Le piratage de la chaîne d'approvisionnement de SolarWinds en 2020 a été plus que grave. Cette faille a exposé des données sensibles provenant de 100 entreprises du classement « » ainsi que d'agences gouvernementales, et a entraîné une chute vertigineuse du cours de l'action de la société de gestion de réseaux. Mais ce qui a frappé l'entreprise par la suite était tout aussi préoccupant — et personnel.
Les investisseurs ont intenté une action en justice contre d'anciens et d'actuels membres du conseil d'administration de novembre 2021, leur reprochant de ne pas avoir correctement surveillé les risques liés à la cybersécurité, ce qui a conduit au piratage.
Cette action en justice a servi de signal d'alarme pour les membres du conseil d'administration qui se contentent de rester les bras croisés et de déléguer la supervision de la cybersécurité aux dirigeants de l'entreprise. Les nouvelles exigences légales et réglementaires, notamment les nouvelles règles en matière de gouvernance du conseil d'administration et de reporting , actuellement examinées par la SEC, rendent cette approche passive aussi obsolète que le recours aux pare-feu pour assurer la sécurité des entreprises.
Aujourd'hui, la supervision de la cybersécurité par les conseils d'administration laisse grandement à désirer. En effet, de nombreux conseils d’administration ne sont pas préparés à faire face à une cyberattaque, selon une récente enquête intitulée « » ( ) menée par le consortium Cybersecurity at MIT Sloan (CAMS) et publiée dans la Harvard Business Review : 23 % des personnes interrogées déclarent qu’il n’existe aucun plan ni aucune stratégie en matière de cybersécurité au sein de leur conseil d’administration.
Et bien que 88 % des conseils d' considèrent une faille de sécurité comme un risque majeur pour l'entreprise, seuls 12 % d'entre eux disposent d'un comité de cybersécurité au niveau du conseil d', selon
Gartner.
Parmi les problèmes rencontrés : un manque d'expertise technique chez les membres du conseil d'administration — un problème que les règles proposées par la SEC visent à résoudre. Le manque de connaissances en matière de technologies de sécurité rend difficile la compréhension des exposés destinés aux dirigeants, qui regorgent souvent de jargon et d'acronymes.
Pire encore, les membres du conseil d'administration ne savent souvent pas quelles questions poser pour évaluer la sécurité du réseau et des actifs d'une entreprise face aux cybermenaces.
Voici une question qu’ils se posent effectivement, juste après la révélation d’une faille qui a fait la une, comme celle de « Log4j » : Sommes-nous protégés contre cela ? Même si la réponse est oui, la question passe à côté de l'essentiel : les acteurs malveillants, toujours à l'affût de nouvelles vulnérabilités et élaborant des méthodes toujours plus efficaces, évoluent plus vite que vous ne pouvez dire « transfert en bitcoins ».
En matière de cybersécurité, c'est toujours comme jouer au « Whac-A-Mole ». C'est ainsi que je l'explique aux membres de conseils d'administration que je rencontre et qui sont désireux d'apprendre comment s'impliquer davantage et apporter leur aide. Ayant passé ma carrière dans la cybersécurité à lutter contre les malfaiteurs, dont quelque 21 ans chez Wells Fargo, je peux vous dire que chaque fois qu'un problème survient, les professionnels de la sécurité, quel que soit leur secteur d'activité, veulent dépenser des sommes considérables pour acquérir un nouvel outil. Mais ce marteau ne fonctionne que pour une taupe similaire sortant d'un trou du même type.
Quelles questions les membres du conseil d'administration de devraient-ils donc poser à ? En voici six qui, selon moi, sont particulièrement utiles aux conseils d'administration souhaitant améliorer les dépenses, la planification et la gouvernance en matière de sécurité au sein de leur entreprise.
1. Quels sont les actifs que nous protégeons ?
La visibilité des actifs est une question fondamentale, mais cruciale. Après tout, on ne peut pas protéger ce qu’on ne voit pas.
«En matière de cybersécurité, c’est toujours le jeu du « Whac-A-Mole ». C’est ainsi que je l’explique aux membres de conseils d’administration que je rencontre et qui souhaitent vivement savoir comment s’impliquer davantage et apporter leur aide. »
Mais , seuls 30 % des professionnels de l'informatique se disent très confiants dans leur capacité à surveiller plus de 85 % des terminaux de leur entreprise à tout moment, selon une enquête menée par le cabinet d'études IDG Connect.
Combien d'équipements sont connectés au réseau de l'entreprise et quels logiciels fonctionnent sur ces appareils ? Comment les responsables de la sécurité acquièrent-ils leurs connaissances ? Les chiffres précis n'auront pas de sens pour les membres du conseil d'administration, mais ceux-ci peuvent approfondir leur analyse afin de vérifier que les dirigeants de l'entreprise ont mis en place des systèmes fiables d' , de détection des actifs et d' de l'inventaire.
2. Comment protégeons-nous nos « joyaux de la couronne » ?
Exemples de « joyaux de la couronne » d’une entreprise : le code source de ses produits phares ; les clés de chiffrement et les stratégies de sécurité ; les discussions sensibles d’ordre financier, juridique et réglementaire. Les membres du conseil d'administration doivent parfaitement comprendre les dispositifs de contrôle mis en place par l'entreprise pour sécuriser l'accès à ces données ainsi qu'à d'autres données hautement sensibles.
Par exemple, quel est le niveau de sécurité des plateformes cloud d' ? L'entreprise sait-elle quels sont les salariés qui disposent d'un accès privilégié à certaines données ?
