En tant que président du conseil d'administration du groupe Cinturion, Richard Marshall s'implique activement pour garantir la sécurité du réseau de fibre optique que son entreprise met en place, depuis l'Inde jusqu'en Europe en passant par le Moyen-Orient.
La construction de ce gigantesque réseau « Trans Europe Asia System » (TEAS) s'annonce déjà particulièrement difficile, étant donné qu'il sera enfoui sous des milliers de miles terrestres et maritimes. Ce qui complique encore davantage la situation, c'est que bon nombre des pays qui accueilleront le câble ne s'apprécient guère, ce qui soulève des problèmes potentiels en matière de cybersécurité.
Lorsqu’il a débuté sa carrière au sein d’un conseil d’administration il y a 15 ans, explique Marshall, lui et ses collègues administrateurs auraient probablement délégué la responsabilité de la sécurisation de cette infrastructure aux « geeks de la sécurité informatique ». Mais aujourd'hui, alors que les attaques coûteuses de ransomware , les fuites de données et pèsent de plus en plus lourdement sur les résultats financiers, il affirme que les membres des conseils d'administration et leurs comités d'audit reconnaissent qu'ils ne peuvent plus ignorer ces responsabilités.
Les dirigeants savent qu'ils doivent se montrer plus attentifs et s'impliquer davantage. En effet, 88 % d’entre elles considèrent désormais la cybersécurité comme un risque pour l’entreprise plutôt que comme un problème technologique, selon le cabinet d’analyse Gartner.
« J’ai constaté ce changement », déclare Marshall, qui préside également deux autres conseils d’administration et exerce en tant que consultant en cybersécurité. « Les cartes électroniques gagnent en sophistication. » « Ils sont également plus jeunes ; ils ont donc tendance à être plus au fait des questions techniques et à prendre davantage conscience de la nécessité de s'impliquer dans la réduction des risques. »
De quoi jeter de l'huile sur le feu : la probabilité d'un renforcement des pressions réglementaires de la part du gouvernement .. L'année dernière, par exemple, la Commission américaine des opérations boursières (SEC) a proposé de nouvelles règles qui obligeraient les sociétés cotées en bourse à divulguer leurs pratiques en matière de gouvernance de la cybersécurité, notamment la manière dont les conseils d'administration supervisent les risques liés à la cybersécurité. Cette annonce a suscité un débat et une polémique considérables au sein de l' . Et bien que les organisations ne soient pas tenues de nommer des membres spécialisés dans les questions technologiques ou de cybersécurité, les règles proposées par la SEC les obligeraient à indiquer si elles l'ont fait.
Cela pourrait poser problème à de nombreuses organisations, car les membres du conseil d'administration ont généralement une formation en gestion d'entreprise plutôt qu'en informatique. En effet, bien que le pourcentage de sociétés cotées en bourse ayant nommé des administrateurs spécialisés dans les technologies ait augmenté récemment, il ne s'élève toujours qu'à environ 17 %, selon Deloitte. De plus, une récente étude de DHR Global intitulée « » ( ) a révélé que seulement 1,4 % des entreprises comptent au sein de leur conseil d’administration un responsable de la sécurité des systèmes d’information (RSSI) actuel ou ancien, et que 65 % d’entre elles délèguent la responsabilité de la direction et du compte rendu en matière de cybersécurité à leurs comités d’audit.
Certes, les bons responsables de la sécurité des systèmes d'information (CISO) sont de plus en plus difficiles à trouver, mais cela ne suffit pas, estime la SEC.
« La cybersécurité figure déjà parmi les principales priorités de nombreux conseils d’administration, et les incidents de cybersécurité ainsi que d’autres risques sont considérés comme l’une des plus grandes menaces pesant sur les entreprises », a expliqué la Commission lors de la présentation de sa modification réglementaire. « Par conséquent, les investisseurs pourraient juger important de savoir si certains membres du conseil d’administration possèdent une expertise en matière de cybersécurité lorsqu’ils envisagent d’investir dans la société enregistrée, ainsi que lorsqu’ils se prononcent sur l’élection des administrateurs de cette dernière. »
Alors, comment les membres du conseil d'administration peu à l'aise avec la technologie peuvent-ils se mettre à niveau en matière de cybersécurité ? Selon les experts, il n’est pas nécessaire d’être titulaire de la certification CISSP (Certified Information Systems Security Professional) délivrée par l’ ni de se mettre dans la peau d’un CISO pendant une journée (même si aucune de ces deux approches ne serait un inconvénient). Elles proposent plutôt quelques mesures visant à s'adapter aux futures réglementations et à assurer une meilleure surveillance.
