Entre son action en justice controversée intentée contre SolarWinds , qui s'est heurtée à une vive opposition de la part de l' la semaine dernière, et les nouvelles règles exigeant davantage de transparence en matière de cybersécurité, la Securities and Exchange Commission met les nerfs à rude épreuve au sein de la communauté des RSSI.
Certains RSSI (responsables de la sécurité des systèmes d'information) au sein de sociétés cotées en bourse sont tellement ébranlés qu'ils envisagent même de quitter la profession. Ceux qui tiennent bon suivent les conseils des experts et prennent des mesures pour se protéger.
Le renforcement des contrôles de la SEC a débuté en juillet dernier lorsque, dans le cadre d’une mesure que beaucoup ont qualifiée de « main de fer » , l’organisme de régulation a approuvé de nouvelles règles obligeant les sociétés cotées en bourse à rendre compte chaque année de la manière dont elles gèrent les risques.
En vigueur depuis le mois dernier, ces règles imposent aux entreprises :
- Vous devez signaler les incidents de cybersécurité dans un délai de quatre jours à compter de leur découverte s’ils sont « significatifs », c’est-à-dire s’ils sont susceptibles d’affecter la valeur actionnariale. Cette information serait communiquée au moyen d'un formulaire 8-K.
- Dans leurs rapports annuels 10-K, elles détaillent leurs processus destinés à la gestion des risques importants en matière de cybersécurité.
- Veuillez préciser dans ces documents à quelle fréquence leurs conseils d'administration traitent les risques ou les minimisent, ainsi que leurs connaissances et leur expérience en la matière.
L'adoption de ces règles fait suite à la décision prise en octobre par la SEC d'inculper SolarWinds et son responsable de la sécurité des systèmes d'information (RSSI), Timothy Brown, pour avoir prétendument induit les investisseurs en erreur quant au niveau de sécurité de l'entreprise et pour ne pas avoir pris les mesures de sécurité élémentaires qui auraient pu prévenir la cyberattaque catastrophique « Sunburst » , liée à l' , survenue entre 2018 et 2020. Cette attaque a affecté les chaînes logistiques de plus de 30 000 organisations publiques et privées.
Niant ces allégations, SolarWinds a déposé une requête en « » visant à obtenir le rejet de l'affaire sur le fond 26 janvier. L'entreprise affirme que la SEC a dépassé ses compétences et qualifie ces accusations d'« absurdes » et d'« aussi infondées qu'inédites ». La requête a ensuite qualifié les mesures prises par la SEC à l'encontre de M. Brown d'« injustifiées » et d'« inexplicables », soulignant qu'aucun élément ne « suggérait, même de loin », qu'il ait tenté de tromper les investisseurs. Les responsables de la sécurité des systèmes d'information (RSSI) eux-mêmes ont exprimé des points de vue variés concernant la plainte et la responsabilité de leur homologue en matière de sécurité.
Ces poursuites marquent la première fois que la SEC a visé un RSSI en particulier ou en a tenu personnellement responsable d'actes liés à une violation majeure. (Le responsable de la sécurité d’Uber, Joe Sullivan, a été condamné à trois ans de mise à l’épreuve après avoir été reconnu coupable d’entrave à une enquête de la Commission fédérale du commerce (FTC) concernant une faille de sécurité qui a exposé les données de 57 millions de clients et de chauffeurs en 2016).
Ironiquement, alors que la SEC reprochait à SolarWinds de ne pas en faire assez pour sécuriser ses réseaux ( ), elle a elle-même été victime d'un piratage ( ) début janvier, après que son personnel informatique aurait désactivé les protections liées à l'authentification multifactorielle () ( ).
« De toute évidence, le moment n'était pas idéal », déclare Shaun Marion, ancien responsable de la sécurité des systèmes d'information chez McDonald's. « Cela montre bien que ce genre de choses peut arriver à n’importe qui. » « La gestion d’un programme de sécurité à grande échelle est complexe. »
Les RSSI sous pression
Marion affirme que bon nombre de ses homologues RSSI « approuvent en réalité » les efforts déployés par la SEC pour améliorer la transparence à l’égard des actionnaires, mais qu’ils désapprouvent vivement ses méthodes, lesquelles les amènent à reconsidérer, voire à abandonner, leur carrière dans le domaine de la cybersécurité – en particulier ceux qui travaillent au sein d’entreprises cotées en bourse. Et cela à un moment où les RSSI qualifiés sont déjà difficiles à trouver.
«Savoir que je pourrais être tenu personnellement responsable à cause d’une décision prise par quelqu’un d’autre sans m’y associer… Franchement, ce n’est pas pour ça que j’ai choisi ce métier. »Shaun Marion, ancien responsable de la sécurité des systèmes d'information (RSSI) chez McDonald's
Le risque d'être tenu personnellement pour responsable d'un incident de sécurité est particulièrement préoccupant, explique-t-il, car les RSSI ne sont pas les seuls à intervenir dans la mise en œuvre ou la communication en matière de sécurité. Selon lui, les collaborateurs de toutes les entreprises prennent fréquemment des décisions qui ont une incidence sur le niveau de sécurité, mais dont les responsables de la sécurité des systèmes d'information (RSSI) n'ont jamais connaissance.
