Il y a un peu plus de 10 ans, Target a recruté son premier responsable de la sécurité des systèmes d' s (RSSI), , dans le cadre des efforts déployés par ce géant de la grande distribution pour redorer son image ternie à la suite d'une cyberattaque de grande ampleur. Des pirates informatiques avaient dérobé les identifiants électroniques d'un fournisseur de matériel de réfrigération, s'étaient infiltrés dans le réseau informatique de Target et avaient volé les données de cartes de crédit et de débit de 40 millions de comptes ainsi que les informations personnelles de 70 millions de clients.
Parmi les conséquences dévastatrices, les ventes en magasin et en ligne ont chuté à leur plus bas niveau depuis trois ans, le PDG et le directeur des systèmes d'information ont démissionné, le Sénat a soumis le directeur financier à un interrogatoire musclé dans le cadre d'une enquête très médiatisée, et l'entreprise a accepté de verser la somme record de 18,5 millions de dollars pour régler les plaintes déposées par 47 États et le District de Columbia. Afin de regagner la confiance des consommateurs, Target a mis en place toute une série de mesures de sécurité renforcées, notamment un recours accru à l'authentification multifactorielle (), une formation améliorée des employés sur la sécurité des mots de passe , ainsi qu'une meilleure gestion des accès .
Cette débâcle a provoqué une onde de choc dans les entreprises du monde entier. Si Target a pu être piraté, alors n'importe qui peut l'être. La leçon à retenir pour les conseils d'administration était claire : N'attendez pas qu'une attaque se produise ; vérifiez dès maintenant si le système présente des failles.
C'était il y a dix ans — et depuis lors, nous avons assisté à de nombreuses cyberattaques très médiatisées visant des enseignes de la grande distribution , notamment contre Ticketmaster, AT&T, Verizon et Dell rien que cette année. Alors, combien de conseils d’administration ont réellement tiré les leçons de cette expérience et investi dans l’amélioration de la cybersécurité ?
Après tout, depuis la fuite de données chez Target et toutes les autres affaires retentissantes, nous avons pu constater à quel point les conséquences peuvent être dramatiques :
- Tout d'abord, il y a la perte critique de confiance des clients subie par l' . Selon l'IDC, si leurs données sensibles sont compromises, 80 % des consommateurs des pays développés se tourneront vers d'autres prestataires. En effet, certaines études indiquent que près de 60 % des entreprises font faillite à la suite d'une violation de données.
- À cela s'ajoute la couverture médiatique négative, notamment lorsque des personnalités de premier plan sont impliquées. Cela peut accélérer la perte de confiance et renforcer les perceptions négatives qui s'installent souvent à la suite d'une forte couverture médiatique, ce qui nuit à la réputation tant de l'entreprise que des personnes qui la composent.
- Lorsque la réputation d'une entreprise s'effondre, sa valeur boursière s'effondre également. Les entreprises victimes de fuites de données peuvent voir le cours de leur action afficher une performance inférieure à celle du marché pendant plusieurs années. Par ailleurs, les pertes financières liées à une cyberattaque – notamment les coûts de restauration des données, les frais juridiques et l'indemnisation des clients lésés – peuvent être considérables. En 2024, le coût moyen par violation s'élevait à 4,88 millions de dollars , soit une hausse de 10 % par rapport à l'année précédente et la plus forte augmentation enregistrée depuis le début de la pandémie.
- Selon la gravité de la violation, la réputation d’une entreprise peut être tellement ternie que les investisseurs s’en détournent, et qu’elle risque de passer à côté d’opportunités de nouer de nouvelles relations et de s’engager dans des initiatives de collaboration, ce qui pourrait freiner sa croissance.
- Enfin, une cyberattaque aura des répercussions négatives sur le moral des employés d' et entravera les efforts de recrutement. Les salariés dont les données ont été volées pourraient – à tout le moins – avoir le sentiment que l'entreprise a fait preuve de négligence dans la protection de leurs données. Et les entreprises dont la réputation est entachée peuvent constater que les candidats talentueux et hautement qualifiés préfèrent travailler ailleurs.
