Construire le programme de confiance zéro de Siemens : 3 choses que Thomas Mueller-Lynch a apprises

La confiance zéro est un voyage, pas une destination. C'est la meilleure façon d'envisager votre stratégie de confiance zéro. Mais il n'est pas toujours facile de comprendre à quoi ressemble ce voyage.  

C'est pourquoi nous nous sommes entretenus avec Thomas Mueller-Lynch, directeur mondial des identités numériques chez Siemens, dans notre dernier épisode de The Segment : un podcast sur le leadership en matière de confiance zéro. Au cours des quatre dernières années de son expérience de près de 30 ans dans le domaine des technologies de l'information et de la cybersécurité chez Siemens, Thomas a dirigé la démarche "zéro confiance" de Siemens.  

Voici les trois choses que Thomas a apprises en dirigeant le programme "zéro confiance" de Siemens.

1. La confiance zéro nécessite une collaboration entre les services informatiques, les services de cybersécurité et les entreprises.

Siemens a lancé son programme de confiance zéro il y a environ quatre ans, lorsqu'un groupe de responsables des technologies de l'information, de la cybersécurité et de l'entreprise s'est adressé au conseil d'administration. Ils ont compris que la mise en place d'un programme de confiance zéro ne se limite pas à l'implication des services informatiques, mais nécessite une approche unifiée dans l'ensemble de l'organisation.  

"La confiance zéro ne peut pas être uniquement le fait des technologies de l'information ou de la cybersécurité", a déclaré M. Thomas. "Il faut que les unités commerciales qui possèdent les actifs soient également présentes à la table des négociations.

Cet alignement garantit que la sécurité est intégrée dès le départ plutôt qu'ajoutée ultérieurement.

Pour parvenir à l'alignement, il faut établir des relations solides entre les services informatiques, les services de cybersécurité et les unités opérationnelles afin de s'assurer que tout le monde travaille à la réalisation d'un objectif commun. Grâce à cette approche, la sécurité n'est plus une préoccupation isolée, mais fait partie intégrante des activités de l'entreprise. Elle influence tout, du développement des produits aux opérations quotidiennes.

Voici comment ils y sont parvenus :

• Favorisez une vision unifiée : Impliquez les parties prenantes de tous les départements dès le début du processus afin de vous assurer que tout le monde comprend et soutient l'initiative "Zéro confiance".

• Recrutez des équipes interfonctionnelles : Intégrez des membres des services informatiques, de la cybersécurité et des unités commerciales pour qu'ils travaillent ensemble à la mise en œuvre de la confiance zéro.

• Donnez la priorité à la communication : Des mises à jour régulières et des canaux de communication transparents permettent de maintenir l'élan et d'aligner toutes les parties.

2. L'instauration d'une confiance zéro est un projet permanent

Lorsque Siemens a lancé son initiative "cloud-first" il y a quelques années, cela signifiait que davantage de données et d'applications étaient transférées vers le "cloud". Les dirigeants de l'entreprise craignaient que la sécurité traditionnelle basée sur le périmètre ne suffise pas à protéger leur réseau sans périmètre en pleine expansion.  

"De plus en plus de choses ont été transférées dans le nuage, ce qui a créé de très nombreuses failles dans notre périmètre", a expliqué M. Thomas. "L'hypothèse selon laquelle nous pouvons contrôler le périmètre n'était tout simplement plus vraie.

Le conseil d'administration a approuvé un nouveau programme de confiance zéro pour une durée d'un an après que la direction lui a fait part de cette préoccupation. Depuis quatre ans, sous la direction de Mme Thomas, cette initiative s'étend à l'ensemble de l'organisation.  

Thomas a présenté les étapes que lui et son équipe ont suivies pour mettre en place le programme de confiance zéro de Siemens :

Année 1 : Communiquer avec les parties prenantes et définir le champ d'application

L'équipe "zéro confiance" a commencé par la communication. "Tout le monde a commencé à parler de confiance zéro, mais personne n'a compris ce que cela signifiait réellement, ni comment le mettre en œuvre de manière pratique", a déclaré M. Thomas.  

Ils ont fait le tour de l'entreprise et se sont entretenus avec les équipes de l'informatique, de la cybersécurité et de l'entreprise. Cela a donné lieu à des discussions sur les dépendances des applications, les exigences en matière de politique de sécurité et le calendrier du projet, ce qui a permis de mieux définir la portée du projet.  