Pourtant, contrairement à ces cadres supérieurs , de nombreux RSSI ne sont pas réellement considérés comme des dirigeants, fait-il remarquer. Ainsi, environ un CISO américain sur trois (34 %) ne bénéficie pas d'une assurance responsabilité civile des dirigeants (D&O), selon une enquête menée par Heidrick & Struggles sur l' des CISO.
« Cela m’a amenée à repenser mon métier », admet Marion. « Je me suis lancé dans ce métier parce que j’étais un bricoleur. » J'adorais voir jusqu'où je pouvais repousser les limites en matière de sécurité. J'ai toujours essayé de faire ce qu'il fallait. « Mais savoir que je pourrais être tenu personnellement responsable à cause d’une décision prise par quelqu’un d’autre sans que j’aie été consulté… Franchement, ce n’est pas pour ça que j’ai choisi ce métier. »
Ne rejetez pas toute la faute sur la SEC
Comment les responsables de la sécurité des systèmes d'information (RSSI) qui souhaitent poursuivre leur carrière devraient-ils réagir à la suite de la plainte déposée auprès de la SEC ? Les réponses résident dans la compréhension de ce dont il s'agit réellement.
«Les RSSI ne pourront plus dissimuler totalement leurs politiques et pratiques en matière de cybersécurité afin de maintenir les pirates dans l’incertitude. »
Selon les experts, il convient de considérer ces accusations dans une perspective plus large que celle d'une simple entité gouvernementale poursuivant une entreprise ou un individu. Ils estiment au contraire que les RSSI devraient considérer cela comme la première d'une série potentielle de mesures similaires prises par les autorités de régulation pour exiger davantage de transparence en matière de cybersécurité. Peu importe qu’il s’agisse de la SEC, de la FCC, du DHS, du CFPB ou de toute autre agence dont le nom comporte trois ou quatre lettres ; à l’avenir, ces noms deviendront tous interchangeables dans le cadre d’une répression gouvernementale continue menée par l’ , affirment-ils.
« Je serais surpris que cela ne se reproduise pas », déclare Frank Dickson, analyste en cybersécurité chez IDC. « Si ce n’est pas aux États-Unis, cela se reproduira très certainement en Europe . »
Selon lui, le principal enseignement à en tirer est que les RSSI ne pourront plus dissimuler totalement leurs politiques et pratiques en matière de cybersécurité afin de maintenir les pirates dans l'incertitude. D'autres obligations de divulgation continueront d'être imposées, et les RSSI devront s'y résigner.
Veillez à la cohérence de la communication
De même, selon les experts, les RSSI ne pourront pas se permettre de présenter en interne une version des faits concernant la situation de leur organisation en matière de sécurité, tout en faisant des déclarations différentes à l'extérieur. L'un des principaux griefs invoqués dans l'action engagée par la SEC est que SolarWinds et M. Brown avaient connaissance de lacunes spécifiques dans les pratiques de cybersécurité de SolarWinds et des risques de plus en plus élevés auxquels l'entreprise était confrontée – et qu'ils l'ont d'ailleurs reconnu dans leurs communications internes. Mais en apparence, selon l'agence ,, ils ont donné une « fausse image » par le biais de déclarations erronées, d'omissions et de manœuvres visant à dissimuler leurs « mauvaises pratiques en matière de cybersécurité » et à accroître les risques.
Selon M. Dickson, cette importance accrue accordée par l' e aux communications internes et externes pourrait avoir un « effet dissuasif » sur les communications des RSSI.
« Le rôle du RSSI a radicalement évolué au cours des cinq dernières années », déclare-t-il. « Les RSSI ne sont plus de simples professionnels de la sécurité, mais sont désormais considérés comme des architectes de la sécurité d'entreprise qui conseillent activement tant les dirigeants que les clients. » « S’ils ne font pas preuve de cohérence factuelle dans tout ce qu’ils disent ou écrivent, ils risquent de se heurter à des personnes ou à des organismes qui leur reprocheront d’induire en erreur, ce qui est la dernière chose que souhaitent la plupart des RSSI. »
M. Dickson recommande aux responsables de la sécurité des systèmes d'information (RSSI) de continuer à communiquer, mais précise qu'ils devraient redoubler d'attention et de rigueur chaque fois qu'ils évoquent leurs priorités et leurs mesures en matière de cybersécurité. Afin d'éviter d'éventuels écueils juridiques, M. Dickson ajoute que les RSSI devraient également soumettre leurs communications internes et externes pertinentes à l'avis de leurs juristes internes.
Prenez des notes à tout va
Par ailleurs, bien que la plupart des juristes d'entreprise vous conseilleraient le contraire, les experts en sécurité recommandent aux responsables de la sécurité des systèmes d'information (RSSI) de conserver des notes détaillées de toutes les conversations importantes avec les cadres supérieurs, en particulier celles au cours desquelles ils auraient pu les alerter sur des problèmes de cybersécurité ou leur recommander des mesures pour y remédier.
