Ces dernières semaines ont été un rappel pour les dirigeants d’entreprise que les entreprises du monde entier sont vulnérables aux cyberattaques catastrophiques.
En bref, Colonial Pipeline a versé une rançon de 4,4 millions USD aux cybervandales qui ont verrouillé ses systèmes informatiques, et le président Biden a émis un décret exigeant que les entrepreneurs fédéraux renforcent la sécurité des logiciels et signalent rapidement toute violation ou activité malveillante au gouvernement.
Heureusement, de nombreux PDG ont adopté une approche proactive. Peu de gens ont vu cela de près comme Maggie Wilderotter. En tant qu’ancienne PDG (près de 12 ans à la tête de Frontier Communications) et membre du conseil d’administration de Hewlett-Packard Enterprise, Costco et Tanium, elle aborde ces problèmes chaque jour.
Wilderotter a récemment parlé avec Endpoint de ce qu’elle voit dans les salles de conseil d’entreprise, des défis commerciaux que les cybermenaces posent, de l’importance de la collaboration publique et privée, et de la manière et des raisons pour lesquelles les entreprises doivent diversifier leurs conseils pour suivre les cybermenaces émergentes.
Quel rôle les conseils d’administration doivent-ils jouer dans la gestion des cybermenaces ?
Les tableaux doivent jouer un rôle actif. Une partie du travail d’un conseil d’administration consiste à s’assurer que nous atténuons les risques et que nous comprenons quels sont les principaux risques de l’entreprise. Nous devons comprendre ce que l’entreprise fait pour gérer ce risque.
Et nous devons nous assurer que la gouvernance et la transparence répondent aux besoins, non seulement des actionnaires de l’entreprise, mais également de ses parties prenantes. Cela inclut ses clients, ses affiliations gouvernementales et d’autres entreprises qui dépendent de l’entreprise dans leur chaîne d’approvisionnement.
Par exemple, je préside trois comités d’audit de sociétés publiques. Nous sommes responsables de la surveillance des risques au nom du conseil d’administration, qui a la responsabilité de la surveillance ultime. Certains conseils d’administration d’entreprises publiques disposent en fait d’un comité de cybertechnologie. La cybersécurité est un examen que nous effectuons tous les trimestres au niveau du comité d’audit, et nous approfondissons avec le conseil d’administration une fois par an. Mais une grande partie de cela est basée sur ce que nous savons, et non sur ce que nous ne savons pas.
Quels sont les défis liés à la supervision de la sécurité ?
Nous avons toujours affaire à de nombreux réseaux hérités. Les processus et capacités de ces réseaux ne se prêtent pas nécessairement à résister à la sophistication des cyberattaques actuelles. La transformation de ces réseaux nécessite du temps, des efforts, de l’argent et d’autres ressources.
Donc, tout le monde, je pense, joue plus de rattrapage que nous ne le faisons. Et lorsqu’il s’agit de systèmes existants, il y a beaucoup d’hésitation à les toucher, même parce que les organisations ne veulent pas connaître les temps d’arrêt ou parce qu’ils sont coûteux. Mais il vous suffit de mordre la balle et de le faire.
« Lorsqu’il s’agit de systèmes existants, il y a beaucoup d’hésitation à les toucher. »
Ce qui s’est passé au fil du temps, c’est lorsqu’une nouvelle cyber vulnérabilité est découverte, les entreprises finissent par acheter une solution ponctuelle au lieu de penser à utiliser une plateforme qui peut être étendue pour résoudre un problème. Ainsi, au fil du temps, les entreprises se retrouvent avec plusieurs solutions ponctuelles, et aucune d’entre elles n’est intégrée ou ne communique entre elles.
Les directeurs techniques de l’entreprise, vos DSI et RSSI, ont choisi ces solutions et les ont mises en œuvre. Ensuite, au fil du temps, les entreprises réalisent que si les solutions ne sont pas intégrées correctement, elles ne sont vraiment pas protégées. Avec un large éventail de solutions ponctuelles, les leaders technologiques ne sont pas rapides à les remplacer en raison des investissements réalisés pour les installer et les utiliser dans leurs systèmes.
