Alors que le monde se prépare à faire face à des cyberattaques de type « » lancées depuis la Russie en représailles aux sanctions occidentales, la nécessité d’une communication efficace entre les responsables de la sécurité des entreprises et leurs supérieurs hiérarchiques n’a jamais été aussi grande.
Mais c'est plus facile à dire qu'à faire. Dans un nouveau rapport publié par Harvard Business Review Analytic Services, en partenariat avec Tanium, un tiers des personnes interrogées indiquent que leurs cadres supérieurs ne reçoivent que des informations ponctuelles de la part des responsables de la sécurité sur des questions telles que la surveillance des données sensibles et la protection des données.
En raison d'un environnement informatique complexe et en constante évolution, la cybersécurité n'a jamais été aussi complexe. Et cette situation a été aggravée par des outils qui ne tiennent pas compte de l'analyse des risques ni des performances en matière de sécurité, selon le rapport de la HBR.
Cela signifie deux choses : les professionnels de la cybersécurité ont du mal à expliquer les risques liés à la cybersécurité dans un langage compréhensible par les dirigeants d'entreprise et les conseils d'administration. De leur côté, les dirigeants d'entreprise et les membres des conseils d'administration ne disposent pas des informations dont ils ont besoin pour prendre des décisions éclairées concernant les risques liés au réseau et la résilience de l'entreprise.
Compte tenu de l'urgence pour les deux parties concernées de se rapprocher, Endpoint a décidé de revenir sur un entretien important que nous avons eu au printemps dernier avec Maggie Wilderotter. Elle aborde ces questions au sein des équipes de direction et des conseils d’administration depuis longtemps, en tant qu’ancienne PDG de l’opérateur de télécommunications Frontier Communications, membre de la Commission sur le renforcement de la cybersécurité nationale du président Barack Obama, et l’une des « “50 femmes d’affaires les plus influentes » du magazine Fortune — une distinction qu’elle a reçue à quatre reprises. Elle a également siégé
au sein de plus de 32 conseils d'administration des secteurs public et privé, le premier
alors qu'elle avait 28 ans.
Elle y aborde les défis commerciaux posés par les cybermenaces, la nécessité de procéder à des bilans réguliers — et fréquents — en matière de cybersécurité, ainsi que l'importance de la collaboration entre les secteurs public et privé.
(L'interview suivante a été publiée dans * mai 2021*.)
Quel rôle les conseils d'administration devraient-ils jouer pour faire face aux cybermenaces ?
Les conseils d'administration doivent jouer un rôle actif. Une partie du travail du conseil d'administration consiste à veiller à ce que nous atténuions les risques et à ce que nous comprenions quels sont les principaux risques auxquels l'entreprise est exposée. Nous devons comprendre quelles mesures l'entreprise met en œuvre pour gérer ce risque : .
«L’une des missions du conseil d’administration consiste à veiller à ce que nous atténuions les risques. »
Et nous devons veiller à ce que la gouvernance et la transparence répondent aux besoins non seulement des actionnaires de l'entreprise, mais aussi de ses parties prenantes. Cela inclut ses clients, ses partenaires gouvernementaux et les autres entreprises qui dépendent d'elle au sein de leur chaîne d'approvisionnement.
Par exemple, je préside trois comités d'audit de sociétés cotées en bourse. Nous sommes chargés de la surveillance des risques pour le compte du conseil d'administration, qui en assume la responsabilité ultime. Certains conseils d'administration de sociétés cotées disposent en effet d'un comité chargé des technologies numériques. « Cyber » est un examen que nous menons chaque trimestre au sein du comité d'audit, et nous procédons à une analyse approfondie avec le conseil d'administration une fois par an. Mais cela repose en grande partie sur ce que nous savons, et non sur ce que nous ignorons.
Quels sont les défis liés à la mise en place d'un contrôle de la sécurité ?
Nous avons encore affaire à de nombreux réseaux obsolètes. Les processus et les capacités de ces réseaux ne leur permettent pas nécessairement de résister à la sophistication des cyberattaques actuelles. La transformation de ces réseaux demande du temps, des efforts, de l'argent et
d'autres ressources.
Je pense donc que tout le monde passe plus de temps à rattraper son retard qu’à prendre de l’avance. Et en ce qui concerne les systèmes hérités, on observe une grande réticence à y toucher, soit parce que les entreprises ne souhaitent pas subir de temps d'arrêt, soit parce que cela coûte cher. Mais il faut simplement prendre son courage à deux mains et passer à l'action.
«Si un incident survient, qu’il s’agisse d’une violation de données ou d’une autre activité malveillante, vous devez disposer d’un système capable de vous fournir des informations concrètes afin que vous puissiez agir rapidement. »
Au fil du temps, on constate que lorsqu’une nouvelle vulnérabilité informatique est découverte, les entreprises finissent par acheter une solution ponctuelle au lieu d’envisager une « » (solution globale) s’appuyant sur une plateforme capable d’être étendue pour résoudre un problème. Ainsi, au fil du temps, les entreprises se retrouvent avec de multiples solutions ponctuelles, qui ne sont ni intégrées ni interopérables.
