... adaptée au public dans l'entreprise, et ne pas être systématisée de manière identique sans tenir compte des risques spécifiques à chaque métier.

Responsabiliser les métiers tout en étant à leur service
Par ailleurs, Gartner avance qu'il faut faire en sorte que les « propriétaires » de l'information aient la responsabilité ultime de sa sécurité, même si les informaticiens ou les responsables de la sécurité se voient confier les actions de sécurisation. Forrester souligne qu'il ne suffit pas d'affecter les bonnes ressources alignées avec les besoins métiers, il faut aussi responsabiliser toute l'organisation en ce qui concerne l'information. Forrester insiste sur l'intérêt des comités de pilotage. Ceux-ci doivent être le lieu où les initiatives en matière de sécurité sont prioritisées et validées par les équipes métiers. Le cabinet montre qu'il peut être acceptable de travailler avec un niveau de sécurité inférieur, si cela est accepté de façon consciente par les activités métiers. On passe ainsi d'une sécurité « tout ou rien », à une sécurisation liée au contexte de l'information. Inutile en effet de dépenser 100 € pour sécuriser une information qui coûte 90 €. De plus, il est nécessaire d'encourager un état d'esprit « service ». De plus en plus d'organisations utilisent ITIL comme cadre pour la gestion des risques. Il faut alors passer de l'état d'esprit « Les métiers ne comprennent rien à la sécurité », à « Le premier objectif des équipes sécurité est de porter les métiers ». En résumé, les RSSI doivent passer de l'information aux responsables métiers, plutôt que de prendre des décisions à leur place en ce qui concerne les risques acceptables.

Gérer le relationnel est payant
Gérer le relationnel est stratégique. Pour le Gartner, le RSSI doit communiquer avec toutes les parties prenantes de l'entreprise au sujet de la sécurité afin de leur fournir des moyens de protéger l'information. De même Forrester indique que le RSSI doit établir ...

. Web-profils.com, la place de marché du conseil et de l'ingénierie