«Je peux vous dire que c’est vraiment difficile de lire que l’entreprise dans laquelle vous avez investi tout votre cœur, toute votre énergie et toutes vos larmes se fait passer au crible. »Meredith Griffanti, responsable senior chez FTI Consulting
Meredith Griffanti, aujourd'hui directrice générale senior chez FTI Consulting, occupait un poste de cadre chez Equifax lors de la faille de sécurité survenue au sein de cette entreprise en 2017, et elle se souvient à quel point cette expérience avait été démoralisante.
« Je peux vous dire », a-t-elle déclaré, « qu’il est vraiment difficile de lire, en première page des journaux, que l’entreprise dans laquelle vous avez investi tout votre cœur, toute votre énergie et toutes vos larmes est ainsi mise au pilori. » « C'est émouvant. »
Pourquoi la cybersécurité constitue un avantage concurrentiel
Dans un souci de transparence, la Commission américaine des opérations boursières (SEC) a ajouté, en 2023 , des règles de divulgation qui imposent un processus plus rigoureux pour le signalement des cyberattaques. La nouvelle réglementation impose aux entreprises de fournir aux investisseurs des informations à jour, cohérentes et « utiles à la prise de décision » concernant leurs politiques en matière de risques cybernétiques ; elle les oblige également à divulguer les informations relatives aux incidents cybernétiques « significatifs » dans un délai de trois jours. Cela incite davantage les conseils d'administration à se montrer plus proactifs, car le meilleur moyen de protéger la réputation d'une marque consiste à mettre en place et à entretenir une culture de la cybersécurité.
« Certaines entreprises font de la sécurité un avantage concurrentiel », déclare Robert Strickland, PDG et fondateur de M37 Ventures et ancien directeur des systèmes d'information de T-Mobile. « Être “Fort Knox” fait désormais partie intégrante de leur image de marque, c’est un moyen d’attirer et de fidéliser les clients. »
Comme le dit le vieil adage, « mieux vaut prévenir que guérir ». En réalité, ce ratio de 16-to-1 pourrait sous-estimer l'importance de la proactivité en matière de cybersécurité. Il n'existe pas de solution universelle, mais nos experts ont mentionné (et nous avons rassemblé) plusieurs étapes faisant l'unanimité pour mettre en place une défense.
Voici sept moyens permettant aux conseils d'administration de se prémunir contre toute atteinte à leur réputation :
1. Exigez une stratégie de sécurité à plusieurs niveaux
Imaginez que vous deviez protéger un château médiéval. « Il n’y avait pas qu’une seule défense », fait remarquer Strickland. « Il y avait les douves, les pieux, l'huile bouillante, les catapultes. »
«Certaines entreprises utilisent la sécurité comme un avantage concurrentiel. » Le fait d’être « Fort Knox » fait désormais partie intégrante de leur image de marque, un moyen d’attirer et de fidéliser les clients. »Robert Strickland, PDG et fondateur de M37 Ventures
« Assurez-vous, tout comme eux, de disposer d'une stratégie de sécurité à plusieurs niveaux », conseille-t-il. Un niveau ne suffit jamais. Testez-le régulièrement afin de détecter d'éventuelles failles. Sensibilisez les personnes afin qu'elles ne se laissent pas piéger par le hameçonnage et qu'elles ne divulguent pas leurs mots de passe.
2. Posez les bonnes questions
Cela peut sembler évident, mais l'une des choses essentielles que les conseils d'administration peuvent faire est de poser des questions vraiment pertinentes et réfléchies, explique Arvind Swaminathan, associé au sein du cabinet d'avocats international Orrick, où il a fondé le groupe de pratique dédié à la cybersécurité, à la protection des données et à l'innovation. Il fait référence à la liste de questions établie par Orrick, que tous les conseils d’administration devraient poser à leur entreprise, et cite des listes similaires émanant de l’Association nationale des administrateurs d’entreprise (NACD) ainsi que d’autres associations spécialisées dans la gouvernance d’entreprise .