Année 2 : Préparation des systèmes dorsaux

L'équipe "zéro confiance" a fait appel aux principaux partenaires technologiques de Siemens, comme Microsoft, pour préparer le réseau de l'entreprise à une architecture "zéro confiance".  

Thomas a noté que la deuxième année était la plus difficile. "Il y avait beaucoup d'activités en arrière-plan qui ne se traduisaient pas directement par une réduction des risques ou des résultats tangibles", a-t-il expliqué. "Les gens ont commencé à se demander si cela avait encore un sens ou non. Mais ce travail préparatoire a constitué une base essentielle pour la mise en place du programme de confiance zéro.

Année 3 : Progrès tangibles en matière de confiance zéro

Dès la troisième année, le programme a commencé à produire des résultats concrets.  

"Nous avons progressé dans le domaine des applications et de l'activation des usines", a déclaré M. Thomas.  

L'obtention d'un tableau de bord en direct et partageable pour le programme a été une réussite majeure. "Nous pouvons désormais montrer à la direction générale où nous en sommes dans l'ensemble des différentes activités", a déclaré M. Thomas.

Année 4 : Développement de produits et mise en œuvre

Aujourd'hui, l'équipe "zéro confiance" contribue à intégrer la notion de "zéro confiance" dans les produits de Siemens. Cela reflète le succès interne du programme au sein de l'entreprise.

"Nous pensons que la sécurité de nos produits est l'un de nos principaux arguments de vente", a déclaré M. Thomas. "Le fait d'avoir zéro produit de confiance est un argument de différenciation par rapport à nos concurrents.

3. La confiance zéro peut être un avantage concurrentiel

L'intégration stratégique de la confiance zéro n'a pas seulement amélioré la cybersécurité interne de Siemens. Au cours de la quatrième année, Thomas a également collaboré avec l'équipe chargée des produits sur leur propre initiative de confiance zéro.  

Ils ont finalement découvert que l'instauration d'une confiance zéro dans leurs produits n'était pas seulement la meilleure approche en matière de sécurité, mais qu'elle créait un avantage concurrentiel distinct sur le marché.  

"Lorsque les entreprises intègrent la confiance zéro dans leurs offres, elles peuvent en toute confiance fournir une sécurité de premier ordre qui les distingue de leurs concurrents, a souligné" Thomas.  

En faisant de la sécurité une caractéristique essentielle de ses offres, Siemens a pu se positionner en tant que leader dans la fourniture de solutions sécurisées et résilientes auxquelles les clients et les partenaires peuvent faire confiance.  

Le processus d'intégration de la confiance zéro peut avoir été un processus graduel, qui a duré des années et qui a pris des formes différentes dans chaque secteur d'activité. Mais le résultat est clair : une position renforcée sur le marché, une confiance accrue de la part des clients et un succès commercial à long terme.

À propos de Thomas Mueller-Lynch, directeur mondial des identités numériques chez Siemens

Au cours de ses 27 années passées chez Siemens, Thomas a occupé diverses fonctions dans le domaine des technologies de l'information, notamment en ce qui concerne la gestion des sites web et des documents et la technologie de l'infrastructure informatique. Aujourd'hui, il est à l'avant-garde des efforts de Siemens en matière de cybersécurité et dirige le programme "zéro confiance" de l'entreprise en tant que directeur mondial des identités numériques.  

Doté d'un solide bagage technique, Thomas supervise les systèmes d'identité critiques. Sa passion pour l'informatique, l'automatisation et la sécurité l'a amené à occuper des fonctions qui lui ont permis de développer son expertise en matière de gestion des identités. Thomas a joué un rôle moteur dans la transition de Siemens vers une architecture plus sûre de type "zéro confiance".

Écoutez, abonnez-vous et commentez The Segment : Un podcast sur la confiance zéro

Souhaitez-vous en savoir plus ? Écoutez l'épisode complet avec Thomas sur notre site web, Apple Podcasts, Spotify ou ailleurs. Vous pouvez également lire la transcription complète de l'épisode.

Nous reviendrons bientôt avec d'autres informations sur la confiance zéro !