\u00c0 quoi diable pensaient-ils ? C’est ce que nous – et d’autres experts en s\u00e9curit\u00e9 – nous demandions lorsque le g\u00e9ant du contenu Patreon a r\u00e9cemment licenci\u00e9 toute son \u00e9quipe interne de cybers\u00e9curit\u00e9 en \u00e9change de services externalis\u00e9s.<\/p>\n
Bien s\u00fbr, nous ne connaissons pas les v\u00e9ritables motivations de ce mouvement. Mais, en tant qu’observateurs ext\u00e9rieurs, nous pouvons deviner que les implications de la d\u00e9cision sur la cybers\u00e9curit\u00e9 seraient in\u00e9vitables pour toute organisation.<\/p>\n
Virez l’\u00e9quipe interne et vous prenez un risque \u00e9norme<\/h2>\n
Patreon est un site de cr\u00e9ation de contenu qui g\u00e8re des milliards de dollars de revenus. Pour des raisons que nous ignorons, Patreon n’a pas licenci\u00e9 seulement quelques membres du personnel ou un cadre interm\u00e9diaire. Non : l’entreprise a licenci\u00e9 toute son \u00e9quipe de s\u00e9curit\u00e9. <\/p>\n
C’est une grande d\u00e9cision aux cons\u00e9quences importantes car elle entra\u00eene une perte incalculable de connaissances organisationnelles. Au niveau technique, il s’agit d’une perte de connaissances g\u00e9n\u00e9rales sur les interd\u00e9pendances profondes des syst\u00e8mes que les experts en s\u00e9curit\u00e9 interne ne feront que “conna\u00eetre” et accumuleront au fil du temps. Des connaissances rarement \u00e9crites.<\/p>\n
Virez l’\u00e9quipe, et toutes ces connaissances ont disparu. Peut-il \u00eatre reconstruit ? Peut-\u00eatre, mais au milieu d’une crise, combien de temps faudra-t-il \u00e0 une \u00e9quipe externe pour comprendre les choses\u00a0? Tout le monde peut deviner, mais ce ne sera pas facile.<\/p>\n
Le \u00ab\u00a0buy-in\u00a0\u00bb et le \u00ab\u00a0maintenant\u00a0\u00bb<\/h2>\n
Il y a deux autres choses dont il faut s’inqui\u00e9ter lorsque l’on consid\u00e8re les \u00e9quipes internes par rapport aux \u00e9quipes externalis\u00e9es et que l’on licencie votre \u00e9quipe interne. C’est du d\u00e9vouement et de la r\u00e9activit\u00e9.<\/p>\n
Quel que soit le niveau de connaissance d’un entrepreneur, un entrepreneur n’aura jamais le m\u00eame assentiment que celui que vous obtenez de votre employ\u00e9 interne qui g\u00e8re vos syst\u00e8mes dans votre entreprise. Apr\u00e8s tout, les entrepreneurs regardent un syst\u00e8me parce qu’ils sont sous contrat et ne s’int\u00e9greront jamais compl\u00e8tement dans la culture de l’entreprise.<\/p>\n
Cela affecte le d\u00e9vouement et la rapidit\u00e9 avec lesquels les probl\u00e8mes sont r\u00e9solus et l’investissement d’une \u00e9quipe dans la r\u00e9solution d’un probl\u00e8me. Oui, les SLA peuvent guider les normes de performance, mais lorsqu’il est important, en cas de crise, un SLA ne reproduira jamais le sentiment d’urgence du \u00ab\u00a0maintenant\u00a0\u00bb que vous avez avec une \u00e9quipe interne d\u00e9di\u00e9e. <\/p>\n
Bien s\u00fbr, les \u00e9quipes internes peuvent ne pas \u00eatre en mesure de r\u00e9soudre un probl\u00e8me instantan\u00e9ment. Pourtant, au milieu d’une crise de s\u00e9curit\u00e9, la derni\u00e8re chose que vous voulez est un groupe d’entrepreneurs surveillant l’horloge et partageant leur attention entre plusieurs clients.<\/p>\n
Oubliez le remplacement des talents perdus<\/h2>\n
Lors de la prise d’une d\u00e9cision importante comme celle-ci, un autre point \u00e0 consid\u00e9rer\u00a0: pouvons-nous revenir sur la d\u00e9cision si nous la regrettons\u00a0? Oui, avec suffisamment de temps, Patreon pourrait reconstruire les capacit\u00e9s et les connaissances qu’ils ont perdues. Mais l’entreprise peut-elle trouver le talent pour le faire ?<\/p>\n
L’acquisition de talents est un probl\u00e8me important sur le march\u00e9 de la technologie – retenir les talents est difficile et embaucher de nouveaux talents est encore plus difficile. Quoi qu’il en soit, il faudra des mois et des mois pour reconstruire un niveau de comp\u00e9tence mod\u00e9r\u00e9.<\/p>\n
