C.A. : sortez couvert

Le préservatif masculin offre une excellente protection contre les infections sexuellement transmissibles, y compris l’infection par le virus du sida. Celle-ci n'est toutefois pas absolue … et certains hommes sont gênés par la pose ou le port du préservatif masculin dans leurs sensations (diminution de sensibilité) ou leur perception érotique du rapport sexuel. (source Le Figaro Santé).

Le saviez-vous et adhérez-vous à ce message ? Bien sûr et vous vivez avec cette information depuis les années 90. D’ailleurs, vous passez tant bien que mal cette information à vos rejetons qui sortent du nid. Cool !

La sécurité informatique offre une excellente protection contre les infections transmissibles, y compris l’infection par les virus. Celle-ci n'est toutefois pas absolue … et certains Hommes sont gênés par la pose ou le port d’une sécurité élémentaire dans leurs échanges (source de fuite).

Cette introduction volontairement piquante, pour vous rappeler que cela vous concerne si vous êtes « Board member ». Vous ne l’avez à priori pas encore intégré dans vos habitudes informatiques journalières ! Pour preuve, le dernier rapport « 2013 Thomson Reuters Board Governance Survey »  qui mentionne que 79% des organisations utilisent des comptes de messagerie personnels hackables et hackés, tels que Gmail et Hotmail, pour distribuer les documents de Conseil d’Administration. Le rapport précise aussi que près de la moitié n’utilisent aucun moyen de cryptage des communications du conseil d'administration et que seuls quelques 13% des membres ne vont pas le reprendre sur un laptop privé ou une tablette personnelle.

PwC ajoute dans un rapport (source : Key considerations for board and audit committee members - December 2013) qu’avec le nombre et la fréquence des attaques croissantes, la cybersécurité est devenue aujourd'hui une question prioritaire pour les conseils d’Administration.

Pour établir ce constat, il suffit de comprendre que vous êtes le candidat parfait pour le prochain viol cyber sécuritaire. En effet, le patrimoine informationnel de l’entreprise est à portée de main. Vous êtes souvent une personne externe à l’entreprise (inconnue du réseau local sécurisé par l’informatique professionnelle) avec laquelle il y aura un grande quantité d’échanges hautement confidentiels.

Membre d’un CA, membre de plusieurs autres, vos entrées multiples attirent les convoitises et la visibilité. De facto, vous disposez d’une kyrielle de mots de passe (comptez-les, vous dépasserez les 30) alors ils sont simples ou faibles ou identiques pour pouvoir les retenir … votre mémoire a des limites… ou alors est-ce la taille du post-it sur lequel vous les recensez (sic !). D’ailleurs, pour vos échanges sensibles, vous utilisez des systèmes qui ne sont pas dotés d’authentification forte… quelle contrainte ! Vous avouez que le cloud Dropbox ou Gmail vous a séduit par sa simplicité, vous n’imaginiez pas qu’on regarde vos données à votre insu avant le scandale NSA-Snowden. Finalement, votre exposition au risque est accrue par des voyages à l’étranger, les réseaux sur lesquels votre iPad se connecte sont multiples et non fiables.

Accablant…oui !

Et de comprendre que le profil d’un conseil d'administration moderne représente un défi complexe. De nombreuses entreprises ont des membres de leur CA siégeant sur plusieurs conseils à travers le monde. Avec des réunions mensuelles ou trimestrielles, cela crée un besoin d’échanges d'un énorme volume de documents à l'appui de CA.  Et en cas de fuite, au-delà de la sphère juridique, les risques seront considérables et iront jusqu’à l'interruption d'activité, la fermeture de services, des pertes financières si l'information est compromettante, une atteinte à la réputation qui peut mener à la perte de confiance des clients. Bref, des conséquences qui sont majeures et qui peuvent être de durée beaucoup plus longue que la violation réelle.

