Bruce McCully, directeur de la sécurité, Galactic Advisors
Les organisations de tous types sont confrontées à un éventail varié et sans cesse croissant de menaces graves à mesure qu'elles déploient davantage de technologies — et deviennent ainsi de plus en plus dépendantes de celles-ci. Ces menaces comprennent les ransomwares, le vol de données, les actes malveillants commis par des initiés et le non-respect des obligations réglementaires en matière de protection des informations client. Chaque organisation doit donc se prémunir contre ces menaces si elle veut survivre et prospérer.
Il existe toutefois au moins trois obstacles qui se dressent entre toute organisation et son objectif de maintenir une défense raisonnablement efficace contre les menaces qui la mettent en danger :
- Les organisations ne disposent pas encore des outils, des processus et des politiques nécessaires
- On constate une pénurie mondiale de personnes possédant les compétences et l'expérience dont les entreprises ont besoin
- Les organisations ne disposent d'aucun responsable au niveau de la direction pour coordonner leurs efforts en matière de gestion des risques
Ces obstacles constituent évidemment une formidable opportunité pour les MSP. Si vous êtes en mesure d'aider les entreprises à réduire leurs risques en leur fournissant les solutions de sécurité et de conformité dont elles ont besoin, vous pourrez développer votre activité grâce à des sources de revenus récurrentes et à des marges confortables.
La plupart des MSP se concentrent toutefois uniquement sur les deux premiers points ci-dessus. Ils s'appuient sur leurs partenaires technologiques de choix pour fournir les capacités de sécurité dont leurs clients ont besoin, et ils recrutent les meilleurs talents possibles pour mener à bien les missions demandées par leurs clients : gestion des vulnérabilités, réponse aux incidents, tests d'intrusion, etc.
Malheureusement, à mesure que de plus en plus de MSP se lancent à la conquête des opportunités commerciales représentées par les deux premiers points, le marché de ce type de services de maintenance de sécurité devient de plus en plus concurrentiel et se banalise. Cette banalisation signifie que les MSP sont de plus en plus contraints de se livrer à une concurrence sur les prix.
Chaque MSP se trouve donc confronté à un choix :
- Essayez de vous développer en misant sur les prix pour conquérir une plus grande part d'un marché caractérisé par de faibles marges et un taux de rotation élevé.
-ou-
- Progresser dans la chaîne de valeur pour répondre au troisième point ci-dessus, ce qui permettra de se démarquer de la concurrence, d'atteindre des marges plus élevées et de préserver plus efficacement les relations avec les clients sur le long terme.
Si vous souhaitez opter pour la deuxième solution, c'est le moment de le faire. Pour cela, il vous suffit de mettre en place un programme de responsable de la sécurité virtuel (vCSO).
Qu'est-ce qu'un vCSO ?
Un vCSO est un conseiller de confiance capable de comprendre les risques, d'en discuter et de les gérer de manière proactive au niveau de la direction. Si vous décidez de mettre en place un programme vCSO, vous offrirez à vos clients actuels et à vos prospects plusieurs avantages à forte valeur ajoutée qui ne font pas partie de l'offre de sécurité classique des MSP.
Ces avantages comprennent :
Une approche proactive et stratégique pour atténuer les risques organisationnels
Les MSP du secteur de la sécurité gèrent les tâches techniques quotidiennes dont leurs clients ont besoin pour éviter d'être victimes de piratage, de ransomware, d'attaques DDoS ou de sabotage interne. Mais les organisations ont besoin de plus que cela. Elles ont besoin de quelqu'un pour traiter la question plus large des risques commerciaux — notamment les risques opérationnels, financiers, de réputation, réglementaires et juridiques — et déterminer comment ceux-ci doivent être atténués, acceptés, transférés ou évités complètement. Un vCSO joue ce rôle crucial.
Intégrer les risques liés à la sécurité et à la conformité dans la prise de décision au niveau de la direction
Un vice-président des ventes évalue un outil de réalité virtuelle innovant pour faire entrer les présentations commerciales de son entreprise dans leXXIe siècle. Un directeur financier envisage un contrat d’externalisation des installations qui pourrait faire économiser des millions à son entreprise au cours des cinq prochaines années. Sans responsable de la sécurité, ces dirigeants prendront probablement ces décisions sans tenir pleinement compte de l’impact potentiel sur la surface d’exposition aux menaces de leur entreprise — et, par extension, des nouveaux risques qui en découlent. Résultat : les équipes de sécurité, informatiques et autres parties prenantes opérationnelles devront réparer les dégâts qu’ils auront causés une fois coup.
En revanche, en pouvant compter sur un vCSO comme conseiller de confiance, à égalité avec eux, les décideurs de haut niveau peuvent éviter les coûts imprévus, les dangers insoupçonnés et les retards dans les étapes clés du projet, en tenant compte de manière beaucoup plus avisée des implications potentielles de leurs décisions en matière de risques avant de les prendre.
