Vers une implication et une action des dirigeants de PME dans la sécurité de leur système d'information
p. 277-306
Texte intégral
1Les questions relatives à la sécurité des systèmes d'information (SSI) revêtent une importance croissante du fait que pour les entreprises, la part des informations sous forme informatisée devient de plus en plus importante au fil du temps : en quelques années, on est passé d'informations basiques de gestion telles que les informations comptables, à des informations de plus en plus sensibles, maquettes et plans conçus par ordinateur, formules industrielles confidentielles, etc. Les entreprises deviennent donc de plus en plus dépendantes de ces informations, 80 % des entreprises déclarant d'ailleurs dépendre fortement ou très fortement de leur informatique (Clusif, 2010). De plus, l'accroissement des échanges d'informations sous forme numérique et l'ouverture des réseaux (messageries, systèmes de réapprovisionnements automatisés, …) font que les informations des entreprises sont de plus en plus exposées : en effet depuis l'année 2000, la croissance annuelle moyenne des vulnérabilités déclarées par les entreprises a été supérieure à 28 % (CERT, 2009).
2Pourtant les systèmes de protection technologiques sont de plus en plus sophistiqués (systèmes de détection d'intrusion, pare-feux, etc.) et certains sont arrivés à maturité, tels que les antivirus. Selon le Clusif (2008), les épidémies de virus sont surtout dues aux entreprises qui n'ont pas d'antivirus (10 % encore aujourd'hui), et à celles qui n'appliquent pas les mises à jour ou les correctifs nécessaires. En 2008, le ver le plus répandu avait été conçu en 2001 alors que les antivirus du marché étaient en mesure de l'éradiquer et les failles exploitées par le ver étaient comblées depuis fin 2001 !
3Ceci nous amène à penser que la solution aux problèmes des entreprises ne peut être réduite à de simples questions technologiques. La littérature en Sciences de Gestion insiste d'ailleurs depuis longtemps sur le fait que la SSI doive être considérée comme un problème de gestionnaires et non de techniciens (Reix, 2004 ; Davenport, 2002).
4Sur le plan de la recherche académique, la question de la SSI soulève de nombreux intérêts, car des lacunes existent tant sur le plan de l'élaboration de théories (Dhillon et Backhouse, 2001 ; Dlamini et al., 2009), qu'en matière de recherches empiriques (Kotulic et Clark, 2004). L’objectif de cet article est de resituer la problématique de la SSI sous une dimension organisationnelle, plus particulièrement par l'intermédiaire d'une étude des dirigeants dans le cadre de la sécurité du SI de leur entreprise. En effet, de nombreux auteurs ont déclaré que la SSI devait être prise en compte au niveau de la direction générale de l’entreprise (Markus, 1983 ; Knapp et al., 2006).
5Cette étude portera sur la SSI dans les PME car elles présentent de nombreux intérêts : un intérêt managérial tout d'abord, parce qu'en France, selon l'INSEE (2008), parmi les entreprises de plus de 10 salariés, 97,2 % d'entre-elles comptent moins de 250 salariés. Dans les enquêtes portant sur la SSI, ce sont aussi les PME qui présentent les plus grandes divergences entre les protections mises en place et la fréquence des sinistres, et elles accusent un retard sensible sur les grandes entreprises (Clusif, 2008). Deuxièmement, la littérature académique montre que les PME font face à des problèmes plus importants que ceux rencontrés par de plus grandes entreprises : problèmes de recrutement de personnes qualifiées dans les TIC (Monnoyer, 2003) et dans l'appréciation des risques encourus (Gupta et Hammond, 2005). Il apparaît aussi un manque global de sensibilisation à la SSI (Mitchell et al., 1999).
6Si l'étude globale qui a été menée s'intéressait à trois types d'acteurs, les dirigeants, les salariés et les responsables informatiques, cet article s'attachera tout particulièrement aux dirigeants. Les salariés ne seront donc pris en compte ici que dans le but de vérifier et compléter le propos des dirigeants. Le rôle du responsable informatique sera peu traité car les PME étudiées n'avaient pas, en majorité, de responsable en interne.
7Les trois éléments, dimension organisationnelle de la SSI, importance de la prise en charge de la SSI par les décideurs et la PME comme domaine d'étude, conduisent à la question de recherche suivante : quels sont les facteurs conditionnant l'implication et l'action des dirigeants de PME dans la SSI de leur entreprise ?
8Pour répondre à cette question, l'analyse de la littérature en première partie a pour objectif d'apporter un éclairage sur l'importance de l'implication des dirigeants dans la SSI de leur entreprise et la nécessité d'identifier les leviers de cette implication. La seconde partie présente les résultats d'une étude empirique conduite auprès de neuf PME appartenant à des secteurs variés, tels que la commercialisation de complément alimentaires, la fabrication de peintures ou encore la conception et la vente de systèmes photovoltaïques. L'analyse des entretiens fait ressortir les principaux facteurs de motivation et les principaux freins à l'implication et à l'action des dirigeants de PME et une première tentative de classification des dirigeants dans une typologie est réalisée par l'intermédiaire d'un logiciel d'analyse textuelle.
9En conclusion sur un plan managérial, des mesures à mettre en place sont proposées et sur un plan théorique, des pistes de recherche sont ouvertes.
IMPLICATION DES DECIDEURS ET METHODOLOGIE DE L'ETUDE
L'implication des décideurs relative à la SSI
Une implication indispensable
10L'implication du dirigeant est capitale dans la mise en place, le maintient et le succès d'actions relatives à la sécurité des SI (Johnston et Hale, 2009). Deux arguments principaux vont être détaillés : premièrement une SSI globale concerne avant tout le dirigeant de l'entreprise, deuxièmement le dirigeant s'avère représenter un véritable agent du changement.
11Rockart et Crescenzi (1984), ont déclaré que les dirigeants doivent « réaliser que l'information est une ressource stratégique... Et ressentir de manière accrue le besoin d'être informés, motivés, et engagés dans les SI » (p. 2). Les dirigeants doivent être considérés comme le point de départ d'une mise en place d'une SSI qui puisse être considérée comme satisfaisante (Robinson et Volonino, 2004). Pourtant, les dirigeants baissent parfois les bras car ils manquent de connaissances en SI (Rainer et al., 2007) alors que la sécurité organisationnelle ne doit pas être abandonnée à la fonction « technologie » ou « sécurité » de l'information (Ross et Weill, 2002 ; Williams, 2007). En effet, il appartient aux dirigeants de prendre en compte non seulement les aspects technologiques (Jarvenpaa et Ives, 1991), mais aussi les aspects comportementaux et les procédures à respecter en matière de SSI (Boss et al., 2009).
12Comme il est impossible d'obtenir une sécurité parfaite, la direction doit réaliser les arbitrages appropriés coûts/bénéfices et décider de manière rationnelle du niveau de risque qu'elle souhaite assumer (Dutta et McCrohan, 2002 ; Anderson et Choobineh, 2009). L'un des rôles-clés de la direction est de définir l'équilibre désiré entre la mise en œuvre de la SSI et les pertes en termes de productivité (Reid et Gilbert, 2009) en fonction de son métier et de son activité (Johnston et Hale, 2009). Seule la direction est en position de réaliser ce choix.
13Mais les aspects stratégiques et financiers ne doivent pas être les seuls traités : il faut aussi faire évoluer l'entreprise elle-même, dans sa globalité, en incluant les aspects humains. Dutta et McCrohan (2002) soulignent le rôle de la direction dans l'adoption de caractéristiques organisationnelles désirables pour obtenir une sécurité satisfaisante. Selon Schein (1990), ce rôle est très important dans la mise en place d'une culture et le changement de culture. Hofstede et al. (1990) ont mis en évidence le fait que les valeurs des dirigeants deviennent les pratiques des membres des organisations.
14Le soutien de la direction est donc essentiel dans l'obtention d'une adhésion des employés à la SSI (Avolio, 2000 ; Johnston et Hale, 2009). En effet, en vertu de son rôle, la direction est capable d'assurer une allocation suffisante des ressources et d'agir comme un agent du changement afin de créer un environnement favorable (Lucas, 1981 ; Kankanhalli et al., 2003). De plus, le dirigeant dispose de l'autorité nécessaire pour influencer les autres membres de l'entreprise, il est ainsi plus susceptible de réussir à surmonter une résistance organisationnelle et des barrières culturelles (Dutta et McCrohan, 2002 ; Knapp et al., 2006 ; Boss et al., 2009).
