Oui sur le principe, mais comment faire? Une étude réalisée auprès de plus de 200 professionnels IT en charge du maintien de la conformité de leur entreprise de plus de 2 000 salariés, dans les secteurs de la santé, de la vente au détail et des services financiers, révèle qu’ils doutent quasiment tous de leur capacité à optimiser la gouvernance et à gérer le risque et la conformité.
L’étude -commandée par Dell Software à Dimensional Research- confirme que les obligations GRC (Governance, Risk, Compliance) sont très difficiles à comprendre et, surtout, à maintenir -notamment dans les secteurs réglementés où les équipes chargées de la conformité et celles responsables de la sécurité fonctionnent souvent indépendamment l’une de l’autre.
Interrogés sur les causes principales de la difficulté à tenir ces objectifs GRC, les sondés citent d’abord l’insuffisance d’effectifs (à 59%) et l’explosion des volumes de données (à 49 %). 83% des sondés pensent d’ailleurs que la sécurité de leur entreprise gagnerait à la mise en commun des renseignements des équipes sécurité et conformité.
D’une manière générale, les entreprises doutent de leur capacité à collecter l’ensemble des données dont elles ont besoin pour maintenir leur conformité aux normes réglementaires et beaucoup n’ont pas de processus cohérent de gestion des volumes de données réglementaires nécessaires.
Moins de 50% des sondés appliquent une approche proactive d’analyse et d’ajout des sources de données et de suppression de celles devenues obsolètes, ce qui expose une grande part des entreprises qui se pensent conformes et protégées à davantage de risques pour leur sécurité.
Pour qu’une stratégie GRC soit efficace, analyse Dell, il faut que les équipes de sécurité et celles chargées de la conformité collaborent étroitement et qu’elles se partagent leurs informations. C’est ainsi que l’organisation pourra maintenir sa conformité en permanence, qu’elle saura se protéger au maximum contre les failles et les tentatives de violation et, enfin, qu’elle réagira au mieux en cas de compromission de ses données.