1. Nommez au moins un expert en cybersécurité au sein du conseil d'administration
Le Dr Keri Pearlson, directrice exécutive du centre de cybersécurité du MIT Sloan (CAMS), étudie depuis plus de 30 ans les liens entre technologie et monde des affaires et a publié de nombreux articles consacrés à la cybersécurité. Il était donc tout à fait logique que le TMF Health Quality Institute, qui recherchait une expertise en cybersécurité pour faire face aux menaces croissantes pesant sur ce secteur, invite M. Pearlson à rejoindre son conseil d'administration.
«[Les membres des conseils d’administration] sont plus jeunes ; ils ont donc tendance à être plus au fait des questions techniques et à prendre davantage conscience de la nécessité de s’impliquer dans la réduction des risques. »Richard Marshall, président du conseil d'administration du groupe Cinturion
Alors que d'autres membres du conseil d'administration s'intéressent à la cybersécurité, ont leur propre point de vue et possèdent une certaine expérience dans ce domaine, Mme Pearlson explique que son rôle consiste à apporter une vision plus approfondie et des conseils sur les questions clés.
« Je pense que les conseils d’administration gagnent en maturité et que leurs membres prennent conscience de cette responsabilité », déclare-t-elle. « Ils gèrent les risques opérationnels, et la cybersécurité fait partie de ces risques. » « Mais ce ne sont pas les mêmes, et une partie de mon travail consiste donc à examiner les décisions qu’ils prennent en matière de cybersécurité afin de m’assurer qu’elles sont judicieuses. »
Certaines entreprises renforcent encore davantage leurs effectifs en matière d'expertise en cybersécurité. Une récente enquête de Gartner intitulée « » ( ) prévoit que 40 % des conseils d'administration disposeront également d'un comité dédié à la cybersécurité d'ici 2025, contre 10 % aujourd'hui.
« De nombreux conseils d’administration mettent en place des comités spécialisés qui permettent d’aborder les questions de cybersécurité dans un cadre confidentiel, sous la houlette d’une personne jugée suffisamment qualifiée », a déclaré Sam Olyaei, directeur de recherche chez Gartner, dans un communiqué. « Ce changement en matière de gouvernance et de contrôle est susceptible d’avoir des répercussions sur la relation d’ entre le conseil d’administration et le responsable de la sécurité des systèmes d’information. »
2. Faites de la gouvernance en matière de cybersécurité un point clé de l'ordre du jour
Les statuts des sociétés imposent aux conseils d'administration de se réunir au moins une fois par an, mais la fréquence de ces réunions varie généralement d'un État à l'autre. Dans certains cas, cela aura lieu deux ou quatre fois par an. Selon les experts, dans l'idéal, la fréquence devrait être de toutes les six à huit semaines.
Cela s'explique en grande partie par le fait que les enjeux commerciaux et les risques peuvent évoluer du jour au lendemain ; ainsi, si un conseil d'administration prend des décisions en janvier, celles-ci risquent de ne plus être d'actualité quelques semaines ou quelques mois plus tard. Cela vaut tout particulièrement pour la cybersécurité, qui doit figurer régulièrement à l'ordre du jour de toutes les réunions, affirme Marshall.