À quelle fréquence une organisation procède-t-elle à des évaluations des menaces et à des tests d'intrusion afin d'identifier les vulnérabilités affectant les données les plus précieuses, et a-t-elle mis en œuvre les enseignements tirés de
ces tests ?
3. Qui, exactement, représente le plus grand risque pour notre sécurité ?
Les membres du conseil d'administration doivent identifier les agresseurs potentiels de l'entreprise, au-delà des « suspects habituels » génériques tels que la Russie, la Chine, la Corée du Nord et l'Iran.
L'un des principaux moyens d'y parvenir réside dans le « conseil antagoniste », une approche qui va au-delà de la simple question « qui pourrait nous attaquer ? » pour se demander : « Comment nous perçoit un attaquant et comment pourrait-il mener une attaque ? »
Cette approche permet dans une large mesure de déterminer si l'organisation est suffisamment protégée contre les tactiques, techniques et procédures bien connues utilisées par tout malfaiteur potentiel. Cela dit, parmi ces menaces, on peut citer les hacktivistes cherchant à semer le chaos, les concurrents cherchant à s'approprier illicite la propriété intellectuelle, ainsi que la menace qui fait le plus la une des journaux en ce moment : les groupes de ransomware à la recherche de rançons lucratives.
Une discussion ouverte et honnête sur les risques doit également aborder les menaces internes . Selon Verizon, , 20 % des violations de données sont liées à la négligence ou à la malveillance des employés.
Les dirigeants devraient se renseigner sur les protocoles mis en place pour sensibiliser les collaborateurs aux dernières tactiques de hameçonnage de type « » ( ) et aux autres vulnérabilités, afin de s’assurer que l’entreprise intègre la stratégie «zero trust » dans son dispositif de sécurité.
4. Dans quelle mesure avons-nous confiance en nos stratégies d'atténuation des risques ?
Certes, la « confiance » est un indicateur subjectif, mais il est important que les membres du conseil d’administration interrogent les dirigeants sur leur niveau de confiance afin d’évaluer si l’équipe de sécurité estime disposer des ressources et du soutien nécessaires pour relever les défis auxquels l’entreprise est confrontée. Si les dirigeants d'entreprise indiquent que leur niveau de confiance dans une technologie ou une approche particulière est proche de 100 % ou inférieur à 20 %, cela devrait vous alerter.
«Oui, la « confiance » est un indicateur subjectif, mais il est important que les membres du conseil d’administration interrogent les dirigeants à ce sujet. »
Quels que soient les chiffres exacts, les meilleurs dirigeants de haut niveau présenteront au conseil d'administration des données à l'appui de leurs estimations, telles que : le nombre de vulnérabilités critiques, le délai moyen nécessaire pour les corriger et le pourcentage de tiers évalués au cours des 12 derniers mois, présentés sous forme de graphiques sur plusieurs trimestres.
Selon une récente présentation donnée lors d'une conférence par Paul Proctor, vice-président et analyste émérite chez Gartner, les meilleures données comprennent des indicateurs axés sur la valeur et alignés sur les résultats commerciaux, tels qu'une réduction de 70 % des coûts de restauration après une attaque par ransomware ou une réduction de 50 % des interruptions imprévues liées à des vulnérabilités non corrigées.
5. Quelles mesures proactives ont été mises en place pour se préparer à une violation de données ?
Les membres du conseil d'administration ont tendance à aborder la cybersécurité avec un état d'esprit défensif. Cependant, compte tenu de la multiplication fulgurante des cyberattaques, les dirigeants d'entreprise devraient anticiper de manière proactive des scénarios précis en cas de violation de la sécurité. Pour ce faire, une entreprise doit disposer d'une équipe d'intervention en cas d'incident de cybersécurité (CSIRT) clairement définie. Elle doit également disposer de plans d'intervention en cas d' , documentés.
Parmi les initiatives stratégiques que les responsables de la sécurité d'entreprise peuvent mettre en œuvre figurent les simulations de cyberattaques qui permettent de tester ces plans. Cela permettra de mettre en évidence les faiblesses et de repérer de manière proactive les angles morts. Dans certaines entreprises, telles que Mastercard, les membres du conseil d'administration participent à des simulations d'attaques, ce qui peut les aider à transposer leurs connaissances théoriques en expérience concrète.
6. Quel est le rôle du conseil d'administration en cas d'incident ?
Bien que la plupart des entreprises aient mis en place des plans d'intervention en cas de cyberattaque, les membres du conseil d'administration devraient se poser des questions essentielles concernant leur rôle, ainsi que pour savoir qui, au sein de l'organisation, est « responsable » des plans d'intervention et de reprise d'activité critiques.
L'entreprise est-elle susceptible de payer une rançon ? Est-ce légal ? (Une procédure de remplacement devrait être mise en place au cas où le conseil d'administration ne pourrait pas être convoqué dans un délai très court.) Qui contacte les autorités en cas d'attaque par ransomware ?
Parmi les autres questions, on peut citer : comment les membres du conseil d'administration communiqueront-ils entre eux si les réseaux de l'entreprise sont paralysés ? Qui se chargera de communiquer avec les salariés, les clients et les fournisseurs en cas de violation massive de la sécurité des données ? Existe-t-il une stratégie de relations publiques mise en place pour communiquer avec la presse ?
Il ne suffit pas de s'assurer qu'un plan existe : les membres du conseil d'administration doivent examiner ce plan dans ses grandes lignes et discuter de leur rôle dans celui-ci avant qu'une violation ne se produise. En définitive, ils doivent rester vigilants et prêts à réagir. Ce n'est qu'ainsi qu'elles pourront espérer ne pas devenir la prochaine cible d'un procès du type de celui de SolarWinds.
