Organizational Politics & The Security Program

La politique organisationnelle au service du programme de cybersécurité

La réussite d’un programme de sécurité ne dépend pas uniquement de la technique, mais de la capacité du responsable à naviguer dans les structures de pouvoir et à influencer les parties prenantes. La politique organisationnelle doit être perçue comme un outil nécessaire pour obtenir des ressources et aligner la sécurité sur les objectifs stratégiques de l’entreprise.

Points clés :

• Les décisions se prennent en amont : Les comités officiels sont souvent cérémoniels ; le travail d’influence réel s’effectue dans les échanges informels préalables.
• L’importance du “Slipstreaming” : Intégrer les objectifs de sécurité directement dans les processus existants (développement produit, budget, opérations) plutôt que de les traiter comme des projets isolés.
• La culture de l’utilité : En étant perçu comme un partenaire facilitateur (au-delà de la sécurité pure), le responsable construit un capital politique indispensable lors des périodes de tension.
• Le réseau d’influence : Les organigrammes officiels sont trompeurs. Il est crucial d’identifier et de collaborer avec les influenceurs informels et les “factions dominantes” de l’organisation.
• La gestion de la réalité : Accepter le contexte réel de l’entreprise (limites budgétaires, culture) est plus efficace que de comparer sa situation à des standards théoriques inatteignables.

Vulnérabilités organisationnelles :

• Le mandat non financé : Obtenir une validation de la direction sans s’assurer de l’adhésion financière des divisions opérationnelles.
• La dépendance hiérarchique : Compter uniquement sur le soutien de son manager direct, au risque d’être vulnérable lors de changements de direction.
• Le silo de la “sécurité” : S’isoler en prétendant que les problèmes rencontrés par les autres ne concernent pas le programme de sécurité.

Recommandations :

• Cartographier les flux de décision : Identifier le calendrier et les rouages décisionnels de l’entreprise pour y insérer les priorités de sécurité au bon moment.
• Tirer parti des crises : Utiliser les problèmes opérationnels (même non sécuritaires) comme opportunités pour déployer des solutions qui renforcent également la sécurité.
• Valoriser les autres : Attribuer publiquement le succès des mesures de sécurité aux dirigeants et équipes ayant soutenu le programme.
• Développer des compétences d’influence :
  • Définir des résultats clairs et mesurables.
  • Pratiquer le Force Field Analysis pour identifier et réduire les obstacles au changement.
  • Utiliser des techniques de communication basées sur la preuve sociale et la narration (storytelling).
  • Exécuter les engagements avec rigueur pour renforcer sa crédibilité.

Source