Thème 4 : Attribuer les rôles-clés : répartissez les responsabilités

De tout temps, pour qu’une communauté humaine fonctionne efficacement, des rôles ont été attribués à ses différents membres, pour que chacun ait sa propre spécialisation et ses propres responsabilités. On évite ainsi que les uns et les autres réalisent les mêmes tâches, au risque de se marcher sur les pieds.

Au Moyen Âge, certains s’occupaient des travaux d’entretien, d’autres étaient assignés à la trésorerie, d’autres encore étaient recrutés dans l’armée, etc. On imaginait difficilement un trésorier jouant le rôle d’un chevalier, et inversément.

C’est la même chose dans votre entreprise. En tant que PME, vous avez probablement externalisé toutes ou certaines de ces fonctions, par manque de ressources internes, mais quelqu’un s’occupe de votre comptabilité, quelqu’un d’autre prend en charge votre approvisionnement en matières premières (selon votre secteur), une autre personne gère votre communication, etc.

Vous l’aurez compris, cette répartition des rôles implique aussi que certains ont plus de responsabilités que d’autres. Ils ont un « rôle-clé », particulièrement pour ceux qui ont des responsabilités en matière de sécurité.

Imaginez que toutes les clés du château fort, y compris celle de la salle aux trésors, soient confiées à un gardien-chef et stockées au même endroit. Le seigneur du château a tout intérêt à veiller à ce que ce gardien-chef réalise bien ses tâches et à ce que personne de malintentionné ne puisse accéder à ces clés.

Votre administrateur IT , qui est probablement externe à votre organisation, est un peu comme votre gardien-chef en matière de cybersécurité : il dispose potentiellement de toutes les clés (numériques) de votre entreprise.

C’est pourquoi il importe de prendre des mesures supplémentaires le concernant, afin de sécuriser les accès dont il dispose mieux encore que les autres. Les comptes administrateurs sont, en effet, la cible préférée des hackers .

Outre l’ administrateur IT , deux autres rôles-clés restent à distribuer pour que votre cybersécurité soit optimale : le conseiller en sécurité de l’information et le délégué à la protection des données .

Bien sûr, il peut s’agir d’une seule personne qui prendra les trois casquettes ou de trois personnes distinctes (internes ou externes), selon vos possibilités. Tout ce qui compte, c’est que la/les personne(s) qui endosse(nt) ces rôles aient les compétences nécessaires. Veillez-y !