Cela co\u00fbtera \u00e9galement tr\u00e8s cher, car les recrues prennent le temps de comprendre leur nouvel environnement et la fa\u00e7on dont ses subtilit\u00e9s diff\u00e8rent des autres environnements dans lesquels ils ont travaill\u00e9. Une grande partie de cela s’apprend par l’exp\u00e9rience – aucun manuel de “meilleures pratiques” ne peut le couvrir de mani\u00e8re approfondie.<\/p>\n
Le r\u00e9sultat net est-il comme pr\u00e9vu\u00a0?<\/h2>\n
Nous ne savons pas pourquoi Patreon a pris cette d\u00e9cision, mais cela pourrait \u00eatre une mesure de r\u00e9duction des co\u00fbts, la motivation courante de l’externalisation. Mais voici le probl\u00e8me\u00a0: investir dans une \u00e9quipe de cybers\u00e9curit\u00e9 interne qui ma\u00eetrise vraiment les choses est con\u00e7u pour vous faire \u00e9conomiser des co\u00fbts lorsque cela compte.<\/p>\n
Lorsque les syst\u00e8mes d’une organisation sont attaqu\u00e9s, une \u00e9quipe interne profond\u00e9ment enracin\u00e9e et hautement qualifi\u00e9e aura travaill\u00e9 pour emp\u00eacher une violation r\u00e9ussie. Tout ce travail acharn\u00e9, ce d\u00e9vouement et ces connaissances s’ajoutent \u00e0 des syst\u00e8mes hautement s\u00e9curis\u00e9s. <\/p>\n
C’est un d\u00e9fi pour la cybers\u00e9curit\u00e9 : lorsqu’une \u00e9quipe bien financ\u00e9e et motiv\u00e9e fait bien son travail, il n’y a rien \u00e0 montrer si ce n’est l’absence d’incidents. D’un autre c\u00f4t\u00e9, les incidents r\u00e9sultant d’une s\u00e9curit\u00e9 inad\u00e9quate fournie par un sous-traitant externe (moins cher\u00a0?) peuvent \u00eatre extr\u00eamement co\u00fbteux \u00e0 traiter et \u00e0 nettoyer. <\/p>\n
Mauvais pour la presse, mauvais pour les finances, mauvais pour la s\u00e9curit\u00e9<\/h2>\n
Y avait-il une raison valable autre que les \u00e9conomies de co\u00fbts pour licencier toute une \u00e9quipe interne de cybers\u00e9curit\u00e9\u00a0? Manque de comp\u00e9tence, risque interne, probl\u00e8mes interpersonnels, manque de communication ou incapacit\u00e9 \u00e0 atteindre les objectifs commerciaux\u00a0? Ce seraient toutes des raisons valables.<\/p>\n
Pourtant, m\u00eame s’il y a une raison valable, le r\u00e9sultat ne sera pas bon. La couverture m\u00e9diatique est mauvaise, car des changements massifs et soudains dans les r\u00e9gimes de cybers\u00e9curit\u00e9 envoient le mauvais signal. Cela, \u00e0 son tour, peut entra\u00eener une perte de confiance avec les cr\u00e9ateurs qui d\u00e9terminent les r\u00e9sultats de Patreon.<\/p>\n
Le risque le plus important est une d\u00e9faillance de la cybers\u00e9curit\u00e9. Le risque le plus important est une d\u00e9faillance de la cybers\u00e9curit\u00e9 lors du licenciement de toute une \u00e9quipe de s\u00e9curit\u00e9 interne. L’\u00e9quipe interne \u00e9tait-elle incomp\u00e9tente ? Peut-\u00eatre que la meilleure solution aurait \u00e9t\u00e9 de combiner les connaissances internes avec une expertise externe. <\/p>\n
Avec personne maintenant \u00e0 la barre, nous pensons que la d\u00e9cision de Patreon ne fonctionnera tout simplement pas bien pour ses efforts de s\u00e9curit\u00e9 et que le leur est un risque que cela ne fonctionne pas bien pour les cr\u00e9ateurs qui continuent de faire confiance \u00e0 Patreon pour leur contenu.<\/p>\n
La cybers\u00e9curit\u00e9 ne devient pas plus facile et trouver une aide ext\u00e9rieure r\u00e9put\u00e9e et fiable<\/a> ne devient pas plus facile non plus. Lorsque vous \u00e9valuez vos options, vous devez rev\u00e9rifier votre situation avant de vous engager dans une telle d\u00e9marche. M\u00eame si c’\u00e9tait la meilleure d\u00e9cision, la tache de r\u00e9putation serait difficile \u00e0 enlever.<\/p>\n <\/p>\n<\/div>\n