15Le dirigeant peut alors mettre en place les procédures et les règlements nécessaires : selon Ashenden (2008) la personne qui va gérer la SSI d'une entreprise doit faire partie des dirigeants de l'entreprise car elle dispose des nécessaires compétences entrepreneuriales et pourra agir de manière proactive en tant qu'agent du changement. A partir de là, certains standards de SSI peuvent être utilisés pour mettre en place une gestion de la sécurité et fournir les bases d'une approche cohérente de la SSI (Vermeulen et Von Solms, 2002 ; Bruce et Dempsey, 1997).
16Enfin, le soutien et l'implication de la direction transmettent des signaux forts dans toute l'organisation (Jarvenpaa et Ives, 1991 ; Grover, 1993). Il découle d'ailleurs de nombreux travaux scientifiques que l'implication et la propension à agir des salariés sont directement dépendantes de celles du décideur (Forcht et Ayers, 2000). Ces derniers éléments font donc apparaître l'incidence du comportement des dirigeants sur celui des salariés, qui rend l'étude des dirigeants d'autant plus importante dans la recherche de facteurs d'amélioration de la SSI.
17Malgré l'importance de leur rôle, les dirigeants n'agissent pas forcément : une étude de Gupta et Hammond (2005) a mis en évidence que les dirigeants de PME sont trop préoccupés par les opérations « au jour le jour » pour formuler et mettre en place une stratégie liée à la SSI de leur entreprise. De plus, ils ne sont pas très compétents dans le choix des technologies appropriées. Toujours selon Gupta et Hammond (2005), leur marge de manœuvre peut-être aussi limitée par le budget.
18Il devient donc nécessaire de s'interroger sur les facteurs qui vont faire qu'un décideur va non seulement être impliqué mais aussi que cette implication va se traduire en actions concrètes.
Les leviers de l'implication et de l'action des dirigeants
19Tout d'abord, le passé d'un dirigeant influe sur le degré de son implication dans le management des technologies de l'information. Des différences significatives, concernant des variables telles que l'âge, le niveau d'éducation, et l'expérience dans une fonction donnée, ont été démontrées (Song, 1982).
20Il a aussi été démontré que l'âge du dirigeant (Norburn et Birley, 1988), son ancienneté dans l'organisation (Helmich et Brown, 1972), son ancienneté dans la position hiérarchique (Stevens et al., 1978), façonnent les attitudes et les perceptions des dirigeants au sujet des opportunités et des problèmes se présentant dans une entreprise. Particulièrement l'âge a été relié à la propension à prendre des risques et à la velléité de s'aventurer en territoire inconnu. Julien et Marchesnay (1996), avancent que la culture innovatrice et la formation du dirigeant représentent les principaux facteurs de sa capacité à innover. Et les technologies en SSI sont souvent des technologies innovantes…
21D'après Jarvenpaa et Ives (1991), l'implication psychologique du dirigeant est déterminée par sa participation, son expérience, et l'environnement organisationnel de son entreprise.
22Pourtant, Goodhue et Straub (1991) ont montré que la perception par les décideurs des risques en SI est anormalement basse comparée à celle de l'ensemble des risques que court leur entreprise ; ils ne sont donc pas correctement préparés à faire face aux risques relatifs aux SI.
23Leur étude a déterminé que l'implication des décideurs dans la SSI de l'organisation est fonction de (figure 1) :
l'environnement organisationnel (risque inhérent au secteur) ;
l'étendue des efforts consentis pour contrôler ces risques ;
facteurs spécifiques, tels que la connaissance des sinistres précédents, l'expérience en SI.
24L'intérêt de ce modèle réside dans le fait qu'il se destine spécifiquement à la SSI et permet de plus d'estimer un niveau d'implication du décideur dans la SSI de son entreprise.
25Toutefois, ce modèle ne prend pas en compte un cas particulier : en effet, un dirigeant peut ne pas être impliqué mais se voir obligé de se conformer à certaines exigences sectorielles et réglementaires (Forte, 2008 ; Knapp et al., 2009). Dans certains cas on pourra donc parler de « SSI réglementaire », en voici quelques exemples :
26Il existe de nombreuses réglementations ayant plus ou moins de liens avec la SSI : une des plus connues est la loi informatique et libertés (CNIL) qui va engager la responsabilité pénale du dirigeant afin d'éviter que les informations nominatives gérées par l'entreprise soient « déformées, endommagées ou communiquées à des tiers non autorisés ». D'autres réglementations vont dépendre du secteur d'activité de l'entreprise (banque, santé…), d'autres dépendront de la taille, du statut ou de l'activité de l'entreprise (Loi sur la Sécurité Financière, Sarbanes Oxley…).
27Les dirigeants n'ayant pas tous le même profil (Jaouen, 2010), on peut se poser la question suivante : existe-t-il une typologie de dirigeants de PME en matière d'implication dans la SSI ? Quel rôle les caractéristiques de l'entreprise ou du secteur ont-elles sur l'implication et/ou l'action du dirigeant ? Toutes ces questions sur les leviers de l'implication et de l'action du dirigeant justifient une étude sur le terrain, il s'agit maintenant d'en définir la méthodologie.
La méthodologie adoptée
28Il a été choisi d'adopter une méthodologie qualitative et une approche interprétative, (Yin, 2008), pour de nombreuses raisons : premièrement, les études concernant les dirigeants ont été menées pour la plupart dans de grandes entreprises et appartenant souvent à une culture différente, principalement américaine. Deuxièmement, Kotulic et Clark (2004), dans leur article intitulé : « Pourquoi n'y a-t-il pas plus d'études scientifiques sur la sécurité des informations », conseillent de pratiquer des entretiens en face à face. Ils avancent que dans un domaine aussi sensible, des études à grande échelle ne sont pas adaptées, car les entreprises craignent de divulguer des informations sensibles relatives à la SSI à un « extérieur ».
29Enfin, Mucchielli (1996), définit une méthodologie de recherche qualitative comme « une stratégie de recherche utilisant diverses techniques de recueil et d’analyse qualitatives dans le but d’expliquer, en compréhension, un phénomène humain ou social » (p. 129). C'est bien la compréhension d'un phénomène avant tout humain qui est souhaitée, de plus dans un domaine peu couvert par la théorie, ce qui justifie non seulement une méthodologie qualitative mais aussi une démarche proche d'une étude de cas (Eisenhardt, 1996). Le choix s'est fixé sur une étude de cas allégée, consistant en plusieurs entretiens par entreprise : le dirigeant, la personne en charge du SI si elle existait, et des salariés. Pour chaque entreprise, deux ou trois salariés dont au moins un cadre si possible étaient désignés par le dirigeant, lors de l'entretien le concernant, afin de s'assurer de leur disponibilité. Ces entretiens étaient accompagnés d'une visite complète de l'entreprise, en portant un intérêt particulier aux dispositifs informatiques, afin d'établir une estimation du niveau de sécurité.
30La liste initiale comportait 920 PME de 20 à 200 salariés, conformément à la typologie établie par Julien et Marchesnay (1996), obtenues à partir du fichier des entreprises de la CCI locale. Deux autres critères ont permis de mieux cibler les entreprises : afin de faire ressortir l'influence du dirigeant, n'ont été conservées que celles dont le siège était local ; ont aussi été éliminées les entreprises du secteur informatique, ce qui pouvait biaiser les résultats concernant des comportements ou des connaissances « techniques ». Un courrier a été envoyé aux 530 entreprises sélectionnées, leur proposant de participer à cette étude, 20 des courriers qui sont revenus en « n'habite pas à l'adresse indiquée » n'ont pu être réexpédiés.
31Neuf entreprises sur 510 ont répondu favorablement, soit un taux de réponses positives de 1,8 %. Sept entreprises ont décliné l'offre, évoquant toutes un manque de temps, ce qui explique en partie le faible taux de réponses. Un autre élément de réponse a été apporté par Kotulic et Clark (2004) qui ont souligné suite à leur étude que peu d'entreprises acceptent de parler de la SSI car elle constitue un sujet « envahissant » et « importun ». Eux-mêmes n'avaient d'ailleurs obtenu qu'un taux de réponse de 1,6 %.
3230 entretiens semi-directifs ont été réalisés dans 9 entreprises différentes, ce qui a suffi à garantir un degré de certitude acceptable et une saturation théorique satisfaisante (Yin, 2008).