Simple constat pourtant, jamais le sujet de la confidentialité n’a été à ce point discuté et débattu, et pour causes. L’asymétrie de l’information est totale : chacun profite des services gratuits offerts par l’électronique et l’informatique moderne. Elle est gratuite sur Google, LinkedIn, Dropbox et ces derniers savent très bien que nos informations collectées sont à la source de leur création de richesse. Le quidam non averti n’a aucune idée des informations qu’il livre, il ne sait pas quand il les donne, qui les collecte, pour combien de temps, pour quel profit, quel but… nul ne sait ce que nous prépare l’accumulation de données (souvent personnelles) sans aucun précédent.

Alors il est temps de se reprendre et de considérer qu’en 2014, les questions de confidentialité numérique doivent être considérées comme une question majeure d’évaluation des risques dans la gestion des conseils d'administration. J’ai bien dit confidentialité…pas sécurité. La confidentialité est le caractère de ce qui est dit ou écrit en secret, elle peut être vue comme une pierre angulaire de la sécurité.

Si cette nuance n’est pas évidente (différence entre sécurité et confidentialité), méditez sur l’exemple récent qui a fait grand bruit chez nos voisins. Un président français normal est toujours en sécurité, suivi par des gardes du corps. Par contre, l’actualité démontre que sa confidentialité est médiocre depuis les photos de la rue du Cirque… et c’est la presse à scandales qui le dévoile.

Mais revenons à notre Conseil. Ce n’est pas seulement le point de vue informatique, la mise en place du bunker sécuritaire (une absence de danger de l’extérieur), qui va vous permettre d’être on the SAFE side.

Safe… Tiens, parlons-en des coffres. Plus précisément des coffre-forts numériques. C’est une richesse méconnue de notre pays. La législation luxembourgeoise sur la confidentialité des données n’impose pas de limite quant au niveau de cryptage des données (« L’usage des techniques de cryptographie est libre »). C’est exceptionnel au monde, il faut le souligner !

Et de constater que la notion de secret et les espaces de réelle confidentialité sont peu développés dans un monde où, vu de l’étranger, le secret luxembourgeois est vite associé à la fraude ou a quelque chose de menaçant. Depuis le choc du 11 septembre, on nous formate à considérer le secret comme une menace, on nous « Patrioct Actise ». Et de rappeler que le secret est une stratégie de protection porteuse d’égalité. Je prendrai pour exemple la notion de vote. Le vote est secret… il est dès lors l’ennemi des totalitarismes. Rappelons également que la Déclaration universelle des droits de l’Homme précise dans son article 12 : « Nul ne sera l'objet d'immixtions arbitraires dans (…) sa correspondance(…). Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes. ».

Dans le cadre professionnel, le partage de documents secrets de manière sécurisé est la prérogative du coffre-fort virtuel^® luxembourgeois.

L’adoption et l’efficacité se feront par la personnalisation du coffre-fort virtuel^® en fonction des besoins de l’organisation ou encore la possibilité de déposer de l’information confidentielle dans un grand nombre de coffres de manière automatique. 

Les applications d’un coffre-fort virtuel^® sont innombrables et celles qui garantissent la confidentialité au sein de conseils d’administration en sont un exemple, comme le dépôt sécurisé de fiches de salaire numériques pour des dirigeants. Par ailleurs, le particulier s’y retrouve car il a l’opportunité d’utiliser ce coffre-fort à des fins personnelles.

Ce type de service innovateur permet de porter un nouveau regard par rapport à la problématique de la confidentialité des données secrètes et d’offrir une solution pragmatique répondant parfaitement aux besoins des acteurs économiques.

La réelle confidentialité des informations n’est donc pas une utopie, il suffit de sortir couvert…d’être on the SAFE side !

La sécurité : un paradoxe qui mène à l’apocalypse ?

