Soutenance de thèse de Benoit FANTINO

La sécurité des systèmes d’information (SSI) est une discipline jeune dont l’intérêt s’inscrit dans la dépendance croissante des entreprises envers leur SI et en perspective du nombre grandissant d’incidents de sécurité. Dans cette recherche, nous nous intéressons à la gestion des risques SI, pour laquelle la littérature souligne le manque d’implication des top-managers. Nous abordons cette problématique sous l’angle de la décision des dirigeants pour la SSI, au travers de quatre approches théoriques : les modèles des perceptions managériales des risques SI (Goodhue et Straub 1991 ; Straub et Welke 1998), la perception des risques en psychologie (Douglas et Wildavsky 1983 ; Fischoff et al., 1978 ; Sjöberg et al. 2004 ; Slovic et al. 1979 ; Wildavsky et Dake 1990 ; Yates et Stone 1992), la théorie néo-institutionnelle (Di Maggio et Powell 1983 ; Scott 2005) et la théorie sur l’adoption symbolique des innovations (Karahanna et al. 1999 ; Karahanna et Agarwal 2006 ; Klonglan et Coward 1970). L’objectif de nos travaux est de rendre intelligible les influences sur l’adoption symbolique de la SSI. Après avoir adapté le modèle d’adoption symbolique à la SSI, nous employons une méthode qualitative organisée autour de 17 études de cas dans des entreprises d’activités variées. La SSI y est alors observée comme un processus de décision de gestion des risques SI. Nos résultats montrent la pertinence d’étudier la SSI selon une perspective individuelle de gestion des risques. Les influences sur les décisions des dirigeants pour la SSI confirment et prolongent les concepts théoriques de cette discipline. D’une part, les caractéristiques de l’évaluation psychologique des risques éclairent les biais pour la gestion du risque SI. D’autre part, l’étude de ces biais apporte une perspective nouvelle sur la compréhension de l’investissement des top-managers pour la SSI. Nous montrons l’insensibilité des top-managers à l’exposition du risque, une préférence à aborder les risques sous l’angle des menaces. Aussi, nous exposons les influences qui contribuent à adopter une SSI technique et non managériale pourtant suggérée dans la littérature. Enfin, notre analyse fait émerger des perspectives pour prolonger la compréhension d’une SSI réactive, décriée par les auteurs en SSI. Mots clefs : SSI, sécurité des systèmes d’information, influences, décision, risques, adoption symbolique, perception

The information system security (ISS) is a young discipline for which the interest joins in the increasing dependence of companies to them information system and in prospect of increasing number of security incidents. In this research, we are interested in the information system risk management, for whom the literature underlines the lack of involvement of top-managers. Particularly, we approach the concern under the view of the decision of the top executives for ISS, through four theoretical streams: the models of the managerial perceptions of information system risks (Goodhue and Straub 1991; Straub and Welke 1998), the risks perception in psychology (Douglas and Wildavsky 1983; Fischoff and al. 1978; Sjöberg and al. 2004; Slovic and al. 1979; Wildavsky and Dake 1990; Yates and Stone 1992), the institutional theory (Di Maggio and Powell 1983; Scott 2005) and the theory about symbolic adoption of the innovations (Karahanna and al. 1999; Karahanna and Agarwal 2006; Klonglan and Coward 1970). The aim of our works is to make intelligible the influences on the symbolic adoption of such ISS approach. Having adapted the model of symbolic adoption to the ISS, we use a qualitative method organized around 17 case studies in companies with varied activities. The ISS is then observed there as a process of decision for IS risks management. Our results highlight the relevance to study the ISS according to an individual perspective of risk management. The influences on the decisions of the top executives for the ISS confirm and extend the theoretical concepts of this discipline. On one hand, the characteristics of the psychological evaluation of the risks enlighten the biases for the management of the information system risk. On the other hand, the study of these biases brings a new perspective on the understanding of the investment of the top executives for the ISS. In particular, we underline the insensitivity of the top managers in the exposure of the risk, a preference to approach the risks under a threats point of view. So, we expose the influences which contribute to adopt a technical and not managerial ISS such as suggests by the Research. Finally, our analysis brings to the foreground perspectives to extend the comprehension of a reactive ISS, defame by ISS’ academics. Keywords : ISS, information security system, influences, decision, risks, symbolic adoption, perception