33Un guide d'entretien a été constitué pour chaque type d'acteur, comportant sept thèmes principaux divisés en sous-thèmes, ce qui correspondait à une vingtaine de questions. Les questions principales et les questions de relance ont été construites à partir des théories et modèles examinés dans la revue de la littérature, afin notamment de vérifier les facteurs de motivation et les freins aux comportements relatifs à la SSI des divers acteurs. Il était prévu dès le départ de trianguler les discours (Klein et Myers, 1999), dans le but de vérifier le partage réel des rôles et qui était le véritable instigateur des actions mises en place.
34Voici les principaux thèmes abordés :
la vision de la sécurité ;
le rôle déclaré par l'acteur ;
la vision par l'acteur du rôle des autres acteurs ;
les comportements des salariés ;
les facteurs de motivation et freins ;
les actions mises en place ou l'avis porté sur les actions mises en place ;
les sinistres observés ou vécus.
35Après avoir pris des engagements sur la confidentialité des propos échangés, les entretiens, d'une durée de 30 à 60 minutes suivant les types d'acteurs, ont été enregistrés et retranscrits, donnant lieu à plusieurs centaines de pages à traiter. Des fiches d'entretiens comportant des éléments sur le contexte ont complété les informations enregistrées. Elles ont aussi servi à prendre en compte certaines informations mises en avant précédemment (âge, ancienneté, niveau d'études…).
36Deux types d'analyses ont été menées sur ces informations : une analyse lexicale traitée à l'aide du logiciel Alceste 2010 a permis d'obtenir une première approche de la masse d'informations récoltées lors des entretiens et de définir une typologie de dirigeants et de salariés. Les outils d'analyse de données textuelles permettent une objectivation et donc une mise à distance du chercheur, ce qui permet « d'augmenter la validité des analyses de contenu classiques et de laisser surgir des notions nouvelles tout en proposant des garde-fous à des interprétations trop projectives » (Fallery, 2006, p. 3).
37Les entretiens ont été adaptés afin de pouvoir être analysés par le logiciel (voir annexe C).
38Pour chaque analyse, Alceste produit un nombre important d'informations : un dendrogramme des classes créées (voir figure 2), un rapport d'analyse de 40 pages environ dans lequel on trouve principalement les mots les plus utilisés par classe, classés par chi-2 décroissant, ainsi que les AFC des variables signalétiques et des mots les plus cités.
39Le deuxième type d'analyse correspond à un ensemble d'analyses de discours manuelles, réalisées en accord avec la méthodologie proposée par Miles et Huberman (2003) : trois matrices interentreprises (une par type d'acteur) et neuf matrices intra-entreprises (tous acteurs confondus, dont un extrait est visible en annexe D) ont été créées, permettant de plus de croiser les discours entre eux. Vingt-cinq tableaux d'analyse ont ensuite été établis, soit pour condenser les données au sens de Miles et Huberman (2003) afin de détailler un thème précis, soit pour croiser certaines informations (Klein et Myers, 1999). De ces diverses analyses découlent les résultats présentés dans la partie suivante.
LES RESULTATS DE L'ETUDE
40Les données signalétiques des entreprises rencontrées sont présentées dans le tableau 1 en annexe A ; le tableau 2 contient les principales caractéristiques des dirigeants.
41Dans un premier temps, une approche préalable a été conduite à partir des entretiens dans lesquels la vision de la SSI par les dirigeants était abordée, puis leur implication a été déterminée en utilisant les critères du modèle de l'implication.
42Dans un deuxième temps, une analyse de contenu avec le logiciel Alceste a conduit à une typologie de dirigeants qui a servi de cadre pour la présentation de l'ensemble des résultats des analyses automatisées et manuelles. Enfin, un retour sur les entretiens fait apparaître les principaux freins à l'implication et à l'action des dirigeants.
Vision de la SSI et estimation d'un niveau d'implication
La vision de la SSI par le dirigeant
43En annexe B, les tableaux 1a-b correspondent à un extrait du verbatim représentant la SSI vue par les dirigeants.
44Dans l'entreprise 1 (E1), le dirigeant a très bien compris que son entreprise vivait surtout grâce à son fichier client. Donc tout a été mis en place pour qu'il soit protégé, même si « c'est pas très rentable ». Il pratique aussi un « cloisonnement » des informations qui circulent dans l'entreprise : « chaque fonction doit savoir ce qu'elle a à savoir et pas forcément plus ».
45Dans E2, la dirigeante n'est pas concernée par la SSI, elle reconnaît que la comptabilité doit être protégée, ainsi que les entrepreneurs hébergés dans sa pépinière d'entreprises. Mais elle considère que son activité de pépinière d'entreprise n'a aucun secret à cacher et une fermeture éventuelle de l'entreprise en cas de gros problème ne la touche même pas.
46La dirigeante (E4) reconnaît l'importance de la sécurité dans son entreprise. Elle voit surtout l'aspect confidentialité, dans les documents, les conversations et la surveillance des visiteurs, et en creusant un peu, elle déclare avoir « chiffré et assuré » ses fichiers les plus importants. Elle a pris en charge tout ce qui constitue la SSI et ne transfère les problèmes à son prestataire extérieur que si elle ne peut les résoudre.
47Le dirigeant de E5 considère que le secret des formules de ses peintures n'est pas déterminant dans la mesure où les concurrents peuvent les analyser. Rien a priori n'est vraiment secret, et en cas de problème informatique « on le fera à la main ». Il reconnaît que pour la SSI « on pêche à ce niveau-là, il faut quand même faire des efforts. Cela j'en suis convaincu ». Il est très fataliste quant à la sécurité apportée par les mots de passe, il craint plus une trahison de son prestataire extérieur que toute autre menace. Il déclare avoir une certaine implication, mais qu'elle « se traduit par pas grand-chose ».
48Dans E6, la dirigeante reconnaît que le milieu médical favorise une culture de confidentialité. Elle s'occupe elle-même des problèmes liés à l'informatique et à son évolution.
49La dirigeante de E7 ne parle que de discrétion et la confidentialité n'est assurée que parce que les personnels manipulent très peu d'informations. Elle gère avec le prestataire extérieur l'évolution du SI et de sa sécurité mais, pour les problèmes quotidiens, les salariés appellent souvent directement le prestataire.
50Dans E8, une confidentialité de base est assurée, le dirigeant EL reconnaît qu'« il y a tout à faire » sur le plan de la SSI, mais rien n'est fait…
51La dirigeante de E9 a déclaré que leur confidentialité interne et externe était très importante. Elle gère elle-même la sécurité au sens large du terme, et pour la partie plus technique, tout se passe en collaboration avec le responsable SI interne. C'est la seule entreprise qui dispose de son propre service informatique, ce qui peut s'expliquer notamment par la taille de la PME (130 salariés).
Une estimation du niveau d'implication du dirigeant
52La vision des dirigeants est assez contrastée et témoigne de niveaux d'implication très différents. Afin de distinguer les dirigeants les moins impliqués des plus impliqués, leur degré d'implication a été estimé à partir du modèle de Goodhue et Straub (1991) vu en figure 1.
53Cette implication calculée, si elle est basée sur trois paramètres définis dans la partie théorique, reste toutefois quelque peu subjective dans l'estimation du niveau et de la pondération de chaque élément. C'est pourquoi, un retour vers la matrice interentreprises a permis de vérifier et d'affiner l'estimation du niveau de chaque paramètre du tableau 1 ci-après en revenant aux discours retranscrits, notamment en confrontant les discours des dirigeants à ceux des salariés de leur entreprise : ont-ils réellement constaté l'implication de leur dirigeant ? Agit-il autant qu'il le dit ?
54Une question d'approfondissement spécifique a été posée sur la perception de l'environnement organisationnel (concurrence, risques liés). Les mesures de sécurité prises par les dirigeants sont détaillées en annexe B, tableaux 2 et 3. La connaissance des sinistres précédents et de leur gravité correspond à une question du guide d'entretien, tandis que l'expérience en SI a été évaluée au travers des entretiens (vocabulaire utilisé, réponse aux questions spécifiques…).
55Même si le dirigeant n'est pas très impliqué, il est parfois obligé de mettre en place certaines actions, qui peuvent paraître plus importantes que ne le laisserait présager son niveau d'implication. Des incitations à l'action sont déjà intégrées au modèle de Goodhue et Straub, (1991) : par exemple, les craintes liées à la concurrence vont inciter le dirigeant à agir, même si son implication n'est pas très élevée.
