Avec un budget limité, comment un RSSI doit-il décider de ce qu'il finance ?
Réponse courte
Les dépenses de sécurité doivent suivre le risque, pas l'effet de mode : utiliser une analyse de risque pour orienter l'argent là où l'impact métier et la probabilité sont les plus élevés et où la couverture des contrôles actuels est la plus faible, puis mesurer la réduction obtenue. Acheter ce que vend le fournisseur à la mode ignore votre profil de menace réel et finance souvent des outils inutilisés. Répartir le budget également sous-finance les rares domaines qui comptent le plus. Copier les concurrents suppose que leur profil de risque égale le vôtre, ce qui est rarement le cas.
Tout RSSI travaille sous contrainte budgétaire. Le scénario teste si les décisions de dépense sont ancrées dans le risque réel de l'organisation ou dans le bruit — marketing des fournisseurs, mimétisme, ou un sens malavisé d'équité entre catégories d'outils.
Pourquoi prioriser par le risque est correct
Un budget défendable est le résultat d'une analyse de risque. On estime la probabilité et l'impact métier de chaque risque, on superpose la couverture des contrôles actuels et l'on trouve où l'écart est le plus grand — forte probabilité × fort impact, faiblement défendu. C'est là que l'euro suivant achète le plus de réduction de risque. Surtout, on mesure ensuite le résultat : le temps de détection a-t-il baissé, l'exposition a-t-elle diminué, le risque résiduel s'est-il rapproché de l'appétit ? Le budget devient ainsi une boucle de rétroaction que le conseil peut gouverner, et chaque ligne se défend par « ceci réduit ce risque de tant ».
Pourquoi les autres options échouent
- Acheter ce que vend le fournisseur populaire. La popularité du marché n'est pas votre profil de risque. Cela finance des capacités dont vous n'avez peut-être pas besoin tout en laissant vos vraies failles ouvertes, et c'est ainsi que naissent les outils coûteux inutilisés.
- Dépenser également dans chaque catégorie. Une répartition égale paraît juste mais est irrationnelle : elle sous-finance les rares domaines à fort risque pour subventionner ceux à faible risque. Le risque n'est jamais réparti uniformément, la dépense ne devrait donc pas l'être non plus.
- Financer uniquement ce qu'ont acheté les concurrents. Les concurrents ont d'autres actifs, menaces et architectures. Copier leur arsenal suppose que leur risque égale le vôtre — et vous héritez de leurs angles morts.
Ce que l'examinateur cherche
Il veut entendre une priorisation pilotée par le risque et mesurable — pas une liste de souhaits d'outils, ni un parangonnage entre pairs en guise d'analyse. La bonne réponse relie les euros à la probabilité, à l'impact et aux écarts de contrôle, et boucle la boucle en mesurant la réduction. Le candidat faible se rabat sur ce qui est populaire ou « équilibré », ce qui semble prudent mais répartit systématiquement mal des fonds rares.
Questions de suivi probables
- Comment démontreriez-vous la réduction de risque réellement obtenue par un investissement donné ?
- Comment traitez-vous un risque à fort impact mais faible probabilité face à un risque à faible impact mais forte probabilité, avec un budget serré ?
- Quand est-il rationnel d'accepter un risque plutôt que de dépenser pour le réduire ?