Le déficit de responsabilité
Tanium s'est associé au NASDAQ afin de mettre en lumière l'écart entre la perception qu'ont les dirigeants d'entreprise de leur propre vulnérabilité en matière de cybersécurité et leur compréhension réelle de celle-ci. Dans l’ « The Accountability Gap: Cybersecurity & Building a Culture of Responsibility » (s’ouvre dans un nouvel onglet), des chercheurs de Goldsmiths, Université de Londres, ont identifié sept défis intrinsèques que les entreprises doivent surmonter pour gérer les vulnérabilités en matière de cybersécurité : la culture numérique, l’appétit pour le risque, le renseignement sur les menaces, la législation et la réglementation, la résilience des réseaux, la réaction et le comportement.
Importance de la gestion des risques d'entreprise (ERM)
La relation entre le risque et le conseil d'administration est une danse de plus en plus complexe. Le rythme effréné des évolutions technologiques et économiques a fait de la gestion des risques d'entreprise (ERM) une responsabilité plus exigeante et plus concrète pour les administrateurs. Et bien que la prise de risque présente de nombreux avantages stratégiques pour la croissance d’une organisation, la cybersécurité s’est hissée en tête des priorités de la gestion des risques d’entreprise (ERM) — une menace très différente qui nécessite une stratégie, un langage et des règles du jeu distincts. Une vulnérabilité en matière de cybersécurité est un risque qu'il est impossible de gérer ou d'atténuer. Il faut y mettre fin. Une organisation ne peut plus confier la responsabilité de la cybersécurité exclusivement à ses responsables techniques : chacun, à tous les niveaux hiérarchiques, doit être tenu pour responsable des conséquences d'une faille de cybersécurité.
Même s'il ne faut pas attendre des membres du conseil d'administration qu'ils soient des experts en technologie, le conseil doit être en mesure de poser les bonnes questions concernant les références en matière d'informatique et les meilleures pratiques au sein du secteur. Nous avons constaté que 91 % des membres des conseils d'administration des entreprises les plus vulnérables ne sont pas en mesure d'interpréter un rapport sur la cybersécurité et que seuls 50 % ont déclaré avoir suivi une formation en matière de cybersécurité.
Les conseils d'administration doivent bien cerner les menaces informatiques auxquelles est confrontée une organisation, au même titre que n'importe quel risque financier. Mais si une organisation n'a pas confiance en ses données et que les contrôles opérationnels appropriés ne sont pas en place, alors que les conseils d'administration ne disposent pas des connaissances suffisantes pour évaluer et superviser la cybersécurité, qui est réellement responsable ? Les membres du conseil d'administration peuvent faire davantage pour s'aider eux-mêmes, et les responsables techniques peuvent faire davantage pour collaborer avec le conseil d'administration.
Ce que les membres du conseil d'administration peuvent faire de plus pour s'aider eux-mêmes
Les DSI et les RSSI peuvent commencer à inverser cette tendance en fournissant au conseil d'administration :
- Une vision d'ensemble du paysage des menaces
- Une identification précise des actifs de l'entreprise et des niveaux de risque associés
- Une explication claire des coûts liés à la sécurité dans le cadre de la réduction des risques pour l'entreprise
En tant que dirigeant moi-même, je m'entretiens régulièrement avec des experts en cybersécurité et j'étudie des études de cas afin de rester à la page. Grâce à mes années d'expérience dans les secteurs des technologies d'entreprise et grand public, j'ai la chance de bien comprendre les environnements informatiques, les différentes catégories de technologies de sécurité et le vocabulaire généralement utilisé pour décrire les problèmes de cybersécurité ; les membres du conseil d'administration qui ne disposent pas de cette expertise devraient s'adresser au DSI ou au RSSI de leur entreprise. Les responsables de l'information et de la sécurité devraient, au minimum, animer chaque année une session intitulée « Cyber 101” » et mettre à disposition un glossaire de termes expliqués en langage simple.
Autres activités recommandées :
- Élargissez le comité d'audit de votre conseil d'administration afin qu'il couvre à la fois l'audit et les risques, et intégrez-y un membre spécialisé dans les cyberrisques, doté d'une solide expérience et de connaissances approfondies en matière de cybersécurité, ainsi que de sa relation avec l'organisation et de son impact sur celle-ci
- Réalisez une analyse d'impact sur l'activité et veillez à ce que les dirigeants non spécialisés dans le domaine technique comprennent l'impact de la cybersécurité sur l'entreprise
- Réaliser des évaluations annuelles du conseil d'administration afin d'identifier de manière proactive les domaines dans lesquels il convient de concentrer les efforts pour améliorer en permanence les compétences en cybersécurité
- Élaborez un ensemble standard d'indicateurs et un tableau de bord afin de faciliter l'analyse comparative d'un mois à l'autre et d'une année à l'autre
- Élaborer un plan de sécurité triennal permettant au conseil d'administration de comprendre et de suivre l'avancement des améliorations prévues afin d'atténuer les risques identifiés
- L'entrée en vigueur de la loi Sarbanes-Oxley il y a dix ans a marqué un tournant dans la surveillance et le contrôle financiers des entreprises et a complètement transformé la manière dont la surveillance fiduciaire était assurée. Même si nous n'avons pas encore atteint ce même point de basculement en matière de cybersécurité, la surveillance de l'environnement informatique constitue un élément clé de tous les plans d'audit des sociétés cotées. Je trouve encourageant de constater le développement actuel des cadres de gestion des risques cybernétiques et je m'attends à ce que les conseils d'administration des sociétés cotées finissent par comprendre et superviser ces cadres de la même manière qu'ils le font aujourd'hui pour l'information financière. D'ici là, il incombe à tous les membres du conseil d'administration de s'impliquer activement dans le renforcement de leurs propres compétences en matière de cybersécurité.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