56Le tableau 1 classe les dirigeants par ordre d'implication : cet ordre n'a pas pour ambition d'être absolu mais permet surtout de mieux appréhender les différences entre les dirigeants. L'ordre peut donc être discuté, notamment pour E1 et E6 : l'entreprise 1 a été positionnée en 4ème position car le dirigeant, s'il prend beaucoup de mesures de sécurité au niveau global (confidentialité, armoires blindées…), est peu porté sur la partie informatique du SI.
57Toujours afin de faire apparaître des différences entre les dirigeants et de mieux les comprendre, leurs discours ont été soumis au logiciel d'analyse Alceste. Cette analyse a permis de rechercher des indices qui ne soient pas influencés par d'éventuels a priori.
Vers une typologie de dirigeants
58Après une remise en forme des retranscriptions d'entretiens comme expliqué en annexe C, il restait un corpus de 26 250 mots à analyser. Après réduction automatique par le logiciel des pluriels et désinences de conjugaison puis élimination des mots utilisés une seule fois, il restait environ 1 750 mots susceptibles d'être analysés et 384 mots « outils » (non pris en compte dans l'analyse). Alceste a mis en évidence 621 unités de contexte élémentaires (U.C.E.), dont 71 % (soit 441) ont pu être réparties en 4 classes, ce qui est un bon résultat (Reinert, 1990). La figure 2 ci-dessous représente ces 4 classes.
59Huit variables signalétiques ont été prises en compte :
pour l'entreprise, 3 variables ont été considérées : la taille, la présence ou non d'intérimaires parmi les salariés, et l'âge ;
pour le dirigeant, les 5 variables sont le nom, le diplôme, le sexe, l'âge et l'expérience.
6072 % de l'inertie totale est expliquée par les deux axes mis en évidence par l'AFC en figure 3, ce qui est satisfaisant vu le nombre de variables étudiées.
61L'appartenance aux diverses classes des variables signalétiques est détaillée en annexe E. Les abréviations sont expliquées en annexe C, ainsi Nom_9SG représente le dirigeant de l'entreprise 9, suivi de ses initiales.
62Une ellipse a été superposée à la figure 3 pour faire ressortir les quatre dirigeants les plus impliqués (VA, MG, SG et JJH, voir tableau 1). Les centres de classes correspondent aux cercles C1 à C4.
Caractérisation de l'axe horizontal
63Ce sont plutôt l'âge et le diplôme qui vont caractériser la position sur l'axe horizontal, qui explique à lui seul 38 % de l'inertie.
64Les classes 3 et 4 contiennent les mots sécurité, contrat, stratégie, secret, tandis que la classe 1 exprime plutôt ce qu'il y a à protéger ou ce dont il faut se méfier : concurrents, clients, produits, prix, offre (les mots présents et absents de chaque classe figurent en annexe E).
65De gauche à droite, cinq variables sont nettement opposées : à gauche de l'axe, on trouve plutôt les femmes, les personnes les plus jeunes, les moins expérimentées, les personnes les plus diplômées ainsi que les entreprises les plus anciennes.
66La taille de la PME ne semble pas constituer un facteur déterminant, que ce soit pour l'axe horizontal ou vertical.
Caractérisation de l'axe vertical
67Il correspond à une différence de technicité dans les discours, les plus techniques étant situés en haut du graphe.
68Les deux tableaux ci-dessous confrontent les caractéristiques des dirigeants les plus impliqués avec celles des dirigeants les moins impliqués :
69La différence au sujet de l'âge est très nette : trois dirigeants sur quatre ont moins de 35 ans pour les impliqués, et tous ont plus de 42 ans pour les non-impliqués.
70Le niveau d'études ressort moins, mais on retrouve trois Bac+4 et 5 dans les impliqués et deux autodidactes dans les non-impliqués.
71A une exception près, on retrouve les personnes ayant les niveaux en SI les plus corrects dans les impliqués et les plus faibles dans les non-impliqués.
72Les trois éléments qui pourraient expliquer l'implication seraient donc un âge bas, un niveau scolaire élevé (renforçant par exemple une vision globale de l'entreprise) et un niveau correct de connaissances en SI.
73Enfin, l'âge et le niveau en SI pourraient être liés, la micro-informatique s'étant développée dans l'éducation supérieure à partir du début des années 1980, les plus jeunes dirigeants pourraient avoir eu des contacts avec l'informatique plus importants durant leurs études.
74Les quatre classes mises en évidence ci-dessous sont certes difficilement généralisables, du fait du nombre limité de cas, mais elles sont cohérentes avec l'analyse des contenus d'entretiens enregistrés qui vont en enrichir l'interprétation.
Etude de la classe 1 : les « méfiants »
75Les personnes appartenant à cette classe seraient plutôt des hommes, peu diplômés et surtout peu impliqués.
76Leur vocabulaire est plutôt basé (mots apportant les plus fortes contributions à cette classe) sur les clients, concurrents, produits, formules des produits et prix.
77On retrouve effectivement EL (E8) et JFC (E5) qui sont autodidactes. Un retour sur leurs entretiens montre qu'ils s'interrogent tous deux sur leur niveau de sécurité car ils ressentent certains risques, mais de manière très diffuse.
78Ils se considèrent plutôt comme « perdus » face à la SSI car leur niveau est très faible en informatique et ne s'intéressent pas aux SI Ils ne se rendent pas vraiment compte des dangers réels qu'ils courent et, même s'ils sont méfiants, ils sont plutôt résignés. L'un n'a pas confiance dans son prestataire extérieur et pense pouvoir continuer à travailler « à la main » en cas de blocage (voir le verbatim en annexe B) et l'autre craint qu'un concurrent sache sur quels appels d'offres il est positionné et à quel prix, mais il ne prend aucune mesure pour se protéger, que ce soit au niveau des accès, des fichiers ou des échanges. EL et JFC ne sont donc pas impliqués et n'agissent pas.
79Une troisième personne, JJH (E1), fait partie de cette classe : sa présence dans cette classe s'explique par son discours mettant en avant le secteur fortement concurrentiel de son entreprise (centre d'appels parapharmaceutiques) et l'importance de son fichier client pour son activité. En revanche, il est beaucoup plus sensibilisé aux problématiques globales de sécurité du fait de son passé (culture de confidentialité, connaissance des S.I.) et de son niveau d'éducation (Bac+5) : ainsi, son implication est assez importante, il a agi en mettant en place les mesures de base pour préserver son entreprise et a fait appel à un spécialiste pour sécuriser son fichier client.
Etude de la classe 2 : les « techniques »
80RM (E7) est la seule dirigeante qui se trouve dans cette classe. Elle assumait effectivement le rôle d'interface avec son prestataire extérieur. Le vocabulaire technique a été maîtrisé au fil du temps mais malheureusement, ce n'est pas pour cela que cette entreprise est bien protégée. En effet, une estimation du niveau de sécurité de chaque entreprise a été réalisée, situant l'entreprise 7 parmi les trois dernières : la triangulation avec les interviews des salariés a mis en évidence de grosses failles de sécurité, notamment au niveau de la confidentialité, même si à un niveau global des mesures basiques sont prises.
81Les mots apportant la plus forte contribution à cette classe sont les mots serveur, sauvegarder, ordinateur, antivirus.
Etude des classes 3 et 4 : les « sécuritaires »
82Ces deux classes sont très proches et se recouvrent sur l'AFC. La classe 3 correspondrait à une vision « secret et confidentialité », plutôt liée au milieu médical et dans une moindre mesure à la notion de « certification/contrôle » : on pourrait relier ceci à une culture dépendant du secteur d'activité de l'entreprise, une sécurité « règlementaire » en quelque sorte, qui pourrait s'appliquer à d'autres domaines, tel que par exemple le secteur financier. En revanche, la réglementation n'aura une incidence sur la SSI que si elle inclut des éléments proches des S.I : ainsi une réglementation du secteur de la santé sera par exemple moins exigeante qu'une réglementation du secteur bancaire.
