L'approche orientée contrôle de la sécurité crée des frictions et limite la valeur commerciale, selon Info-Tech Research Group

Info-Tech Research Group affirme dans un récent rapport que de nombreuses organisations conçoivent leurs programmes de sécurité en se concentrant sur les contrôles plutôt que sur les services métier que ces contrôles sont censés prendre en charge. Cette approche engendre souvent des frictions et réduit la valeur commerciale réelle tirée des investissements en sécurité.

Le document de référence du cabinet de recherche, "Build Security Services for Business Value", souligne que lorsque les contrôles de sécurité sont mis en œuvre sans contexte clair, sans alignement ou sans résultats définis liés aux opérations commerciales, ils ont tendance à perturber les flux de travail, à être contournés ou à être sous-utilisés.

Diana MacPherson, directrice de recherche chez Info-Tech, a déclaré : « La sécurité qui n'est pas conçue dans le contexte de l'entreprise aura toujours du mal à gagner du terrain ». Elle a ajouté que les RSSI doivent déplacer leur attention des contrôles vers un discours orienté service qui articule clairement le but, les parties prenantes et la valeur.

Cette déconnexion érode la confiance et rend difficile la justification des dépenses de sécurité, entravant ainsi la capacité de l'organisation à maintenir des pratiques de sécurité efficaces. Le rapport présente un cadre en trois phases conçu pour aider les responsables de la sécurité à définir, aligner et opérationnaliser les services de sécurité afin de mieux soutenir les objectifs commerciaux.

Ce cadre vise à aider les responsables de la sécurité à articuler les coûts et les avantages de leurs services, améliorant ainsi leur capacité à obtenir les financements nécessaires et à démontrer une valeur tangible aux parties prenantes de l'entreprise.