L’écart de responsabilité
Tanium s’est associé au NASDAQ pour mettre en lumière l’écart entre la compréhension présumée et réelle des dirigeants d’entreprise de leur propre vulnérabilité en matière de cybersécurité. Dans The Accountability Gap : Cybersecurity & Building a Culture of Responsibility, des chercheurs de Goldsmiths, Université de Londres, ont identifié sept défis inhérents que les entreprises doivent surmonter pour gérer la vulnérabilité en matière de cybersécurité : cyberalphabétisation, appétence au risque, renseignements sur les menaces, législation et réglementation, résilience du réseau, réponse et comportement.
Importance de la gestion des risques d’entreprise (ERM)
La relation entre le risque et le tableau est une danse de plus en plus compliquée. Le rythme effréné du changement technologique et économique a fait de la gestion des risques d’entreprise (ERM) une responsabilité plus exigeante et pratique pour les administrateurs. Et bien que la prise de risque ait de nombreux avantages stratégiques pour la croissance d’une organisation, la cybersécurité est montée en haut de la liste ERM, une menace très différente nécessitant une stratégie, un langage et des règles de base différents. La vulnérabilité en matière de cybersécurité est un risque qui ne peut pas être géré ou atténué. Elle doit être éliminée. Une organisation ne peut plus laisser la responsabilité de la cybersécurité exclusivement au leadership technique : tout le monde, de haut en bas, doit être tenu responsable des conséquences de la vulnérabilité de la cybersécurité.
Bien que les membres du conseil ne soient pas censés être des experts technologiques, le conseil doit être en mesure de poser les bonnes questions sur les références informatiques et les meilleures pratiques du secteur. Nous avons constaté que 91 % des membres du conseil d’administration des entreprises les plus vulnérables ne sont pas en mesure d’interpréter un rapport de cybersécurité et que seulement 50 % ont déclaré avoir reçu une formation sur la cybersécurité.
Les conseils d’administration doivent comprendre le paysage des cybermenaces d’une organisation, tout comme tout risque financier. Mais si une organisation manque de confiance dans ses données et que les bons contrôles opérationnels ne sont pas en place, mais que les conseils d’administration ne comprennent pas suffisamment pour évaluer et superviser la cybersécurité, qui est réellement responsable ? Les membres du conseil d’administration peuvent en faire plus pour s’aider eux-mêmes et la direction technique peut en faire plus pour s’associer au conseil d’administration.
Ce que les membres du conseil d’administration peuvent faire de plus pour s’aider eux-mêmes
Les DSI et les RSSI peuvent commencer à inverser ces chiffres en fournissant au conseil d’administration :
- Une compréhension globale du paysage des menaces
- Une identification précise des actifs de l’entreprise et des niveaux de risque associés
- Une explication claire des coûts encourus pour la sécurité par rapport à l’atténuation des risques pour l’entreprise
En tant que directeur moi-même, je discute régulièrement avec des experts en cybersécurité et je passe en revue des études de cas pour me tenir au courant. Au cours de mes années de travail dans les secteurs de la technologie des entreprises et des consommateurs, j’ai la chance de comprendre les environnements informatiques, les classes de technologie de sécurité et le langage général utilisé pour décrire les problèmes de cybersécurité ; les membres du conseil d’administration qui n’ont pas cette expérience doivent parler à leur DSI ou RSSI de l’entreprise. Au minimum, les responsables de l’information et de la sécurité doivent diriger une session annuelle « Cyber 101” » et partager un glossaire de la terminologie en termes simples.
Autres activités recommandées :
- Étendre le comité d’audit de votre conseil pour englober à la fois l’audit et le risque, ainsi que l’ajout d’un membre du comité chargé des cyber-risques qui a une expérience et une connaissance approfondies de la cybersécurité et de la manière dont elle se rapporte à l’organisation et a un impact sur celle-ci
- Mener une évaluation de l’impact commercial et s’assurer que la direction non technique comprend l’impact de la cybersécurité sur l’entreprise
- Effectuer des évaluations annuelles du conseil d’administration pour identifier de manière proactive les domaines dans lesquels les efforts doivent être ciblés pour améliorer continuellement les cyber-compétences
- Créer un ensemble standard de mesures et une fiche d’évaluation pour une analyse comparative facile d’un mois à l’autre et d’une année à l’autre
- Élaborer un plan de sécurité sur trois ans, qui permet au conseil d’administration de comprendre et de suivre les progrès des améliorations planifiées pour atténuer les risques identifiés
- L’introduction de Sarbanes-Oxley il y a dix ans a été un tournant dans la supervision et le contrôle financiers de l’entreprise et a complètement changé la manière dont la supervision fiduciaire était gérée. Bien que nous n’ayons pas encore atteint le même point de basculement en ce qui concerne la cybersécurité, la supervision de l’environnement informatique est un élément clé pour tous les plans d’audit des entreprises publiques. Je suis encouragé à voir le développement des cadres de gestion des cyber-risques aujourd’hui et je m’attends à ce que les conseils d’administration des entreprises publiques comprennent et supervisent les cadres de cyber-risques comme ils le font aujourd’hui avec les rapports financiers. D’ici là, il incombe à tous les membres du conseil d’administration de jouer un rôle actif dans leur propre cyberalphabétisation.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