83Pour la classe 4 le discours serait plutôt axé sur une vision assez globale de la sécurité, comme le suggèrent les mots les plus représentatifs de cette classe : sécurité, stratégie, direction, entreprise et contrat. D'autres mots utilisés à moindre titre sont liés au comportement, à l'explication, à la motivation, à la conscience, tout en faisant appliquer des consignes, par des clauses contractuelles ou non. SG (E9) et MG (E4) utilisent des termes très proches quand il s'agit, par exemple, de rappeler à l'ordre les salariés.
84Après un retour sur les entretiens, c'est dans les classes 3 et 4 que l'on retrouve les dirigeants qui agissent le plus et qui semblent les plus préoccupés par la SSI, avec une exception toutefois pour NL, de l'entreprise 2, qui n'est absolument pas motivée et n'agit pas dans la SSI. Cette exception peut se comprendre si l'on prend en compte le fait que NL n'a aucune connaissance technique et ne s'intéresse pas à l'informatique, elle est d'ailleurs positionnée au plus bas dans l'AFC en figure 3.
85Pour terminer, on remarque un quadrant vide en haut et à droite de l'AFC : puisque le niveau scolaire et l'âge sont à gauche et semblent liés à l'implication. Si le niveau technique est aussi un facteur d'implication, il pourrait sembler logique de ne trouver personne dans ce quadrant : en effet cela correspondrait à des dirigeants ayant un âge compris entre 40 et 60 ans avec un niveau scolaire bas, mais très bons en informatique, ce qui constituerait un profil peu fréquent encore aujourd'hui.
86Globalement, il est possible de résumer ainsi les principaux résultats de cette analyse :
une certaine méfiance vis-à-vis du marché (classe 1) dans lequel se situe l'entreprise est un facteur d'implication, mais qui ne suffira pas à déclencher des actions de la part du dirigeant dans la SSI de son entreprise, s'il n'a pas un minimum de connaissances en SI ;
une vision globale de la sécurité de l'entreprise va favoriser l'implication dans la SSI (classe 4), mais encore une fois, un niveau minimal de connaissances en SI est nécessaire pour que le dirigeant agisse effectivement ;
une culture et des normes liées à un secteur donné favorisent l'implication et l'action du dirigeant (classe 3), mais d'une manière plus « forcée » et règlementaire. La règlementation ne garantissant pas forcément des actions adaptées en matière de SSI, surtout si le dirigeant a des connaissances en SI insuffisantes…
si un niveau de culture moyen en informatique est bénéfique, un trop fort niveau ne garantit pas pour autant une SSI satisfaisante. Il peut manquer une vision globale de la SSI et une méfiance nécessaires pour aller au-delà de la mise en place de mesures basiques.
87Enfin, les variables identifiées dans la littérature concernant l'implication du dirigeant dans le management des technologies de l'information (sexe, âge, niveau scolaire, vécu…), s'appliquent aussi dans le cadre de la SSI.
88Ces résultats affinent et complètent les résultats de l'étude de Goodhue et Straub (1991) et leur modèle de l'implication.
89Afin de mieux impliquer et surtout amener les dirigeants à agir davantage dans la SSI de leur entreprise, une mise en évidence des principaux freins à l'action a été réalisée, dont voici les principaux résultats.
Les autres freins à l'action
90Une question demandait explicitement aux dirigeants quels sont les freins qu'ils identifient. Les freins évoqués par les dirigeants lors des entretiens ont été regroupés dans le tableau 4. L'implication du dirigeant est rappelée en dernière ligne pour en faciliter la lecture.
91Les dirigeants très peu voire non-impliqués évoquent tous le manque de connaissances (E2, E5 et E8), alors que les deux dirigeants les plus impliqués, (E4, E9), n'évoquent pas ce problème. Ce manque de connaissances pose surtout le problème d'arriver à identifier l« quoi faire ? » qui va s'avérer être un obstacle à l'action.
92Les quatre dirigeants les plus impliqués évoquent un manque d'argent ou de temps, En revanche aucun des dirigeants les moins impliqués n'aborde ces problèmes : ce ne serait donc pas un frein pour eux, puisqu'ils ne cherchent pas à « faire ».
93Les quatre entreprises dont les dirigeants sont les plus impliqués font gérer leur SI et sa sécurité à temps partiel par une société extérieure. Si elles avaient plus de moyens financiers, elles augmenteraient le temps de présence du prestataire extérieur. A l'opposé, dans les trois entreprises où le dirigeant est le moins impliqué (E2, E5, E8), à chaque fois un salarié tente d'assurer la SSI de l'entreprise, et quand il est dépassé il fait appel à un prestataire extérieur.
94La dirigeante de E7 prend partiellement en charge la partie informatique, guidée par un extérieur qui vient tous les quinze jours. Cette prise en charge par le dirigeant est plus répandue quand les dirigeants sont impliqués : deux dirigeants des quatre entreprises « impliquées » vont filtrer ou tenter de résoudre les problèmes avant de faire appel au prestataire extérieur (E4, E6).
95Parmi les quatre dirigeants les plus impliqués, trois évoquent d'autres arguments, comme pour s'excuser de ne pas faire plus (« il y a d'autres priorités » ou « cela ne fait pas de ventes »), pourtant ils agissent. En revanche, parmi les dirigeants non-impliqués, JFC explique qu'il ne fait rien car il faudrait repenser toute l'organisation de son entreprise pour mettre en place une SSI suffisante et qu'il n'en voit pas l'intérêt.
96Enfin, certains éléments sont ressortis au cours des entretiens, comme la difficulté à appréhender les risques encourus et la difficulté à chiffrer les pertes possibles. Effectivement, ces deux éléments peuvent être assimilés à un frein : si je ne cours pas de risques particuliers et si mes pertes possibles sont faibles, pourquoi m'investirais-je ? On remarque d'ailleurs que les dirigeants les moins impliqués vont bloquer certaines mesures de sécurité (Annexe B, Tab3) : l'une fait annuler le changement automatique de mots de passe, un autre bloque un système de télémaintenance par manque de confiance dans son prestataire. Le dirigeant de E8 a même bloqué l'acquisition d'un serveur à moins de 1 000 € : l'aurait-il fait si on lui avait expliqué que ses informations valent dix ou cent fois plus, et qu'un serveur aurait permis une sauvegarde automatique et centralisée dans son entreprise ? Des salariés de son entreprise ont perdu des journées entières de travail non sauvegardées, la perte d'activité justifie à elle seule la mise en place d'un système de sauvegarde, de sécurisation du réseau et des accès au matériel.
CONCLUSION
97Cette étude avait pour objectif d'apporter un éclairage sur les facteurs de l'implication des dirigeants de PME dans le cadre de la SSI, qui constitue un domaine sensible et peu couvert par la littérature en sciences de gestion. Elle comprend les limites usuelles liées à la méthodologie qualitative adoptée pour étudier ce sujet. L'autre limite de ce travail tient au dispositif d’enquête auprès de 9 PME qui gagnerait à être éprouvé auprès d’autres organisations par d’autres méthodologies.
98Il y a tout d'abord un problème de généralisation des résultats : si les classes mises en évidence peuvent sembler logiques, seule une étude à plus grande échelle pourra les vérifier et les affiner si nécessaire. Pourtant une étude à grande échelle par questionnaire semble difficile car elle se verrait confrontée au problème qui s'est déjà posé à Kotulic et Clark (2004) : les entreprises ne souhaitent pas traiter d'un sujet sensible à distance, de plus avec des personnes « extérieures ».
99Deuxièmement, lors de prochaines études, il serait souhaitable de mieux prendre en compte les aspects « SSI règlementaire » que peuvent présenter certaines normes ou législations ainsi que le secteur d'activité de l'entreprise. Il s'agirait alors d'identifier, par exemple, les organisations qui sont les plus sensibles à la confidentialité des données telles que celles dépendant fortement de la disponibilité et de l'intégrité de leurs informations (plateaux de télévente par exemple), ou bien des entreprises appartenant à des secteurs innovants ou de pointe. Il serait aussi intéressant d'identifier les lacunes que peuvent présenter certaines réglementations, pour montrer qu'elles ne sont pas forcément suffisantes et que d'autres mesures de sécurité doivent les compléter.
100Les résultats obtenus sont en phase avec les éléments identifiés dans l'étude de la littérature, mais leur action est mieux comprise : la croyance que le secteur de l'entreprise peut être concurrentiel, la méfiance vis-à-vis des divers acteurs (employés, clients, fournisseurs, prestataires) vont plutôt agir comme des « moteurs », alors que la vision globale de l'entreprise (liée à l'expérience et au niveau d'éducation) et le niveau de connaissances en SI (lié au niveau d'éducation et aux actions mises en place) vont plutôt agir comme des « facilitateurs ». Si les moteurs n'existent pas, les facilitateurs seront certes utiles, mais pas forcément assez pour garantir une sécurité qui soit globale et satisfaisante.
