L’un des éléments qui définissent notre environnement de travail est que la peur règne sur notre industrie. Réfléchissez à l’hypothèse suivante à laquelle nous adhérons en tant que responsables de la cybersécurité : la conviction omniprésente que le pire est sur le point de se produire. Si notre réseau n’est pas en train d’être piraté en ce moment même, les pirates sont au moins en train d’acquérir les informations dont ils ont besoin pour réaliser leur méfait. Nous commençons à craindre que toutes les nouvelles formes de cybercriminalité soient dirigées contre nos systèmes. Et, bien sûr, les vendeurs claironnent cette petite musique dès qu’ils nous voient.
La peur a orienté nos pratiques, a donné du pouvoir à nos fournisseurs et a empêché de nombreux responsables de la cybersécurité de réagir de manière rationnelle aux menaces réelles qui pèsent sur notre environnement.
Cette culture de la peur a créé des attentes qui n’ont pas grand-chose à voir avec la véritable cybersécurité. Répondre à ces attentes et à ces normes bi-naires, qui sont fondées sur le tout ou rien, absorbe un pourcentage énorme de notre temps et de nos budgets.
Comme le savent tous ceux qui vendent des produits de sécurité, la réussite financière est proportionnelle à la peur du consommateur. Quel fournisseur de sécurité pourrait vendre ses produits si le cyberespace était un endroit sûr ? Ce serait impossible, si bien qu’ils doivent augmenter le volume de leur discours diffusant la peur.
Pourquoi des personnes instruites et prospères dépensent-elles des millions de dollars en équipements de sécurité? À cause de la peur. Elles ont avalé la pilule de la peur et, en conséquence, elles dépensent de l’argent en dispositifs de sécurité pour leur maison, leur voiture, leurs animaux domestiques et leur famille. La peur fait vendre et la cybersécurité ne fait pas exception à cette règle.
Il n’est pas surprenant que nos craintes et nos hypothèses aient conduit les services de cybersécurité à se mettre continuellement à niveau en adoptant les dernières et les meilleures technologies de sécurité. Mais le paradoxe est que les fournisseurs n’ont pas intérêt à ce que nous réussissions. Leur succès dépend du degré d’insécurité que nous ressentons à l’égard de nos capacités de sécurité et de notre conviction que leurs produits nous apporteront ce qui nous manque prétendument.
En raison du message de peur continuel de l’industrie, nous pouvons nous laisser séduire et croire que nous avons besoin de plus de technologie pour protéger notre entreprise. Les fournisseurs nous ont convaincus que non seulement nous avons besoin de plus de technologie, mais qu’il nous faut la dernière technologie pour être vraiment en sécurité. Comme les outils de sécurité sont coûteux, nous demandons des budgets plus importants. Et comme la multiplication des outils nécessite un accroissement du personnel pour les gérer, ou au moins les surveiller, nous réclamons donc plus de main-d’œuvre.
Au fil du temps, nous nous sommes égarés. Notre prise de décision a été dévoyée, et nous avons fini par avoir une architecture et des outils de sécurité qui sont difficiles à gérer. Nos outils sont pour la plupart autonomes et « les meilleurs de leur catégorie », mais bien peu s’intègrent à d’autres outils si votre équipe ne s’en occupe pas. Notre architecture est excessivement complexe et n’a souvent aucun sens, car elle ne répond pas aux véritables menaces qui pèsent sur nos entreprises. Il n’est donc pas étonnant que des centaines de fournisseurs viennent frapper à notre porte chaque jour pour nous vendre davantage de produits, dont nous avons besoin, prétendent-ils.