Le GDPR via CyberManager et, par-delà, une vue de la résilience
Labgroup propose CyberManager, solution d’Ubcom, pour évaluer en cinq heures la maturité et la résilience d’une organisation. Un plan d’action pragmatique, à effets immédiats.
Le temps des réflexions est passé. Le 25 mai prochain, le GDPR, le nouveau règlement européen sur la protection des données personnelles entrera en application. Peu d’organisations seront prêtes. Concrètement, peu seront passées du ‘quoi’ au ‘comment’ du projet.
«Avec CyberManager, nous proposons un outil d’assessment permettant aux responsables d’entreprise d’évaluer en cinq heures -pas plus- le niveau de maturité et la résilience de leur organisation et du systèmes d’information face aux cyber-risques et aux contraintes légales du GDPR, explique Frans Imbert-Vier, CEO, Ubcom. Pour nous, le GDPR n’est pas la finalité, mais une étape majeure pour renforcer la confiance digitale, laquelle est absolument nécessaire pour générer de la croissance. CyberManager permet de fournir un schéma directeur solide -pas un label de conformité. Nous engageons l’entreprise dans un processus pragmatique de progression permanente et immédiatement opérationnel.»
Si le temps presse, il ne s’agit pas pour autant de dramatiser. Mais plutôt de s’engager sereinement dans un processus de longue haleine. Au ‘quoi’, qui a mobilisé beaucoup d’énergie -notamment à travers une surenchère de séminaires et de formations- Labgroup et Ubcom opposent donc le ‘comment’ du GDPR par la mise en place d’un système d’évaluation sincère, véritable outil d’analyse et de progression.
«Ce règlement est un momentum, une étape positive permettant d’améliorer l’équilibre de la confidentialité et la protection des données entre les particuliers et les entreprises, ainsi que les pratiques de gestion des données et la sécurité globale pour toutes les parties concernées», analyse Jean Racine, Chief Business Development Officer, Labgroup.
Un outil sous forme de 360 questions
Le GDPR, en tant que règlement, est d’application plus générale que les différents standards connus dans le monde de la sécurité et nécessite une approche multidimensionnelle. Préliminaire, un état des lieux. Une entreprise part rarement, si ce n’est jamais, de zéro, et peut généralement capitaliser sur ses réalisations passées et projets en cours.
A travers les 360 questions de CyberManager, le champ d’investigation dépasse le cadre du règlement. S’il est important -capital même- de s’y conformer, il s’agit de voir par-delà la résilience de l’entreprise. Pour les organisations qui l’ont mis en oeuvre, le schéma directeur qui en découle permet d’accéder à une visibilité jamais atteinte du système d’information.
«Pour tout dire, il est rare qu’on sorte indemne de cet exercice. Le comité de direction, qui est appelé à répondre au questionnaire, prend tout de suite conscience de l’état du système d’information et les conséquences sur la bonne conduite de l’entreprise, poursuit Laurent Grill, CEO, Ubcom Benelux. Les faiblesses mais aussi les forces -qu’ils soient légaux, opérationnels ou de réputation- apparaissent immédiatement. C’est donc aussi un incroyable incentive.»
Et de poursuivre : «Le fait d’impliquer le comité de direction dans ce parcours mobilise toute l’organisation. Chacun est appelé à répondre, à échanger, expliquer, voire comprendre. C’est plus engageant que confier une analyse de risque à un cabinet de conseil qui se contentera de remettre un rapport, lequel trouvera place sur une pile d’autres rapports !»
De même, ce n’est pas un projet «one-shot» avec une fin -mai 2018- mais une opportunité de se doter d’une vision durable tant stratégique qu’opérationnelle de la sécurité. Techniquement parlant, la conformité GDPR passe d’abord par la découverte et la classification de ses données sensibles. C’est le fondement de CyberManager, solution d’analyse d’écart basée sur les plus grands référentiels tels que ISO, COBIT 5, Sarbannes-Oxley et UBcyber… Pour Ubcom, d’ailleurs, le GDPR n’est rien d’autre qu’un marqueur de confiance pour les entreprises conformes, un marqueur de plus.
«Avec notre questionnaire d’évaluation, nous mesurons votre maturité relative au respect du cadre juridique, mais aussi de la gouvernance générale en rapport avec le règlement, du social engineering et, enfin, de la conformité technique et opérationnelle pour opérer une donnée relevant du nouveau règlement.»
Faire progresser l’organisation
Labgroup est aujourd’hui le premier prestataire indépendant à proposer un assessment via CyberManager. Si le questionnaire est adapté à la conformité GDPR, la démarche doit être vue de façon plus globale : une évaluation du niveau réel de maturité de l’organisation en termes de gouvernance de l’information et de sa résilience.
«Et si ça peut parfois faire mal, conclut Jean Racine, dites-vous bien que nous ne sommes pas là pour casser l’organisation à travers un jugement, mais pour la faire progresser via un ensemble d’indicateurs appelés à créer de la valeur.»
La conformité GDPR nous entraîne à explorer la résilience de l’entreprise, et donc à considérer sa culture de la sécurité. En ce sens, CyberManager est un levier d’amélioration de la sécurité de l’entreprise; nous cherchons à renforcer sa résistance, ce qui va accroître la confiance des clients, mais aussi des actionnaires et, bien sûr, des collaborateurs. A la clé, aussi, une plus grande agilité et une plus grande flexibilité au profit de l’ADN de l’entreprise.
C’est la direction qui passe en revue la situation, qui répond; pas les consultants, lesquels se contentent de conduire l’entretien et piloter l’outil. L’objectif n’est pas de sanctionner, mais de responsabiliser. L’approche est très fine, les réponses pouvant être pondérées. L’outil, qui a déjà fait ses preuves dans différents environnements, tient compte du facteur humain. A la clé, une photographie au moment ‘t’. Et une liste d’actions -priorisée- à prendre.
La prestation de Labgroup est proposée à un prix forfaitaire -6.000 euros- particulièrement attractif, laquelle comprend la préparation du workshop, la réalisation avec deux consultants seniors, le rapport de synthèse et un dernier rapport de restitution.