101Les entretiens ont aussi fait apparaître la mauvaise perception des risques encourus, la difficulté de l'évaluation de la valeur des informations sous forme électronique, et ont confirmé l'influence de l'implication du dirigeant sur les salariés.
102Les dirigeants sont aussi bloqués dans leurs actions car ils ne savent pas quoi faire : certains vont parfois agir mais vont alors déléguer, d'autres vont mettre en place des mesures basiques et s'arrêter là…
103Sur un plan managérial, ces travaux peuvent servir à mettre en place des campagnes de sensibilisation ou de formation adaptées aux dirigeants. Il s'agirait de leur donner un enseignement de base en SI et de les sensibiliser aux problématiques relatives à la sécurité des SI en les aidant, par exemple, à estimer la valeur de leurs informations, des principaux risques auxquels ils devront faire face, des conséquences de certains sinistres liés à leur activité et à leur secteur.
104Pour le discours à tenir auprès des dirigeants, il serait possible d'exploiter les leviers de leur implication mis en évidence et de leur expliquer pourquoi ils doivent prendre en charge la SSI de leur entreprise, que ce soit au sujet de la nécessité d'arbitrer les dépenses et disposer d'une SSI en accord avec leur stratégie ou de leur vision de leur entreprise. Les notions de concurrence dans leur secteur d'activité et l'influence qu'ils peuvent avoir sur leurs employés pourraient aussi être exploitées.
105Enfin, les dépenses en sécurité des SI ne sont pas qu'une perte sèche pour l'entreprise. Le Clusif (2004) a d'ailleurs édité un document traitant du ROSI (Return On Security Investment) mettant en avant des arguments technologiques (réduction des coûts d'infrastructures et des incidents de sécurité et nuisances), métiers (diminution des primes d'assurance, amélioration de l'image et de la qualité de service), réglementaires (responsabilités civiles, pénales, liées à l'activité ou au secteur d'activité) et normatifs (pressions du marché pour adopter des normes telles ISO 27000 par exemple).
106Reste à définir le mode de communication (présenter des avantages ou faire peur en présentant les risques ?) et surtout à identifier un moyen de transmettre aux dirigeants les éléments qui viennent d'être évoqués…
107Sur un plan théorique, il serait désormais intéressant d'élargir cette étude qui portait sur neuf cas : divers secteurs, activités (y compris le cas particulier des activités de pointe), et tailles d'entreprises pourraient être explorés.
108Au sujet des leviers de l'implication et d'action, il serait intéressant de mieux comprendre comment ils s'articulent entre eux : par exemple, un dirigeant impliqué sera freiné dans son action s'il a des connaissances trop faibles, mais un dirigeant non impliqué va agir s'il doit se conformer à des réglementations.
109Par ailleurs, de nombreuses questions subsistent : a-t-on identifié tous les « moteurs » du dirigeant ? Quels sont les éléments « facilitateurs » et comment agissent-ils ? Existe-t-il une hiérarchie dans des leviers de l'implication et de l'action du dirigeant ? Quels sont les moyens d'initier le cercle vertueux qui apparaît dans le modèle de Goodhue et Straub : plus le dirigeant agit, plus il augmentera ses connaissances, plus il s'impliquera et donc plus il agira ?
Bibliographie
Des DOI sont automatiquement ajoutés aux références bibliographiques par Bilbo, l’outil d’annotation bibliographique d’OpenEdition. Ces références bibliographiques peuvent être téléchargées dans les formats APA, Chicago et MLA.
Format
- APA
- Chicago
- MLA
BIBLIOGRAPHIE
10.1016/j.istr.2008.10.006 :Ashenden D., (2008). "Information security management : A human challenge ?", Information security technical report, (13), 195-201.
10.1016/j.cose.2008.03.002 :Anderson E.E. and Choobineh J., (2009), Enterprise information security strategies, Computers & Security, (27), 22-29.
Avolio F.M., (2000), "Best practices in network security : as the networking landscape changes, so must the policies that govern its use. Don’t be afraid of imperfection when it comes to developing those for your group", Network Computing, 60 (20), 60-72.
10.1057/ejis.2009.8 :Boss S.R., Kirsh L.J., Angermeier I., Shingler R.A. and Boss R.W., (2009), "If someone is watching, I'll do what I'm asked : mandatoriness, control and information security", European Journal of Information Systems, (18), 151-164.
Bruce G. and Dempsey R., (1997), Security in Distributed Computing - Did You Lock the Door ?, Hewlett Packard Company, Palo Alto, USA.
CERT, (2009), CERT Statistics 1995-2008, Computer Emergency Response Team, http://www.cert.org/stats/ (accédé le 30 juillet 2010).
Clusif, (2004), Retour sur investissement en SSI : quelques clés pour argumenter.
Clusif, (2008), Politiques de sécurité des systèmes d'information et sinistralité en France.
Clusif, (2010), Menaces Informatiques et Pratiques de Sécurité en France.
Davenport T., (2002), Privilégier l'information sur la technologie, http://www.lesechos.fr/formations/manag_info/articles/article_1_1.htm (accédé le 30 juillet 2010)
10.1046/j.1365-2575.2001.00099.x :Dhillon G. and Backhouse J., (2001), "Current directions in IS security research : towards socio-organizational perspectives", Information Systems Journal, (11), 127-153.
10.1016/j.cose.2008.11.007 :Dlamini M.T., Eloff J.H.P. and Eloff M.M., (2009), "Information security : The moving target", Computers & Security, (28), 189-198.
10.2307/41166154 :Dutta A. and McCrohan K., (2002), "Management's role in information security in cyber economy", California Management Review, (45) 1, 67-87.
10.5465/AMR.1989.4308385 :Eisenhardt K.M., (1989), "Building theories from case study research", Academy of Management Review, 14 (532), 57-74.
Fallery B., (2006), "Les trois approches de l'analyse de données textuelles : lexicale, linguistique, thématique", Working Paper.
Forcht K.A. and Ayers W.C., (2000), "Developing a computer security policy for organizational use and implementation", Journal of computer information systems, Winter 2000/2001, 41 (2), 52-57.
10.1016/S1353-4858(08)70033-3 :Forte D., (2008), "Selling security to top management", Network Security, March, 18-20.
Goodhue D.L. and Straub D.W., (1991), "Security concerns of systems users : a study of perceptions of the adequacy of security measures", Information and Management, (20) 1, 13-27.
Grover V., (1993), "Empirically derived model for the adoption of customer-based inter-organizational systems", Decision Sciences, (24) 3, 603-639.
10.1108/09685220510614425 :Gupta A. and Hammond R., (2005), "Information systems security issues and decisions for small businesses : an empirical examination", Information Management and Computer Security, (13) 4, 297-310.
10.2307/2392150 :Helmich D.L. and Brown W.B., (1972), "Successor type and organizational change in the corporate enterprise", Administrative science quarterly, (17), 371-381.
10.2307/2393392 :Hofstede G., Neuijen B., Daval-Ohayv D. and Sanders, G., (1990), "Measuring organizational cultures : a qualitative and quantitative study across twenty cases", Administrative science quarterly, Cornell university, (35), 286-316.
INSEE, (2008), Tableaux de l'Économie Française, INSEE Références, Paris.
10.1080/08276331.2010.10593478 :Jaouen A., (2010), "Typologie de dirigeants de très petite entreprise", Journal of Small Business and Entrepreneurship, (23) 1, 33 p.
10.2307/249382 :Jarvenpaa S.L. and Ives B., (1991), "Executive involvement and participation in the management of information technology", MIS Quarterly, (15) 2, 205-227.
Julien P.A. and Marchesnay M., (1996), L'entrepreneuriat, Economica, Paris.
10.1145/1435417.1435446 :Johnston A.C. and Hale R., (2009), "Improved Security through Information Security Governance", Communications of the ACM, (52) 1, 126-129.
Kankanhalli A., Hock-Hai T. Bernard C.Y.T. and Kwok-Kee W., (2003), "An integrative study of information systems security effectiveness", International journal of information management, (23), 139-154.