« Lorsque je conseille des conseils d’administration, je les encourage à faire intervenir un RSSI qui présente à chaque fois un rapport succinct », explique-t-il. « Cela permet aux responsables de la sécurité des systèmes d'information (RSSI) d'établir une relation de confiance avec le conseil d'administration. » « Cela contribue également à sensibiliser les membres du conseil d’administration, surtout si les RSSI savent s’adresser à eux dans une perspective commerciale. »
3. Allez au-delà du risque pour vous concentrer sur la résilience
Selon M. Pearlson, les membres du conseil d'administration doivent adopter une approche différente en matière de cybersécurité : au lieu de considérer qu'il s'agit uniquement d'atténuer les risques technologiques, ils devraient également accorder la priorité à la résilience, ce qui inclut la manière dont ils se remettraient d'une cyberattaque réussie.
«» Ne serait-ce pas formidable si votre entreprise était victime d’un cyberincident sans pour autant subir de pertes financières ? Aucune perte de données ? Aucune interruption de service ? Aucun préjudice pour la réputation ? « C'est la vision de ce vers quoi nous devrions tendre en matière de cybersécurité. »Dr Keri Pearlson, directrice générale du programme de cybersécurité du MIT Sloan (CAMS)
Cela nécessite d'être prêt à passer de la conviction que les attaques sont pour la plupart évitables à la prise de conscience qu'elles se produiront inévitablement, et qu'il faut donc disposer d'un plan pour minimiser les dégâts, explique-t-elle.
« En tant que membre du conseil d’administration, vous devez partir du principe que toute entreprise est susceptible d’être victime d’une violation de données ou d’une attaque quelconque », explique M. Pearlson. « Vous souhaitez également vous assurer que votre entreprise est capable d’absorber les incidents et de se remettre rapidement sans temps d’arrêt. » Je veux dire, ce serait génial si votre entreprise était victime d'un cyberincident sans pour autant subir de pertes financières, n'est-ce pas ? Aucune perte de données ? Aucune interruption de service ? Aucun préjudice pour la réputation ? « C'est la vision de ce vers quoi nous devrions tendre en matière de cybersécurité. »
4. Suivez une formation : les compétences en cybersécurité sont le moteur d'une gouvernance plus efficace dans ce domaine
Selon les experts, même si le conseil d'administration compte parmi ses membres un responsable de la cybersécurité, la plupart des membres seraient plus efficaces dans leur travail s'ils suivaient une petite formation dans ce domaine. Mme Pearlson, par exemple, souligne que son établissement, l' , du Massachusetts Institute of Technology (), propose des cours spécialement conçus pour familiariser les membres des conseils d'administration avec les principes fondamentaux de la gouvernance en matière de cybersécurité. Des formations similaires sont proposées par (Harvard), (Wharton), ainsi que par (Cyber Risk GmbH).
Par ailleurs, Marshall recommande d'envisager de faire appel à des prestataires d'assurance cyber qui ont tout intérêt à ce que leurs assurés bénéficient d'une sécurité optimale. Il ajoute que le recours à des consultants externes peut constituer une autre option efficace.
5. Rassemblez-vous — dès maintenant
Les membres du conseil d’administration et les RSSI ne parlent pas toujours le même langage, mais ils parviennent de plus en plus à trouver un terrain d’entente, explique M. Pearlson. Elle recommande aux membres du conseil d'administration de s'efforcer de nouer de meilleures relations avec les responsables de la sécurité des systèmes d'information (RSSI) afin de se tenir davantage au courant des enjeux essentiels en matière de cybersécurité.
« Même si le fait d’inviter les RSSI à rendre compte au conseil d’administration contribue à renforcer leur légitimité, cela ne permet pas de tisser des liens solides entre les membres du conseil et les responsables de la sécurité », explique-t-elle.
Mme Pearlson ajoute que ses recherches ont révélé que certains membres du conseil d'administration et responsables de la sécurité des systèmes d'information (RSSI) se réunissent de manière proactive entre deux réunions de la direction pour discuter de l'actualité en matière de cybersécurité et des incidents susceptibles de porter préjudice à l'entreprise. Comme ils se connaissent mieux, ils sont généralement mieux préparés à collaborer pour faire face aux incidents de cybersécurité dès qu'ils surviennent.
« Un incident informatique n’est pas le moment de jeter des ponts », déclare M. Pearlson. « Cela devrait se faire bien avant que des discussions délicates ne deviennent inévitables. »
