Les rôles définissent qui est chargé de quels devoirs de sécurité et qui est, en dernier ressort, responsable des résultats. Au niveau de la direction, un responsable de la sécurité des systèmes d'information (Chief Information Security Officer) ou son équivalent définit la stratégie, conseille les dirigeants et pilote le programme de sécurité, tandis que la direction générale et le conseil d'administration portent la responsabilité ultime des décisions relatives au risque. Les rôles opérationnels, des administrateurs système aux propriétaires d'applications, mettent en œuvre et maintiennent les contrôles au quotidien.
Au sein de la gouvernance, des rôles clairement définis préviennent les deux défaillances qui minent tout programme : des devoirs que personne n'assume et des devoirs que plusieurs personnes supposent pris en charge par quelqu'un d'autre. Attribuer des propriétaires nommés aux contrôles, aux risques et aux processus transforme les intentions en engagements que l'on peut suivre.
Un outil courant pour clarifier cela est le modèle RACI, qui consigne qui est Responsable (Responsible), qui rend des comptes (Accountable), qui est Consulté et qui est Informé pour chaque activité. Distinguer la responsabilité de l'exécution de celle de rendre compte des résultats est particulièrement important, car cette dernière ne peut être déléguée même lorsque les tâches le sont.
Des rôles bien définis sont importants car ils accélèrent les décisions, comblent les lacunes de couverture et clarifient les chaînes d'escalade lors des incidents. Ils soutiennent aussi la séparation des tâches, afin qu'une même personne ne puisse à la fois exécuter et approuver une action sensible. Les rôles doivent être documentés, communiqués et revus à mesure que l'organisation et ses systèmes évoluent.
Références#
- ISO/IEC 27001, qui exige la définition des rôles et responsabilités en matière de sécurité de l'information.
- COBIT, de l'ISACA, qui fournit un modèle de gouvernance distinguant la reddition de comptes de la responsabilité d'exécution.