[Lire aussi : 4 priorités de leadership essentielles pour les CISO à l'ère de l'IA]
3. En avant, les amis, entraînez-vous à fond sur ces schémas de jeu !
L'accent mis sur la préparation ne cesse de s'intensifier. « Nous constatons que les conseils d’administration exercent une forte pression sur leurs équipes de direction pour qu’elles soient mieux préparées », explique M. Griffanti. Cela implique de réexaminer et de renforcer les plans de gestion de l’ , les plans d’intervention en cas d’incident , les plans de communication de crise et les plans de continuité des activités, et de veiller à ce qu’ils fonctionnent tous en synergie.
4. Constituez le conseil d'administration avec le RSSI
Un conseil d'administration ne peut pas se faire une idée suffisante de l'état de la cybersécurité d'une entreprise en se contentant des présentations trimestrielles.
«Le fait d’établir une relation visible entre le conseil d’administration et le RSSI montre très clairement à l’ensemble de l’entreprise que la cybersécurité mérite qu’on y consacre du temps. »J.R. Williamson, vice-président senior et responsable de la sécurité des systèmes d'information (RSSI) chez Leidos
« Les membres du conseil d’administration devraient prendre les dispositions nécessaires pour rendre visite à l’équipe de sécurité et bénéficier d’une présentation directe de la part du personnel en première ligne de la cybersécurité », écrit J.R. Williamson, vice-président senior et responsable de la sécurité des systèmes d’information (CISO) chez Leidos, dans le manuel destiné aux dirigeants « 2023 Director’s Handbook on Cyber-Risk Oversight », publié par l’Internet Security Alliance.
Une meilleure connaissance de la mission de l'équipe et de ses dirigeants s'avérera très utile en cas de crise, fait-il remarquer. Cela envoie également un message fort : « Le fait d'établir une relation visible entre le conseil d'administration et le RSSI montre très clairement à l'ensemble de l'entreprise que la cybersécurité mérite qu'on y consacre du temps. »
5. Intégrez les réseaux sociaux à votre champ d'action
C'est là que les dégâts les plus graves peuvent se produire. « Si vous êtes une grande marque et que vous vous concentrez principalement sur les consommateurs ou que vous disposez d’un effectif important, vous devriez surveiller à l’avance le paysage des réseaux sociaux d’ », explique M. Griffanti.
Cela devient de plus en plus important pour les petites entreprises également, même si celles-ci ne disposent peut-être pas du personnel ou des ressources nécessaires pour s'en charger. « Surveillez tout, des forums Reddit aux tweets en passant par les publications sur YouTube », explique M. Griffanti, « afin de pouvoir repérer les polémiques avant qu’elles ne deviennent virales. »
6. Commencez à jouer à des jeux
Les simulations permettent aux membres du conseil d'administration de se faire une idée concrète de la situation. Mme Griffanti précise que son cabinet a conçu des exercices permettant aux conseils d'administration de se mettre en situation de « tir réel » et de comprendre les subtilités ainsi que les décisions cruciales qui doivent être prises en une fraction de seconde.
Comme elle le dit : « À quel moment met-on fin à l'ensemble du réseau ? » Qu'est-ce que vous remettez en ligne en premier ? « Quels sont les services et les applications essentiels à la mission ? »
[À lire également : 5 objectifs clés pour orienter les budgets de cybersécurité en 2025]
7. Définissez vos principes et respectez-les.
Malgré les pressions liées aux attentes du marché et aux comportements passés, il est important de ne pas perdre de vue qui vous êtes en tant qu'organisation.
« Vous devez comprendre en quoi consistent votre mission, votre vision et vos valeurs, et comment vous comptez les respecter lorsque vous serez confronté à une situation de crise », explique M. Swaminathan. « Car c'est ainsi que vous protégez la réputation de votre marque. » « C’est ainsi que l’on instaure la confiance. » « Ce qui est juste n'est pas toujours facile à définir », dit-il. Mais c'est le chemin qui mène à une bonne réputation.
