartOf":{"@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage"},"image":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage"},"thumbnailUrl":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg","datePublished":"2020-01-21T13:50:13+00:00","dateModified":"2021-07-12T08:54:59+00:00","description":"Apr\u00e8s avoir pr\u00e9sent\u00e9 le Radar du RSSI 2020 ainsi que sa m\u00e9thodologie, une s\u00e9lection des chantiers majeurs \u00e0 lancer a \u00e9t\u00e9 identifi\u00e9e.","breadcrumb":{"@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#primaryimage","url":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg","contentUrl":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2020\/01\/Fotolia_69576340_Subscription_Monthly_XXL-flat-design-for-team-work-concept\u00a9-kchungtw-scaled.jpg","width":2560,"height":2560,"caption":"flat design for team work concept over yellow"},{"@type":"BreadcrumbList","@id":"https:\/\/www.riskinsight-wavestone.com\/2020\/01\/radar-du-rssi-2-3-chantiers-majeurs-2020\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.riskinsight-wavestone.com\/en\/"},{"@type":"ListItem","position":2,"name":"Radar du RSSI (2\/3) \u2013 Quels chantiers majeurs lancer en 2020 ?"}]},{"@type":"WebSite","@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#website","url":"https:\/\/www.riskinsight-wavestone.com\/en\/","name":"RiskInsight","description":"The cybersecurity &amp; digital trust blog by Wavestone&#039;s consultants","publisher":{"@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.riskinsight-wavestone.com\/en\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#organization","name":"Wavestone","url":"https:\/\/www.riskinsight-wavestone.com\/en\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/logo\/image\/","url":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2021\/08\/Monogramme\u2013W\u2013NEGA-RGB-50x50-1.png","contentUrl":"https:\/\/www.riskinsight-wavestone.com\/wp-content\/uploads\/2021\/08\/Monogramme\u2013W\u2013NEGA-RGB-50x50-1.png","width":50,"height":50,"caption":"Wavestone"},"image":{"@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/logo\/image\/"}},{"@type":"Person","@id":"https:\/\/www.riskinsight-wavestone.com\/en\/#\/schema\/person\/8c7dc7008d92d9f59fb0c108c988cb17","name":"G\u00e9r\u00f4me Billois","description":"G\u00e9r\u00f4me Billois is a Partner at Wavestone in the Cybersecurity and Digital Trust practice. He graduated from the National Institute of Applied Sciences in Lyon. He has deep expertise in risk management and cybersecurity, developed over more than 15 years of experience. G\u00e9r\u00f4me is a board member of CLUSIF, a member of the ISO JTC1\/SC27 committee, responsible for information security standardisation, and a founding member of Club27001, a non-profit dedicated to promoting the ISO 27001 standard. He holds CISA, CISSP and ISO 27001 PA certifications. G\u00e9r\u00f4me co-authored several books on cybersecurity (Eyrolles, Cepadues, Wiley &amp; Sons, Larcier), is a regular media and conference speaker (Assises de la S\u00e9curit\u00e9, ISACA, CLUSIF, CNIS, etc.), and gives university lectures.","url":"https:\/\/www.riskinsight-wavestone.com\/en\/author\/gerome-billois\/"}]}},"_links":{"self":[{"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/posts\/12593","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/users\/15"}],"replies":[{"embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/comments?post=12593"}],"version-history":[{"count":3,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/posts\/12593\/revisions"}],"predecessor-version":[{"id":12597,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/posts\/12593\/revisions\/12597"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/media\/12586"}],"wp:attachment":[{"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/media?parent=12593"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/categories?post=12593"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/tags?post=12593"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.riskinsight-wavestone.com\/en\/wp-json\/wp\/v2\/coauthors?post=12593"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}