Tirez le meilleur parti de vos ressources internes et externes
En tant que MSP spécialisé dans la sécurité, votre travail consiste à faire de votre mieux avec le budget qui vous est alloué. Mais vous n'avez peut-être que peu, voire aucune visibilité ni aucun contrôle sur toutes les autres réalités qui influent sur la posture de risque de vos clients. Combien investissent-ils dans la formation des employés en matière de sécurité et de conformité ? Comment identifient-ils les employés dont les comportements pourraient, par inadvertance, les exposer à des risques évitables ? Disposent-ils d'un plan de communication interne et externe adéquat ? Ont-ils consacré le temps et les efforts nécessaires pour mener un exercice de simulation vraiment réaliste qui permettra de s'assurer que leur plan est viable — et que tout le monde comprend réellement ce qu'il devra faire si et quand les problèmes surgissent ? Les MSP ne peuvent guère faire plus que formuler des suggestions ponctuelles sur ces questions. Les vCSO aident les organisations à hiérarchiser de manière appropriée ces affectations essentielles de temps, d'efforts et de budget. Et ils sont bien rémunérés pour cela.
Un profil d'assurabilité nettement amélioré
L'assurance est un élément clé de la stratégie de gestion des risques de toute organisation. Mais les compagnies d'assurance appliquent des critères très stricts pour déterminer 1) les primes et les franchises d'une organisation, 2) les limites de couverture et les exclusions, et 3) si elles souhaitent ou non souscrire une police. L'un des éléments courants de leur liste de contrôle de souscription est la direction exécutive d'un programme de gestion des risques. Le fait de disposer d'un MSP ne répond pas à ces critères de souscription. Le fait de disposer d'un CSO, en revanche, le peut.
Impact positif sur les tableaux de bord d'audit et de conformité
Le même principe s'applique aux audits réglementaires et autres évaluations des risques par des tiers. Le fait de disposer d'un responsable de la sécurité (CSO) obtient un score bien supérieur à celui d'une gestion des risques placée sous l'égide d'un directeur financier (CFO) ou d'un directeur informatique (CIO) ayant d'autres responsabilités principales. En effet, si une organisation est confrontée à un problème de conformité, le fait de disposer d’un CSO capable de documenter et d’attester de la diligence raisonnable de l’organisation peut faire la différence entre un simple avertissement et une sanction sévère — car les régulateurs établissent une distinction très claire entre les défaillances survenant malgré les meilleurs efforts de l’organisation et celles qu’ils peuvent raisonnablement attribuer à une négligence et/ou à des lacunes dans la supervision de la direction. Éviter ce dernier cas, ne serait-ce qu'une seule fois, peut à lui seul justifier le coût total d'un programme de vCSO.
En résumé : le recours à un vCSO permettra à vos clients de bénéficier des avantages commerciaux essentiels offerts par un CSO, sans avoir à supporter les coûts élevés ni les difficultés considérables liés à la recherche, au recrutement, à l'embauche et à la fidélisation d'un CSO en interne.
Pour commencer
Le marché du vCSO connaît une croissance rapide en raison d'une forte demande et d'une offre limitée. Vous avez donc tout intérêt à lancer votre programme vCSO le plus tôt possible.
Mais il y a plusieurs choses que vous devrez faire pour vous lancer. D'une part, vous devrez vous former à aborder les risques de manière stratégique, plutôt que de vous contenter d'évoquer les menaces et les contre-mesures de manière tactique. D'autre part, vous devrez enrichir votre portefeuille de prestations de capacités supplémentaires liées à la conformité. Et, bien sûr, vous devrez mettre en place un processus de vente efficace et reproductible pour identifier les prospects, évaluer leurs besoins, adapter vos propositions de vCSO et transformer ces propositions en contrats signés.
Le meilleur point de départ est sans doute votre clientèle actuelle. Il s'agit d'entreprises qui vous connaissent déjà et vous font confiance. Et comme vous les connaissez déjà, vous avez très certainement une bonne idée des avantages qu'elles pourraient tirer d'une collaboration avec un vCSO.
Parallèlement, vous devriez également vous fixer comme priorité d'inclure une offre vCSO dans vos propositions destinées aux nouveaux prospects. Cette offre peut vous aider à mieux vous démarquer de vos concurrents qui ne proposent que des prestations informatiques et de sécurité de base. De plus, si vous structurez correctement votre proposition, une offre vCSO peut même vous aider à conclure des contrats pour ces prestations informatiques et de sécurité de base, même lorsque vous vendez à des prospects qui, dans un premier temps, refusent ou reportent votre proposition d'engagement vCSO complet.
Chez Galactic Advisors, nous sommes spécialisés dans l'accompagnement des MSP dans leur transition, certes difficile mais lucrative, d'une offre de services informatiques et/ou de sécurité gérés vers une offre intégrée de services informatiques, de sécurité et de conformité , des services de vCSO. Si vous avez besoin d'aide dans ce domaine, n'hésitez pas à nous contacter. Nous disposons des outils, de la formation et de l'expérience nécessaires pour vous permettre de gravir les échelons de la chaîne de valeur plus rapidement, plus facilement et avec plus de succès.
D'ailleurs, si vous souhaitez vous lancer sans attendre, vous pouvez vous inscrire dès maintenant à l'atelier vCSO Accelerate qui aura lieu le 21 octobre. À l'issue de cet atelier unique et très enrichissant, vous disposerez d'un programme vCSO complet, avec des rendez-vous déjà fixés, ce qui vous permettra de commencer immédiatement à mener vos premières missions vCSO.
Cliquez simplement sur ce lien pour en savoir plus.
Cet article est sponsorisé.