Cela rendrait également ces dirigeants moins compétents dans leurs décisions d’avoir mis en œuvre ces solutions ponctuelles en premier lieu. Les fonctions de DSI et de RSSI sont déjà courtes pour les grandes entreprises. La pression est donc de « vivre avec » un ensemble de solutions moins qu’adéquate.
Comment une entreprise résout-elle ce problème ?
La solution consiste à avoir la haute direction, y compris le PDG, le directeur financier et le directeur de l’exploitation, ainsi que le conseil d’administration prêt à donner la permission de remplacer ces solutions ponctuelles par des plateformes qui peuvent être exploitées avec plusieurs solutions d’application entièrement intégrées.
[Lire également : Comment prendre le contrôle des actifs dans votre organisation]
Ensuite, ces plateformes peuvent fournir des liens horizontaux à travers toutes les facettes de l’entreprise pour la visibilité, les tests de vulnérabilité et, pour cette défense clé, l’isolement lorsque quelque chose se produit. Et si quelque chose se produit, une violation ou une autre activité malveillante, vous devez disposer d’un système qui peut vous donner des faits afin que vous puissiez agir rapidement. Les attaques continueront de se transformer et de devenir plus sophistiquées. Le coût de la violation du pipeline colonial était de 44 millions USD, ce qui était significatif, mais inférieur au coût moyen de 200 millions USD d’une violation pour les grandes entreprises.
Aujourd’hui, les conseils d’administration recherchent une expertise en cybersécurité et en technologie, et s’ils ne l’ont pas eux-mêmes, ils se tournent vers des consultants externes, des partenariats industriels et des groupes de réflexion pour s’éduquer.
Le gouvernement fédéral a-t-il fait suffisamment pour que les entreprises comprennent à quel point la menace est grave et pour offrir aux entreprises le soutien dont elles ont besoin ?
L’une des choses que le gouvernement n’a pas faites, et je pense que les entreprises privées aimeraient vraiment, est de considérer les cybercrimes comme un acte de guerre. Qu’est-ce que je veux dire ? Le catalyseur de tout cela a été l’attaque de Sony en Corée du Nord. [En 2014, la Corée du Nord a piraté le système informatique d’entreprise de Sony Pictures après que le studio a publié un film Seth Rogen parodisant Kim Jong-un, leader de la Corée du Nord.]
« Nous voyons désormais des acteurs étrangers avec des entreprises de ransomware gelant les actifs. Il s’agit d’actes de guerre. »
Nous voyons maintenant des acteurs étrangers avec des actifs d’ entreprise gelant les rançongiciels. Il s’agit d’actes de guerre. Ces attaques représentent une nation qui tente de détruire l’économie d’une autre nation. Je n’ai entendu parler d’aucune discussion ouverte à ce sujet au Congrès ou même entre le Congrès et la communauté des affaires. Cela devrait se produire.
Qui dans le gouvernement devrait en être responsable ?
De nombreuses agences gouvernementales ont une certaine responsabilité en matière de cybersécurité, mais un plan ou programme plus cohérent doit être mis en place. Une collaboration plus proactive entre le secteur public et le secteur privé est vraiment nécessaire. J’ai dirigé une télécommunication pendant 12 ans. Les télécommunications sont hautement réglementées.
Le secteur détient de nombreuses informations de communication personnelles. Notre agence dirigeante est la FCC, et elle a une excellente expérience en matière de protection des consommateurs. L’autre industrie réglementée avec une forte surveillance de la cyberrégulation est l’industrie financière, qui comprend les grandes banques régionales.
[Lire également : Les menaces mondiales nécessitent une réponse globale]
Il existe donc des meilleures pratiques à utiliser comme point de départ pour les partenariats public-privé afin de mettre en place des capacités pour la cybersécurité et de s’assurer qu’elles sont partagées avec les chaînes d’approvisionnement logicielles, qui sont réparties dans le monde entier et ne sont pas toujours très sophistiquées dans leur sécurité. Cela contribuerait grandement à améliorer la protection et la détection.
