Lorsque Twitter a embauché Peiter « Mudge » Zatko au poste de responsable de la sécurité à l' novembre 2020, il a été chaleureusement accueilli par Jack Dorsey, alors PDG, qui l'avait personnellement recruté.
En tant que membre du légendaire collectif de hackers « L0pht » dans le 1990s, Mudge a contribué à l'élaboration des concepts de piratage éthique (« white hat ») et de divulgation responsable des vulnérabilités. Avant de rejoindre Twitter, il avait travaillé pour l'Agence pour les projets de recherche avancée de défense (DARPA) et chez Google.
Après une cyberattaque dévastatrice survenue quatre mois plus tôt, qui avait permis à des pirates de prendre le contrôle de comptes appartenant notamment à l'ancien président Barack Obama et au PDG de Tesla, Elon Musk, l'entreprise avait besoin d'une personnalité jouissant de la réputation exceptionnelle de Mudge pour rétablir sa crédibilité. Mais moins de deux ans plus tard, celui qui était alors responsable de la sécurité a témoigné devant le Congrès au sujet de l’approche «grossement négligente" » de Twitter en matière de sécurité, après que les dirigeants de l’entreprise auraient ignoré ses nombreux avertissements.
Comme Mudge l'a découvert, le chemin qui mène du statut de sauveur de la sécurité à celui de lanceur d'alerte est glissant et escarpé. Il est extrêmement rare qu'un dirigeant de haut niveau dénonce publiquement des failles de sécurité non corrigées. Mais cela pourrait bientôt changer, les règles fédérales en matière de signalement des incidents de cybersécurité étant sur le point d'entrer en vigueur.
La voie est désormais ouverte aux dénonciations
Dans le cadre de la loi « mars 2022 », la loi sur la notification des incidents cybernétiques affectant les infrastructures critiques ( , CIRCIA) a été promulguée. Une fois que les règles définitives entreront en vigueur, la loi imposera aux professionnels de la cybersécurité travaillant au sein d’ d’entreprises gérant des infrastructures critiques de signaler sans délai les incidents ainsi que les paiements versés aux auteurs de ransomware aux autorités fédérales.
«Il m’est arrivé de poser mon insigne sur la table et de dire : “Ça ne se passera pas sous ma responsabilité.” »Malcolm Harkins, directeur de la sécurité et de la confiance chez Epiphany Systems
Selon les experts juridiques d’ , cette loi offre aux lanceurs d’alerte ayant connaissance d’un manquement à l’obligation de signaler en temps utile des failles de cybersécurité à l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) la possibilité de dénoncer cette faille par le biais d’une action en justice en vertu de la loi sur les fausses déclarations (False Claims Act).
La SEC a également proposé de nouvelles règles obligeant les sociétés cotées en bourse à signaler les « incidents de cybersécurité significatifs » dans les quatre jours suivant leur survenue, et offre d'ores et déjà des incitations financières importantes aux employés qui signalent les organisations qui ne se conforment pas à ces règles. En raison de ces nouvelles exigences, le nombre de salariés se déclarant lanceurs d'alerte devrait augmenter, selon .
Cela ne doit pas forcément se passer ainsi. En adoptant une culture de transparence et de responsabilité partagée, les organisations peuvent réduire les situations susceptibles de donner lieu à des signalements, tout en améliorant la gestion des risques.
Les responsables de la sécurité des systèmes d'information (RSSI) sont sous pression
La pression exercée sur les responsables de la sécurité des systèmes d'information (RSSI) pour qu'ils dissimulent des informations concernant des cyberrisques graves est bien trop courante, note Malcolm Harkins, directeur de la sécurité et de la confiance chez Epiphany Systems, et ancien directeur de la sécurité et de la protection de la vie privée chez Intel.
À la fin de l'année 2020, Harkins a publié un sondage sur la plateforme Pulse.QA (aujourd'hui Gartner Peer Insights) afin de demander aux professionnels de la sécurité s'ils avaient déjà été invités à « minimiser » des risques de sécurité réels. Sur les plus de 100 personnes interrogées, près de 60 % ont répondu par l'affirmative. Bien que cette enquête ne soit pas scientifique et que l'échantillon soit de petite taille, elle reflète une réalité de plus en plus présente chez les responsables de la cybersécurité, explique M. Harkins.
« Nous avons tous été confrontés à des défis liés à l’intégrité qui ont mis notre détermination à l’épreuve », a-t-il écrit dans un essai intitulé « » (La force de l’intégrité), publié plus tôt cette année par . « Nous pouvions anticiper les moments où des tensions risquaient de surgir… » « Nous pouvions le sentir, le percevoir comme un sixième sens. »
Lorsqu'ils sont confrontés à des pressions contraires à l'éthique émanant de leurs supérieurs, les responsables de la sécurité disposent de quatre options : ils peuvent résister avec plus de fermeté et tenter de faire changer d'avis leur supérieur. Ils peuvent gérer ce risque du mieux qu'ils peuvent et espérer éviter la catastrophe. Ils peuvent rendre leurs badges et trouver des employeurs plus soucieux de la sécurité. Ou bien ils peuvent rendre cette information publique, ce qui permettrait d'alerter les autorités de régulation, mais mettrait également leur carrière en péril.