10.2307/249410 :Klein H.K. and Myers M.D., (1999), "A Set of Principles for Conducting and Evaluating Interpretive Field Studies in Information Systems", MIS Quarterly, (23) 1, 67-94.
10.1108/09685220610648355 :Knapp K.J., Marshall T.E., Kelly Rainer R. and Nelson Ford F., (2006), "Information security : management's effect on culture and policy", Information Management and Computer Security, (14) 16, 24-36.
10.1016/j.cose.2009.07.001 :Knapp K.J., Morris R.F., Marshall T.E. and Byrd T.A., (2009), "Information security policy : An organizational-level process model", Computers & Security, (28), 493-508.
10.1016/j.im.2003.08.001 :Kotulic A. and Clark J.G., (2004), "Why there aren't more information security research studies", Information and Management, (41) 5, 597-607.
Lucas H.C. Jr, (1981), Implementation : the key to successful information systems, Columbia University Press, New York.
10.1145/358141.358148 :Markus M.L., (1983), "Power, politics, and MIS implementation", Communications of the ACM, (26) 6, 430-444.
Miles M. B. et Huberman A.M., (2003), Analyse des données qualitatives, De Boeck, Bruxelles.
10.1108/03074809910285888 :Mitchell R.C., Marcella R. and Baxter G., (1999), "Corporate information security management", New Library World, (100) 1150, 213-227.
Monnoyer M.C., (2003), Le dirigeant confronté à la décision d'investissement en TIC, in Boutary, TIC et PME : des usages aux stratégies, l'Harmattan, Paris.
Mucchielli A., (1996), Dictionnaire des méthodes qualitatives en sciences humaines et sociales, Armand Colin, Paris.
10.1002/smj.4250090303 :Norburn D. and Birley S., (1988), "The top management team and corporate performance", Strategic management journal, (9) 3, 225-237.
10.1080/10658980701260579 :Rainer R.K., Marshall T.E., Knapp K.J. and Montgomery G.H., (2007). "Do Information Security Professionals and Business Managers View Information Security Issues Differently ?", Information Systems Security, (16), 100-108.
Reid R.C. and Gilbert A.H., (2009), "Cognitive Support for Senior Manager's Decision Making In Information Systems Security", Proceedings of the academy of information and management sciences, (13) 1, 58-62.
10.1177/075910639002600103 :Reinert M., (1990), "Alceste : une méthodologie d'analyse des données textuelles et une application à Aurélia de G. de Nerval", Bulletin de méthodologie sociologique, (26), 24-54.
Reix R., (2004), Systèmes d'information et management des organisations, Vuibert, Paris.
Robinson S. and Volonino L., (2004), Principles and practices of information security, Pearson Prentice Hall, New Jersey.
Rockart J.F. and Crescenzi A.D., (1984), "Engaging top management in information technology", Sloan Management Review, (25) 4, 3-16.
Ross J. and Weill P., (2002), "Six decisions your IT people shouldn't make", Harvard Business Review, November, 85-91.
Schein E.H., (1990), Organizational culture and leadership, Jossey-Bass, San Francisco.
10.1002/smj.4250030411 :Song J.H., (1982), "Diversification strategies and the experience of top executives of large firms", Strategic management journal, (3), 377-380.
10.2307/255721 :Stevens J.M., Beyer J.M. and Trice M.H., (1978), "Assessing personal role and organizational predictors of managerial commitment", Academy of management journal, (21), 380-396.
10.1108/09685220210431872 :Vermeulen C. and Von Solms R., (2002), "The information security management toolbox : Taking the pain out of security management", Information management & Computer Security, (10) 3, 119-125.
10.1016/S1353-4858(07)70073-9 :Williams P., (2007). "Executive and board roles in information security", Network Security, (8), 11-14.
Yin R.K., (2008), Case study research : design and methods, Sage Publications, Thousand Oaks, CA.
Annexe
ANNEXE A :CARACTERISTIQUES DES ENTREPRISES ET DES DIRIGEANTS INTERROGES
ANNEXE B : SELECTION DE VERBATIM : VISION DE LA SSI ET ACTIONS MENEES
Tableau 1a : Vision de la SSI par les dirigeants
Entreprise 1 : J.J.H.
"Je considère que cela crée de la valeur d'avoir des procédures".
"Je dirais, c'est pas très rentable, mais d'un autre côté, à terme, c'est indispensable".
Entreprise 2 : N.L.
"Je n'ai pas peur". "Je peux concevoir qu'on sécurise des informations mais […], moi je ne sécurise rien et j'ai rien à cacher, quoi."
"Au pire mon entreprise disparaît et est-ce que c'est très important ?". La comptabilité est sécurisée : pour le fisc et pour "respecter le travail du comptable".
Entreprise 4 : M.G.
"La sécurité de l'information est indispensable, parce que […], ce que l'on fait ou voit dans l'entreprise doit rester dans l'entreprise."
"Il faut une certaine paranoïa, une paranoïa raisonnée".
Entreprise 5 : J.F.C.
"Il est évident qu'il faut préserver nos formules, […], mais c'est pas absolument essentiel."
"Qu'on n'ait plus accès à nos sauvegardes et que le système informatique soit en panne, là on serait vraiment dans la mouise".
"Le risque ne me paraît pas énorme dans la mesure où on n'est pas dans des technologies de pointe".
"Si l'informatique tombe en panne et qu'on ne peut plus enregistrer les commandes avec l'ordinateur, on le fera à la main."
Tableau 1b : Vision de la SSI par les dirigeants (suite)
Entreprise 6 : V.A.
"Je suis sensible [à la confidentialité], mais je crois que cela fait partie de la culture maison".
"On est sensibilisés par rapport au secret médical et au secret professionnel de manière générale".
"On est sensibilisés aussi par rapport aux échanges que l'on peut avoir avec l'extérieur" (peur d'une mauvaise publicité).
"On n'aurait pas de perte totale d'information, dans la mesure où on a toujours un dossier papier"
Entreprise 7 : R.M.
"Cela concerne la discrétion de chaque personne."
"De toute façon, s'il fallait rattraper une semaine de travail, on serait déjà mal"
Redoute un problème sur "la saisie des bons de livraison, quand cela se transforme en facture. Là, ce serait la catastrophe".
Entreprise 8 : E.L.
"C'est la protection de nos prix dans les appels d'offres."
"Le fichier comptable et le travail du dessinateur doivent représenter des coûts énormes".
"Je pense que le risque le plus important c’est que quelqu’un dise : « tiens, [notre entreprise] va répondre sur telle affaire »".
Pourtant, il est conscient des risques encourus (1 jour de blocage = problème). "Et j’aime pas l’informatique".
Entreprise 9 : S.G.
"La sécurité des informations, par rapport à la concurrence, c'est quelque chose de très-très stratégique, parce que sur 60 % de notre activité, on travaille sur des montages qui sont uniques".
"La sécurité informatique c'est de ne pas donner l'accès à tout, à une personne qui peut nuire demain. […], c'est ce volant qui concerne plutôt la confidentialité, je dirais, après les problèmes physiques".
Tableau 2 : Actions menées par les dirigeants les plus impliqués
Entreprise 1 : J.J.H.
Pour l'informatique : "On" a refait, "j'ai fait faire".
Segmentation des infos
Arrêt de la location de fichiers
A mis en place les procédures de sécurité existantes.
"Les vendeurs, le meilleur moyen de les protéger contre eux-mêmes, c'est de leur parler des produits qu'ils ont à vendre".
Ordinateurs des intérimaires bridés : pas de cédérom
Droits d'accès protégés par mot de passe.
Modernisation sauvegardes
Achat armoires "fortes"
"C'est une impulsion mais cela reste "artisanal".
Entreprise 4 : M.G.
Elle nous dit s'occuper de tout (gère la société extérieure).
"Je m'occupe avec ma collaboratrice des sauvegardes quotidiennes"
"La perte d'activité et de C.A. sont chiffrés et assurés".
Limite les visites.
S'assure que les visiteurs sont surveillés. Binôme prévu (si maladie) Documents sortants en PDF (pb onglets Excel oubliés).
"Quand je vois une déviation légère, même légère, alors là je remets la sauce totale. Des fois qu'ils aient oublié autre chose aussi…"
Entreprise 6 : V.A.
"C'est moi qui suis responsable" de la "sécurité au sens large", mais "sur un plan plus informatique on n'a personne de spécifique".
