Crédit Agricole : une approche de la sécurité modernisée

Une approche global et opérationnelle

Surtout, Federico Garcia insiste : « la sécurité doit être opérationnelle » : « si on ne met pas en place des solutions qui nous protègent, c’est comme si l’on n’avait rien fait. Une politique de sécurité, une spécification technique n’ont jamais arrêté un malware ».

C’est donc tout l’esprit du programme CANOES, pour « Crédit Agricole Nouvelle Orientation En Sécurité », un programme qui se traduit dans l’organigramme afin d’adapter la gouvernance. Avant, le RSSI était rattaché au contrôle permanent, « ce qui l’amenait à faire beaucoup de tableaux de bord et de politiques de sécurité », mais pas peser véritablement sur la « stratégie de sécurité opérationnelle ». Désormais, le RSSI est sur un pied d’égalité avec le DSI et a été repositionné dans « un rôle beaucoup plus concret et opérationnel », explique Federico Garcia. Pour autant, la DSI garde la responsabilité de la sécurité des services informatiques qu’elle fournit, ce qui se matérialise en son sein par la présence du RSI, le responsable de la sécurité informatique.

La sécurité de l’information se trouve au final abordée suivant sept axes : la communication et la sensibilisation – des utilisateurs, mais aussi des administrateurs et des développeurs ; la protection des données ; celle des infrastructures critiques ; la reconstruction des données ; la gestion de crise – « une crise cyber n’est pas une crise comme les autres » ; les exercices d’exploration/évaluation. Mais aussi et surtout : les capacités de détection/réaction. Celles-ci sont couvertes par un « projet intègre très ambitieux » – qui avance « difficilement », concède Federico Garcia, soulignant la complexité du sujet – de maillage « de l’ensemble du groupe par un ensemble de centres de sécurité opérationnelle ». Des SOC, éléments clé d’une approche, justement, opérationnelle de la sécurité – dont il sera important de ne pas exclure les éventuels services Cloud déployés au sein du groupe.

Sanctuariser les budgets

Mais adopter une stratégie de sécurité est une chose ; sécuriser les budgets nécessaires à sa mise en œuvre, à long terme, en est une autre. Comme le souligne avec une pointe d’humour Federico Garcia, le jour où l’on établit la stratégie, « tout le monde est partant ». Le jour suivant, lorsqu’il s’agit de discuter des budgets, l’enthousiasme est moins prononcé… « Nous avions besoin sortir de ce cercle vicieux ». D’où une approche proactive de sanctuarisation du budget sécurité du système d’information, jouant sur la planification, avec le programme CARS – « Crédit Agricole Renforcement de la Sécurité » – qui permet justement d’anticiper et de programmer à l’avance les investissements qui seront nécessaires à la concrétisation de la nouvelle stratégie de sécurité du groupe bancaire.