« Il m'est arrivé de poser mon insigne sur la table et de dire : “Ça ne se passera pas comme ça sous ma responsabilité” », explique M. Harkins. « Personnellement, je ferais cela avant même de devenir lanceur d'alerte. » « Si vous estimez que l'entreprise commet une erreur grave, vous devriez être prêt à partir. »
La sécurité est un travail d'équipe
Les professionnels de la sécurité sont confrontés chaque jour à des centaines de failles potentiellement graves liées à l' , explique Steve Zalewski, ancien responsable de la sécurité des systèmes d'information (RSSI) chez Levi Strauss et désormais conseiller en sécurité chez S3 Consulting. Ils doivent déterminer lesquels constituent une menace suffisamment grave pour l'entreprise et décider de la marche à suivre si le PDG ou le conseil d'administration refuse d'y répondre de manière appropriée.
«Les RSSI sont comme des pompiers : ils se précipitent vers le problème, s’attendant à être traités comme des héros. » Mais ils se rendent de plus en plus compte que ce n’est pas ainsi que leur entreprise les traite. »Steve Zalewski, conseiller en sécurité, S3 Consulting
« Souvent, on se retrouve dans une situation où l'on doit accepter beaucoup plus de risques que ce que l'on est prêt à supporter, sans avoir aucun moyen de gérer ces risques », explique-t-il. « Les RSSI sont comme des pompiers : ils se précipitent vers le problème, s'attendant à être traités comme des héros. » « Mais ils se rendent de plus en plus compte que ce n'est pas ainsi que leur entreprise les traite. »
Et il arrive parfois que les professionnels de la sécurité prennent de mauvaises décisions.
Dans l'affaire « novembre 2016 » , des pirates informatiques ont piraté une base de données d'Uber, accédant ainsi aux données de 57 millions de clients. Des pirates informatiques ont menacé de rendre ces données publiques si Uber ne leur versait pas 100 000 dollars. Après avoir discuté de la situation avec le juriste chargé de la sécurité au sein d'Uber et Travis Kalanick, alors PDG, Joseph Sullivan, directeur de la sécurité, a accepté de rémunérer les pirates via le programme de prime aux bogues de l'entreprise. Il a ensuite omis de signaler cet incident à la Commission fédérale du commerce, qui menait déjà une enquête sur l'entreprise suite à une violation antérieure.
[À lire également : Pourquoi les chasseurs de bogues touchent des récompenses colossales]
En octobre dernier, M. Sullivan a été condamné pour un délit grave pour avoir dissimulé cette faille de sécurité. Au moment de la publication, aucune date n'avait encore été fixée pour l'audience de détermination de la peine.
« Joe a commis une erreur en se fondant sur de mauvais conseils prodigués par d’autres membres de l’entreprise, et avec le recul, je pense qu’il agirait différemment », déclare Rob Chesnut, ancien directeur juridique et responsable de l’éthique chez Airbnb, qui a siégé au comité consultatif sur la sécurité d’Uber en 2016 et qui intervient désormais en tant que consultant sur les questions juridiques et éthiques. « Mais est-il juste que Joe assume à lui seul la responsabilité, dans le cadre d'une affaire pénale, de la faillite de l'entreprise ? » « Je ne pense pas. »
La condamnation de Sullivan a retenu l'attention de la communauté de la cybersécurité, comme le souligne Chenxi Wang, fondateur et associé gérant de la société de capital-risque Rain Capital, et investisseur dans plusieurs start-ups spécialisées dans la sécurité.
« La question de savoir à qui, au sein d'une organisation, incombe la responsabilité de prendre les décisions ayant des implications en matière de cybersécurité a fait l'objet de nombreux débats », explique-t-elle. « À qui incombe cette responsabilité ? » « Le RSSI ne devrait pas être le seul [à en être responsable]. »
Selon M. Wang, les organisations doivent mettre en place un processus permettant de prendre les décisions clés concernant la gestion des incidents cybernétiques, ainsi que de déterminer quels autres dirigeants sont responsables et doivent être associés à ce processus. « Tout commence par le directeur juridique », ajoute M. Zalewski.
« Les directeurs juridiques sont les meilleurs alliés du responsable de la sécurité des systèmes d'information (RSSI), car ce sont les seuls à être légalement tenus de faire passer les intérêts de l'entreprise avant tout », explique-t-il. « Lorsque vous faites intervenir le directeur juridique dans la discussion, le conseil d'administration a l'obligation de vous écouter, et vous disposez d'un compte rendu écrit de ce qui s'est passé. »
La culture est essentielle
En fin de compte, le fait qu'une entreprise devienne ou non, sans le vouloir, un terreau fertile pour les lanceurs d'alerte dépend avant tout de sa culture d'entreprise. Les salariés se sentent-ils à l'aise pour dire la vérité à leurs supérieurs ? Les chefs d'entreprise sont-ils prêts à écouter ?