Les problèmes informatiques lui remontent directement.
"Peut-être que ça m'est personnel, j'y suis sensible, mais je crois que cela fait partie de la culture maison où on discute assez librement des patients"
"Les normes de sécurité évoluent beaucoup et du coup cela nous laisse peu de marge de manœuvre budgétaire". "On suit plus les textes qu'autre chose".
Informatisation des prescriptions. Renouvèlement du parc (plus de lecteur de CD) Interdiction de charger des logiciels.
Entreprise 9 : S.G.
Elle gère le responsable informatique.
"C'est plutôt un rappel à l'ordre permanent. Quand les gens ne le font pas, au moins ils se disent, « elle agit comme ça »".
"Il y a tellement de cas de figure différents […], qu'on n'a jamais chiffré [les sinistres]"
A inclus la sécurité dans le contrat du RSI et du responsable sécurité.
Mes informations, "j'y fais très attention", mais "je suis pas derrière chaque poste de travail"
Avant l'automatisation ne mettait jamais à jour son antivirus.
Tableau 3 : Actions menées par les dirigeants les moins impliqués
Entreprise 2 : N.L.
"J'ai participé à la mise en place du système, dans le sens où j'ai expliqué ce que je voulais.
[…], j'ai fait un cahier des charges, et puis après au niveau technique, je n'ai pas suivi.
"Les questions techniques […], ce n'est pas mon domaine et cela ne m'intéresse pas".
"J'ai délégué ça à quelqu'un qui est plus spécialisé". Bloque le changement des mots de passe.
Entreprise 5 : J.F.C.
"Ah ça oui, je suis impliqué, mais cela se traduit par pas grand chose".
Aucune clause écrite ni procédures : "Quel est l'intérêt ?". Tout est basé sur la confiance : "Le contrat, il est moral, et puis voilà".
Il bloque la télémaintenance par manque de confiance dans son prestataire.
"Changer notre façon de travailler […],, c'est repenser complètement notre organisation… Je ne penserais pas qu'il y a vraiment un intérêt. Aujourd'hui."
Aucune sensibilisation de sa part. Au sujet des affichages : "Je ne sais même pas si de faire ce genre de choses, ça n'inciterait pas les gens à le faire."
Entreprise 7 : R.M.
Elle "sort" la bande de sauvegarde, mais une bande par jour, une seule semaine de conservée.
A demandé des mots de passe pour "limiter le champ d'action" des salariés.
Entreprise 8 : E.L.
"Non, non, (je m'implique) très peu".
"On est vraiment juste-juste. Il y a tout à faire."
Bloque l'installation d'un serveur (budget).
"On n'a pas de soucis".
Il écoute un peu autour (virus, …), en parle à midi.
"Et en plus j'aime pas l'informatique".
ANNEXE C : LA PREPARATION DES TRAITEMENTS AVEC ALCESTE
Les questions que nous posions lors des entretiens ont dû être enlevées, car les termes utilisés auraient biaisé les analyses ;
Les réponses ont parfois été retouchées : parfois, une reformulation interrogative du discours de l'interviewé donnait "oui" comme réponse. Cette reformulation a été attribuée à l'interviewé, en faisant attention à respecter son vocabulaire ;
Les noms des personnes ont été enlevés et remplacés par leur fonction : par exemple « le directeur » ;
Certaines expressions ont été regroupées, telles que "mot de passe","sécurité informatique", "sécurité des informations" ;
Des mots ont été remplacés par une appellation commune : ordi, machine, poste, PC ont été remplacés par "ordinateur". Cette manière de faire a de plus permis de différencier l'ordinateur d'une machine-outil, ou du "poste de travail" au sens fonction ou localisation ;
La ponctuation a dû être retravaillée, les points de suspension étant mal gérés par Alceste.
Les Variables de l'AFC :
Entreprises :
Eage = Ancienneté de l'entreprise de 1 à 3 ;
Taille = 1 à 20, 21 à 50, 50 et plus (Insee, 2008) ;
Inter = recours à des intérimaires, O pour oui, N pour non.
Dirigeants :
Nom
Sexe : M ouF ;
Age : classe d'âge de 1 à 3 ;
Expe : classe d'expérience de 1 à 3 ;
Dipl : Diplôme (A = Aucun, Dipl_Bac2 = Bac +2, Dipl_Bac5 = Bac +5 et plus).
ANNEXE D : MATRICE INTRA-ENTREPRISE (EXTRAIT POUR L'ENTREPRISE 6 : THEMES ET ACTEURS LIMITES)
Vision de la SSI :
Dirigeante :
"On est sensibilisés par rapport au secret médical et au secret professionnel de manière générale".
"On est sensibilisés aussi par rapport aux échanges que l'on peut avoir avec l'extérieur" (peur d'une mauvaise publicité).
"On n'aurait pas de perte totale d'information, dans la mesure où on a toujours un dossier papier".
Salarié 1 :
"Un système hermétique […], ça c’est fondamental".
"Que n’importe qui ne puisse pas pénétrer n’importe comment dans les fichiers, dans les dossiers des patients, dans les dossiers de la comptabilité".
"Ce serait quand même d’avoir cette quasi certitude que qui doit et peut voir l’information la voit, et qui ne doit pas la voir ne la voit pas".
Salariée 2 :
"Que les informations n’échappent pas au public"
Que le cas reste confidentiel. Si tout est bloqué, ils peuvent quand même fonctionner par téléphone et papier. Ce ne serait pas moins pratique ni plus compliqué mais moins officiel.
Rôle déclaré par l'acteur :
Dirigeante :
"C'est moi qui suis responsable" de la "sécurité au sens large", mais "sur un plan plus informatique on n'a personne de spécifique".
"Peut-être que ça m'est personnel, j'y suis sensible, mais je crois que cela fait partie de la culture maison où on discute assez librement des patients".
Qui prend en charge la sécurité et rôle joué :
Dirigeante :
Elle, et quand il y a un problème "j'appelle en fait notre prestataire informatique"
Cela peut aussi remonter à sa collaboratrice (resp. compta). Le prestataire vient tous les 15 jours.
Salarié 1 :
Le prestataire extérieur.
La directrice et l'attachée de direction "sont quand même un peu les pivots".
La direction apporte un soutien.
Salariée 2 : La directrice, l'assistante de direction (# resp. comptable)
Facteurs de (dé)motivation :
Salarié 1 :
"Il n’y a pas vraiment de règlement interne, il y a une prise de conscience collective qui s’est beaucoup passée autour du processus, justement, de l’accréditation […], [une conscience] de la préservation du secret.
"C’est bien intégré, c’est pas une obligation. C’est volontaire, mais enfin un petit peu machinal, quoi. Ça se fait naturellement je dirais".
Salariée 2 :
Des habitudes à prendre.
Ce n'est pas une obligation : "je fais partie de la génération un peu des infirmiers où on a été pas mal pris dans ça au niveau de l’école".
La sécurité doit être réalisée par l'informaticien (prestataire extérieur).
Pense qu'eux ne peuvent pas perdre d'infos (sauvegardes).
Auteur
Enseignant-Chercheur MRM / Groupe Sup de Co Montpellier
Le texte seul est utilisable sous licence Licence OpenEdition Books. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
TIC et innovation organisationnelle
Journées d’étude MTO’2011
Pierre-Michel Riccio et Daniel Bonnet (dir.)
2012
Entre communautés et mobilité : une approche interdisciplinaire des médias
Serge Agostinelli, Dominique Augey et Frédéric Laurie (dir.)
2010
Proceedings of the fourth Resilience Engineering Symposium
June 8-10, 2011, Sophia Antipolis, France
Erik Hollnagel, Éric Rigaud et Denis Besnard (dir.)
2011
L’activité marchande sans le marché ?
Colloque de Cerisy
Armand Hatchuel, Olivier Favereau et Franck Aggeri (dir.)
2010
Aider les proches aidants
Comprendre les besoins et organiser les services sur les territoires
Sébastien Gand, Léonie Hénaut et Jean-Claude Sardas
2014
L'absentéisme des personnels soignants à l'hôpital
Comprendre et agir
Brami Laurent, Sébastien Damart, Mathieu Detchessahar et al.
2014
La « Société à Objet Social Étendu »
Un nouveau statut pour l'entreprise
Blanche Segrestin, Kevin Levillain, Stéphane Vernac et al.
2015