Le défi
Une entreprise de technologie financière établie à Toronto se remettait d’un incident majeur de sécurité des données qui avait exposé des renseignements sur ses clients et miné la confiance tant de sa clientèle que des organismes de réglementation. L’organisation devait recruter d’urgence un chef de la sécurité de l’information capable à la fois de diriger l’intervention et le rétablissement à la suite de l’incident, de rebâtir la confiance interne et externe envers la posture de sécurité de l’entreprise, et de concevoir et de mettre en œuvre un programme complet de transformation de la sécurité qui préviendrait de futurs incidents. Le poste exigeait une expertise dans plusieurs domaines : une capacité concrète d’intervention en cas d’incident et de criminalistique numérique pour la crise immédiate; une expertise réglementaire, y compris les lignes directrices du BSIF et les exigences des lois provinciales sur la protection des renseignements personnels applicables aux services financiers; des compétences en architecture et en ingénierie de sécurité pour repenser les défenses de l’entreprise; et des habiletés en communication de crise pour gérer les relations avec les organismes de réglementation, les clients touchés et les médias. Le défi était amplifié par la sensibilité de la situation : la recherche devait être menée en toute confidentialité afin d’éviter d’autres dommages à la réputation, et les candidats devaient être soigneusement évalués pour s’assurer qu’ils ne seraient pas rebutés à l’idée de se joindre à une entreprise en pleine crise de sécurité. Le rôle exigeait aussi une personne capable de gérer les dynamiques internes de reddition de comptes post-incident tout en préservant les relations nécessaires à la mise en œuvre des améliorations de sécurité.
La solution
Lock Search Group a mis en œuvre un processus de recherche hautement confidentiel, conscient des circonstances délicates entourant ce placement. Notre approche priorisait la discrétion à chaque étape tout en assurant l’accès au bassin spécialisé de hauts dirigeants de la sécurité capables de gérer un rétablissement post-incident. Nous avons ciblé trois bassins principaux de candidats : des chefs et des chefs adjoints de la sécurité de l’information issus de firmes de services financiers ayant l’expérience des interactions réglementaires à la suite d’événements de sécurité; des leaders de l’intervention en cas d’incident provenant de firmes de conseil, à la recherche de rôles opérationnels et ayant géré des crises semblables pour des clients; et des dirigeants de la sécurité d’autres industries réglementées, dont la santé et les télécommunications, ayant traversé le rétablissement d’incidents majeurs. Notre approche d’évaluation était adaptée aux circonstances : nous avons mené les premières conversations sans divulguer l’identité du client, à l’aide d’un mandat anonymisé décrivant la situation et les exigences; seuls les candidats manifestant un intérêt sincère pour le défi post-incident passaient aux discussions où le client était identifié, après la signature d’ententes de confidentialité appropriées. Nous avons évalué les candidats non seulement sur leur expertise technique en sécurité, mais aussi sur leur philosophie du rétablissement post-incident, leur approche des relations réglementaires et leur capacité démontrée à maintenir le moral des équipes en situation de crise. Les vérifications de références exploraient spécifiquement la façon dont les candidats avaient géré les dimensions humaines des incidents de sécurité, y compris les dynamiques internes de blâme et le stress des effectifs.
Le résultat
Cette recherche confidentielle a mobilisé 28 hauts dirigeants de la sécurité répondant aux qualifications techniques et intéressés par le défi post-incident. Au terme de notre processus d’évaluation spécialisé, comprenant des discussions de mises en situation en gestion de crise et des évaluations des interactions réglementaires, nous avons présenté quatre finalistes au conseil d’administration et à l’équipe de direction de l’entreprise. La candidate retenue était une ancienne chef adjointe de la sécurité de l’information d’une grande banque canadienne, où elle avait dirigé la réponse à un incident de sécurité cinq ans auparavant, puis rebâti le programme de sécurité pour en faire une référence de l’industrie. Son expérience de l’arc complet — de l’intervention à la remédiation réglementaire jusqu’à la transformation de la sécurité — correspondait directement aux besoins du client, et ses relations établies avec le BSIF lui conféraient une crédibilité immédiate auprès de l’organisme de réglementation. Fait déterminant, le défi la motivait plutôt que de la rebuter : elle voyait dans l’environnement post-incident une occasion de mener des améliorations de sécurité transformatrices qui seraient difficiles à réaliser en régime de croisière. Au cours de sa première année, elle a mené à bien le programme de remédiation réglementaire, mis en œuvre une transformation complète de la sécurité incluant l’adoption d’une architecture à vérification systématique (zéro confiance), rebâti la confiance des clients, mesurée par les indicateurs de rétention et de satisfaction, et élaboré un programme de culture de sécurité mobilisant toute l’organisation dans la protection des données des clients. Ce placement a démontré la capacité de Lock Search Group à gérer des recherches hautement sensibles exigeant une grande discrétion, tout en livrant des candidats capables de leadership en situation de crise.