La quête de sécurité est intemporelle. L’Homme s’est toujours mis en recherche de rassurantes certitudes qui contrastent avec le mystère de la vie. En assurant sa sécurité l’individu cherche la situation présentant le minimum de risques ou de dangers pour y trouver la quiétude et l’état de confiance.
Ce sentiment n’est pas toujours bien fondé, car chacun véhicule avec soi ses angoisses les plus profondes, ses mauvaises habitudes et tout un vécu qui relativise la notion de sécurité.
A la recherche de la sécurité ultime dans tous les domaines, nous tentons de protéger nos avoirs derrière des forteresses. Ces dernières étaient de pierre il y a encore quelques centaines d’années, elles sont devenues métalliques à l’ère industrielle et sont aujourd’hui numériques à l’heure du tout internet. Le rempart s’est donc sophistiqué, est devenu de plus en plus complexe. Mais nos secrets sont-ils pour autant plus en sécurité ?
Cette question est d’autant plus pertinente que naissent vite des syllogismes du type :
Plus il y a de sécurité, plus il y a de failles.
Or plus il y a de failles, moins il y a de sécurité.
Donc plus il y a de sécurité, moins il y a de sécurité !
Ce raisonnement simpliste met en lumière un paradoxe de l’évolution : les données à caractère personnel d’une personne physique ou morale n’ont jamais été aussi vulnérables. Et si certains ont décidé de répandre leur vie sur Facebook, d’autres souhaitent maîtriser leur image et leurs informations personnelles, protéger les renseignements qui ne regardent pas tout le monde. Ce n’est pas tant l’évolution de la nature des informations que la capacité de la rechercher (et de la trouver indûment) qui pose le problème du Big Brother. Et cela prend encore une autre dimension dans un régime de type totalitaire, là où la liberté d'expression en tant que telle n’existe plus.
Alors…risquons-nous l’apocalypse de tous nos secrets? Car faut-il le rappeler apocalypse vient étymologiquement du verbe grec καλύπτω, kalúptô (« cacher »), précédé de la négation ἀπό ápó. Littéralement donc l’apocalypse c’est « dé-cacher », et donc par extrapolation, « dévoiler au yeux ».
Le passé nous a démontré qu’il n’y a pas de construction humaine qui reste impénétrable à l’intrusion d’autres hommes. Il « suffit » de laisser faire le temps !
Comme en convient Laurent Joffrin (Libération), dans son ouvrage sur la grande histoire des codes secrets, « la vérité n’est pas hors d’atteinte et une patiente réflexion y conduira ». La quête de la sécurité de l’information est donc une quête de longueur d’avance par rapport aux autres, induisant la notion temporelle mais aussi la notion de technique et de bonnes pratiques. C’est un service que proposent les coffres-forts virtuels dignes de ce nom, ceux qui garantissent l’inviolabilité du contenu et non un vague concept d’opacité.
Votre forteresse digitale est réputée inviolable, parfait ! Mais comme me le rappelait un auditeur en sécurité qui avait tout compris: le risque est l’exploitation d’une vulnérabilité par une menace.
Concluons donc qu’il est certes bon de renforcer les maillons de votre chaîne de confiance numérique mais il est essentiel de penser aux menaces. Car vos bastions numériques modernes n’éprouveront le temps que si les niveaux de discrétion qu’ils peuvent vous offrir sont forts !

Texte publié dans le journal AGEFI Janvier 2011

No risk, no fun !

Je me suis senti interpellé par un magazine en ligne français qui titrait « Comment vous positionnez-vous face aux défis que vous offre la vie ? Les affrontez-vous avec pragmatisme ou préférez-vous les fuir par peur des conséquences ? ».

Alors que mon pays est encore (et toujours) dans l’incapacité de former un gouvernement (inutile de rappeler ma belgitude aigüe), je me suis tout de même permis une pensée ironique vis-à-vis de mes amis français : il est temps de se poser la question quand on a un Président [Nicolas Sarkozy] qui affirme « Le pire risque, c'est celui de ne pas en prendre ».
Je vous rassure tout de suite, tout ceci n’est qu’un dérapage contrôlé : je ne vais pas me laisser emporter dans des considérations politiques sur un blog qui n’en a pas la vocation.

Revenons à la vraie question qui me taraude (pas celle du magazine) : faut-il continuer à prendre des risques, comment et pourquoi ?