Les directeurs techniques (CTO), vos directeurs informatiques (CIO) et vos responsables de la sécurité des systèmes d'information (CISO) ont choisi ces solutions et les ont mises en œuvre. Puis, au fil du temps, les entreprises se rendent compte que, si les solutions ne sont pas correctement intégrées, elles ne sont en réalité pas protégées. Disposant d'un large éventail de solutions ponctuelles d' , les leaders technologiques ne sont pas enclins à les remplacer rapidement en raison des investissements réalisés pour les mettre en place et les exploiter au sein de leurs systèmes.
Cela donnerait également l'impression que ces dirigeants ont manqué de discernement dans leurs décisions, puisqu'ils ont mis en place ces solutions ponctuelles dès le départ. La durée des mandats des DSI et des RSSI est déjà courte dans les grandes entreprises. Vous êtes donc contraints de « vous contenter » d'un ensemble de solutions qui n'est pas tout à fait satisfaisant.
Comment une entreprise peut-elle résoudre ce problème ?
La solution consiste à faire en sorte que la haute direction — notamment le PDG, le directeur financier et le directeur des opérations — ainsi que le conseil d'administration soient prêts à donner leur accord pour remplacer ces solutions ponctuelles par des plateformes pouvant être exploitées avec plusieurs solutions applicatives entièrement intégrées.
Par ailleurs, ces plateformes permettent d’établir des liens horizontaux entre toutes les facettes de l’entreprise afin d’assurer la visibilité, les tests de vulnérabilité, ainsi que — pour cette mesure de défense essentielle — l’isolation en cas d’incident. Et si un incident survient, qu'il s'agisse d'une faille de sécurité ou d'une autre activité malveillante, vous devez disposer d'un système capable de vous fournir des informations concrètes afin que vous puissiez agir rapidement. Les attaques continueront à évoluer et à gagner en sophistication. Le coût de la violation de sécurité subie par Colonial Pipeline s'est élevé à 44 millions de dollars, un montant considérable mais inférieur au coût moyen d'une violation de sécurité pour les grandes entreprises, qui s'élève à 200 millions de dollars.
[À lire également : Comment réagir face à une fuite de données]
Aujourd'hui, les conseils d'administration recherchent une expertise en matière de cybersécurité et de technologies, et s'ils ne disposent pas eux-mêmes de cette expertise, ils se tournent vers des consultants externes, des partenariats avec le secteur et des groupes de réflexion pour se former.
Le gouvernement fédéral a-t-il pris des mesures suffisantes pour faire comprendre aux entreprises la gravité de la menace et pour leur apporter le soutien dont elles ont besoin ?
L'une des mesures que le gouvernement n'a pas prises, et qui, je pense, plairait beaucoup au secteur privé, consiste à considérer la cybercriminalité comme un acte de guerre de nature «
e ».
«Il s’agit là d’actes de guerre. » Ces attaques reviennent à ce qu’un pays tente de détruire l’économie d’un autre pays. »
Qu'est-ce que je veux dire par là ? C'est l'attaque contre Sony perpétrée par la Corée du Nord qui a été à l'origine de tout cela. [En 2014, la Corée du Nord a piraté le système informatique de Sony Pictures après que le studio eut sorti un film de Seth Rogen parodiant le dirigeant nord-coréen, Kim Jong-un.]
Nous constatons actuellement que des acteurs étrangers recourent à des logiciels de rançon pour bloquer les actifs des entreprises. Il s'agit d'actes de guerre . Ces attaques reviennent à ce qu'un pays tente de détruire l'économie d'un autre pays.
Qui, au sein du gouvernement, devrait en être responsable ?
De nombreux organismes publics assument certaines responsabilités en matière de cybersécurité, mais il conviendrait de mettre en place un plan ou un programme plus cohérent
. Une collaboration plus proactive entre les secteurs public et privé est véritablement nécessaire. J'ai dirigé une entreprise de télécommunications pendant 12 ans. Le secteur des télécommunications est très réglementé.
Ce secteur détient de nombreuses informations relatives aux communications personnelles de nombreuses personnes. Notre organisme de régulation est la FCC, qui affiche un excellent bilan en matière de protection des consommateurs. L'autre secteur soumis à une réglementation stricte en matière de cybersécurité est le secteur financier, qui regroupe les grandes banques et les banques régionales.
[Read also: Cybersecurity trends to watch in 2022]
Il existe donc des bonnes pratiques pouvant servir de point de départ aux partenariats public-privé afin de mettre en place des capacités en matière de cybersécurité et de veiller à ce que celles-ci soient partagées avec les chaînes d'approvisionnement en logiciels « », qui sont réparties à travers le monde et dont les dispositifs de sécurité ne sont pas toujours très sophistiqués. Cela contribuerait grandement à améliorer la protection et la détection.