«Notez davantage de choses et assurez-vous que tout soit consigné dans un registre. »Andrew Jaquith, ancien responsable de la sécurité des systèmes d'information (RSSI) chez Covington & Burling
« Notez davantage d’informations et veillez à tout consigner dans un registre », conseille Andrew Jaquith, ancien responsable de la sécurité des systèmes d’information (RSSI) du cabinet d’avocats Covington & Burling. « Si un incident de cybersécurité venait à être réexaminé, vous voudrez pouvoir démontrer que vous avez tout mis en œuvre pour résoudre le problème sous-jacent et prouver que vous en avez discuté avec la direction. » « Veillez à conserver toutes les pièces justificatives. »
Marion partage cet avis, mais préconise des mesures défensives encore plus strictes.
« Par souci de ma propre protection, je veille à conserver une trace écrite des décisions que j’ai prises, des raisons qui m’ont poussé à les prendre, des cas où j’ai rencontré des résistances et de la part de qui, car je dois être mon propre défenseur », explique-t-il. « Je vais privilégier largement la déclaration excessive des incidents de cybersécurité, en collaboration avec mon conseiller juridique, car je ne veux pas me retrouver dans une situation où nous aurions omis de signaler un incident que nous aurions dû signaler. » Par ailleurs, en ce qui concerne les risques au sein de l'entreprise, je vais également adopter une approche beaucoup plus proactive dans la manière dont je les communique aux dirigeants. Je ne serai plus la seule personne à avoir conscience de ce risque et à essayer de le gérer. « Je vais partager ce risque avec d’autres. »
Souscrivez une assurance responsabilité civile des dirigeants
Les experts en sécurité affirment également qu'il est temps que les responsables de la sécurité des systèmes d'information (RSSI) se fassent entendre et s'appuient sur les mesures prises par la SEC à l'encontre de SolarWinds et de M. Brown pour justifier que leurs entreprises leur accordent enfin une assurance responsabilité civile des dirigeants (D&O) et une assurance contre les erreurs et omissions (E&O), même si peu d'entre eux sont considérés comme de véritables dirigeants. Cela devrait au moins être abordé dans le cadre des négociations salariales avant d'accepter un poste de RSSI. Mais les RSSI peuvent également négocier ces aspects après leur embauche, selon les experts.
Cela risque de ne pas être facile, car ce type de couverture coûte cher. En effet, Kirsten Bay, PDG de Cysurance, société spécialisée dans la cyberassurance pour les petites et moyennes entreprises, indique que ces polices coûtent entre 35 000 et 60 000 dollars par an pour les petites structures et que les montants sont encore plus élevés pour les moyennes et grandes entreprises. Pour ce prix, la couverture s'étend généralement à quelques agents. Mais les entreprises parviennent souvent, après un peu de négociation, à trouver le moyen d'intégrer d'autres cadres, comme des RSSI, précise-t-elle.
M. Bay estime que, les incidents de sécurité entraînant une responsabilité personnelle accrue devenant un enjeu de plus en plus important, les assureurs pourraient commencer à proposer des formules combinant des polices de cybersécurité, de responsabilité civile des dirigeants (D&O) et de responsabilité civile professionnelle (E&O), et à les étendre aux responsables de la sécurité des systèmes d'information (CISO) – à l'instar des entreprises traditionnelles qui regroupent les polices d'assurance habitation, vie et automobile.
« Il est logique de les associer, car tout le monde ne sait pas que les polices d’assurance cyber ne couvrent pas la responsabilité civile des dirigeants (D&O) ni la responsabilité civile professionnelle (E&O) », explique-t-elle.
En fin de compte, des experts comme Marion affirment espérer que l'intervention de la SEC constituera davantage un point de départ pour améliorer les processus de déclaration à l'échelle du secteur qu'un simple exercice visant à attribuer des responsabilités et à infliger des sanctions.
« Si nous pouvions nous réunir avec quelques décideurs politiques concernés, la SEC et un consortium de RSSI, nous pourrions commencer à élaborer un cadre permettant aux RSSI eux-mêmes de rendre compte des risques et des attentes », déclare-t-il. « Cela nous permettrait de lever toute ambiguïté et de commencer à y voir plus clair. » « Ce serait une situation gagnant-gagnant pour tout le monde. »
POUR EN SAVOIR PLUS
Découvrez ces entretiens exclusifs avec des RSSI et d'autres responsables de la sécurité dans notre série « Témoignages de réussite ».
- Témoignage d'un RSSI – Prévoir (avec précision) les risques cybernétiques est plus facile grâce à la formule de cet homme
- Témoignage d'un RSSI – Comment le comté de Los Angeles forme (et perfectionne) ses employés à la lutte contre le phishing
- Témoignage d'un RSSI – Comment instaurer un climat de confiance avec le conseil d'administration ? Ne parlez pas (trop) de cybersécurité
- Témoignage d'un DSI – Le revers de la médaille des risques liés aux tiers
- CISO Success Story – How Zoom Achieved Cybersecurity 2,0 With Cyber Risk Scoring