Principe de base, accordons-nous sur une définition du risque, prenons celle de Wikipedia : une exposition à un danger potentiel, inhérent à une situation ou une activité.
Je note les mots clefs qui sont ici ‘potentiel’ et ‘situation’.
‘Potentiel’ indique que le risque n’est pas garanti (bonne nouvelle), qu’il est en arrière plan de cette situation, latent. Cela dit aussi que l’on peut minimiser la menace, en tout cas influencer son impact. Et fuir le risque n’est pas nécessairement s’en débarrasser car, comme le rappelle Eric Jong : « le problème, c'est que si l'on ne prend pas de risque, on risque encore davantage ».
‘Situation’ indique que le risque n’est pas systématique mais qu’il dépend d’un contexte. Une situation se crée mais se transforme également. Notre action a bien un effet. Malheureusement, tel le Rubik’s cube, l’image définitive et précise du risque ne se construit qu’au fur et à mesure.
Je garde en mémoire une définition intéressante qui m'a été donnée par un auditeur: le risque est l’exploitation d’une vulnérabilité par une menace.

Si la fortune sourit aux audacieux (vieil adage populaire), les audacieux vont gagner mais aussi…perdre. Car rien ne semble éternel en terme de risque. Chaque exemple a son contre-exemple, chaque Winner devient Looser s’il persiste. L’histoire est chargée d’exemples, de l’aventurier au sportif, du joueur au scientifique, du chef d’entreprise au militaire.
Dans son premier traité de stratégie militaire écrit au VIe siècle av. J.-C. , 孙子 (vous lirez « Sun Tzu ») disait déjà « Celui qui n'a pas d'objectifs ne risque pas de les atteindre. ». Cette sagesse toute chinoise nous rappelle que seul celui qui prend un risque a tout de même une chance de gagner.

Alors comment prendre des risques sans tenter le diable ? Pas facile !

Dans Philoctète, Sophocle prétend sagement que « plus faibles sont les risques, meilleure est l'entreprise ». Prenons donc des risques mais pas à n’importe quel prix.
S’il n’existe pas de recette, peut-on faire confiance à une approche, une méthodologie ?
Je ne possède pas une belle toque de cuisinier, je coiffe couramment la casquette du gestionnaire de projets. Il est unanimement reconnu que les projets font avancer l’homme ou les entreprises humaines. Et quoi de plus indiqué qu’un projet pour atteindre un ensemble d’objectifs en minimisant les risques ?

Rappelons donc quelques principes de base.
Un projet est un effort humain qui crée le changement et implique des tâches nouvelles et inconnues. Par définition, il est limité en terme de temps, en terme de budget et de portée, disons donc soumis à des délais. Rappelons également que le projet a des buts et objectifs composites et qu’il regroupe des personnes d'horizons différents qui sont amenées à travailler ensemble (compétences différentes, différentes responsabilités, différents centres d’expertises, …). Contrairement à l’activité routinière, qui recherche l’équilibre parfait, le projet est un déséquilibre permanent, une déstabilisation recherchée afin d’apporter les changements révolutionnaires espérés. Cette situation UNIQUE (contrairement au côté répétitif du BAU, Business As Usual) vise l’efficacité et non l’efficience. On veut aller d’un point A à un point B et on ne cherche pas à optimiser immédiatement la distance.
Mais…le tout baigne dans un bain d’agendas personnels, avec des personnes qui vous dévoileront leurs ambitions ou qui conserveront un agenda caché. Eh oui ! Là, on comprend un peu mieux les propos d’Henry Mintzberg : « dans l'élaboration d'une stratégie, le véritable défi réside dans la détection des subtiles discontinuités qui risquent d'ébranler une activité à l'avenir. Et, pour cela, il n'existe ni technique, ni programme. » . Mince…encore de l’imprévu, encore de l’humain !

Si le contraire du risque est la sécurité, faut-il ne pas prendre de risque pour gagner en sécurité ? Non. Comme le mentionne Paul Desmarais, « il faut prendre des risques, il faut toujours prendre des risques. Mais l'attente comporte aussi un risque. »

Prendre des risques c’est vivre pleinement.
Oser se jeter à l'eau...pour pimenter une existence…quel luxe !
Le luxe de la jeunesse, du goût du risque, le seul luxe de celui qui, après tout, n’a rien à perdre mais tout à gagner.