« Si vous travaillez dans une entreprise où l'on vous demande simplement d'obéir sans poser de questions, vous allez être confronté à davantage de problèmes de ce genre », fait remarquer M. Harkins. « Si les salariés n'ont pas le droit d'exprimer leur désaccord et de remettre en question certaines décisions, vous verrez se multiplier ce genre de dilemmes éthiques. »
« L'essentiel est d'encourager la transparence et la communication, tant de la base vers le haut que du milieu vers l'extérieur », souligne Marene Allison, qui s'apprête à prendre sa retraite en tant que responsable de la sécurité des systèmes d'information (RSSI) chez Johnson & Johnson.
Après l'adoption de la loi Sarbanes-Oxley en 2002, les sociétés cotées en bourse ont été tenues de mettre en place des lignes d'assistance dédiées à l'éthique, permettant aux salariés de signaler de manière anonyme d'éventuels actes répréhensibles. Allison affirme que chaque entreprise doit mettre en place un moyen permettant à ses employés de tirer la sonnette d'alarme lorsqu'ils constatent un problème.
« Une mauvaise nouvelle annoncée tôt est une bonne nouvelle », dit-elle. « Si une entreprise souhaite faire preuve de transparence, elle doit donner à ses salariés et à ses prestataires externes la possibilité de s'exprimer sur ses pratiques. » Yes, you're going to get the person who wants to be on the 5 o'clock news, but you'll also get the person who sees something and is trying to tell you but no one will listen."
Selon M. Harkins, les responsables de la sécurité ont l'obligation morale de rendre publique toute cyberattaque susceptible de mettre des vies en danger. Mais dans des circonstances moins graves, la réaction la plus courante consiste à s'en aller. Il conseille aux professionnels de la sécurité de tout consigner par écrit dans un premier temps, puis de transmettre ces informations au directeur juridique et aux autres hauts dirigeants. Cette stratégie permet de constituer une trace écrite justifiant les responsabilités au cas où les autorités de contrôle viendraient frapper à votre porte.
Une ligne grise
Les menaces sont graves et impossibles à ignorer. Mais la cybersécurité se décline en différentes nuances de gris. Des situations de dénonciation peuvent survenir lorsqu'il existe un décalage entre la manière dont les responsables de la sécurité et le reste de la direction perçoivent les risques.
«La meilleure façon de traiter la question des lanceurs d’alerte est de créer un environnement où ils ne soient pas nécessaires. »Rob Chesnut, ancien directeur juridique et responsable de l'éthique chez Airbnb
Depuis des décennies, la cybersécurité est vendue en jouant sur la peur, et les professionnels de la sécurité peuvent parfois faire preuve d’un zèle excessif lorsqu’ , lorsqu’ils évoquent l’ des risques, explique M. Harkins. Cette position peut s'avérer utile lors de la demande d'approbation du budget, mais elle peut également nuire à la crédibilité d'un RSSI lorsque la catastrophe qu'il avait prédite ne se produit pas.
Les dirigeants d'entreprise, en revanche, peuvent ne pas être en mesure de saisir pleinement l'impact d'une vulnérabilité sur les résultats financiers de l'entreprise. Et s'il est relativement facile d'évaluer les dommages causés par un incident grave, il est bien plus difficile d'évaluer la valeur de l'investissement qui permet d'empêcher cet incident de se produire. C'est au responsable de la sécurité des systèmes d'information (RSSI) qu'il revient de présenter ces arguments sans en faire tout un plat.
« De nombreuses entreprises ne comprennent pas ce qu'est la cybersécurité ; elles savent simplement qu'elles doivent en disposer », explique M. Zalewski. « Les responsables de la sécurité des systèmes d'information (RSSI) doivent aider les entreprises à prendre conscience de l'ampleur réelle des risques qu'elles encourent. »
Mais il est impossible de protéger tous les actifs de la même manière. Même si, du point de vue de la sécurité, les entreprises respectent toutes les règles, elles peuvent tout de même être victimes d'une intrusion. C'est surtout la manière dont ils réagissent qui compte. Et les règles permettant de procéder de manière uniforme n'ont pas encore été définies.
« Ce n’est pas parce qu’une entreprise est victime d’une fuite de données qu’elle est pour autant une mauvaise entreprise », déclare M. Chesnut. « Font-ils preuve de transparence quant à ce qui s'est passé et semblent-ils sincèrement déterminés à remédier au problème ? » « La meilleure façon de traiter la question des lanceurs d'alerte est de créer un environnement où leur intervention ne soit pas nécessaire. »
