Les entreprises sont confrontées à une multitude de menaces existentielles : OPA hostiles, départs de talents, comportement imprévisible des clients et fluctuations du marché – autant de risques bien connus que les dirigeants ont soigneusement anticipés et évalués depuis des décennies. Pourtant, ces mêmes dirigeants se révèlent souvent d'une manière alarmante mal préparés face à la menace la plus dévastatrice qui soit : une fuite massive de données qui pourrait entraîner la perte de tout… le tout en quelques secondes.
Les problèmes ne proviennent pas des « experts techniques » d’une entreprise, mais bien du plus haut niveau, à savoir le conseil d’administration, comme nous l’avons appris lorsque le Nasdaq et Tanium se sont associés pour étudier la manière dont les dirigeants d’entreprise évaluent leurs propres vulnérabilités en matière de cybersécurité. Dans la nouvelle étude intitulée « The Accountability Gap: Cybersecurity & Building a Culture of Responsibility » (Le déficit de responsabilité : cybersécurité et instauration d’une culture de la responsabilité), des chercheurs de Goldsmiths, Université de Londres, ont mis en évidence un écart préoccupant entre la préparation supposée et réelle des entreprises face aux incidents liés à la sécurité des données, ainsi qu’un manque généralisé de responsabilité au sein des instances dirigeantes des organisations. Cela signifie que certains des plus grands réseaux au monde, qui détiennent certaines de nos données les plus précieuses, sont plus vulnérables que ne le pensent leurs dirigeants.
Cette étude a porté sur 1 530 administrateurs non exécutifs (NED), cadres supérieurs, directeurs des systèmes d'information (DSI) et responsables de la sécurité des systèmes d'information (RSSI) aux États-Unis, au Royaume-Uni, en Allemagne, au Japon, au Danemark, en Norvège, en Suède et en Finlande. Ils ont découvert que, parmi les entreprises les plus vulnérables, 98 % des dirigeants ne sont pas convaincus que leur organisation soit en mesure de surveiller tous les appareils et tous les utilisateurs à tout moment, ce qui signifie que des informations circulent par des voies inconnues.
Par ailleurs, 90 % des personnes interrogées pourraient être classées dans la catégorie des risques moyens à élevés en matière d'incident de cybersécurité, et 40 % d'entre elles ont admis ne pas se sentir responsables des répercussions d'une cyberattaque. Tant que la sensibilisation à la cybersécurité et l’état de préparation en la matière ne seront pas compris et communiqués ouvertement tant par les membres du conseil d’administration que par les cadres supérieurs – et que tous les collaborateurs n’auront pas été sensibilisés à leur responsabilité individuelle –, combler l’écart entre votre niveau de vulnérabilité réel et celui que vous imaginez restera un objectif hors de portée.
La sécurité de l'information est en passe de devenir le premier poste de dépenses informatiques des entreprises du classement Global 2000 . Selon PwC, les dépenses consacrées à la sécurité de l'information ont enregistré une hausse moyenne de 24 %, passant de 2014 à 2015. Malheureusement, le secteur de la sécurité n'a pas su évoluer au même rythme que les cyberpirates, et la plupart des entreprises utilisent des technologies qui n'ont pas été mises à jour depuis des décennies pour protéger leurs données les plus sensibles.
Cette même étude a révélé que les incidents liés à des fuites de données ont dépassé les dépenses, avec une augmentation de 38 % à l'échelle mondiale l'année dernière. Pourquoi ? Car nous avons constaté que la cybersécurité n'est pas simplement un problème technologique. Même si le fait de disposer des outils adaptés et d'adopter de bonnes pratiques de cybersécurité est d'une importance capitale pour garantir un niveau de sécurité adéquat, cela ne représente qu'une partie de l'équation. Si les personnes chargées d'assurer la protection des données d'une organisation ne se sentent pas responsables – ou ne savent tout simplement pas comment s'y prendre –, l'entreprise reste exposée à un risque considérable.
Mais il y a des raisons d'être optimiste. Non seulement les nouvelles technologies apportent une réponse aux problèmes de latence et d'évolutivité des outils de sécurité traditionnels, mais ce rapport identifie également plusieurs mesures que toutes les organisations peuvent envisager pour instaurer un dialogue constructif – du conseil d'administration à la direction générale, en passant par l'ensemble du personnel – afin de réduire les vulnérabilités et, à terme, de combler le déficit de responsabilité. En voici deux à prendre en considération :
Instaurer une culture d'ouverture : former et responsabiliser le conseil d'administration
La plupart des membres des conseils d'administration ne sont pas des spécialistes des technologies, et ils sont encore moins nombreux à posséder une expertise en cybersécurité. 91 % des membres des conseils d'administration des entreprises interrogées les plus vulnérables ne sont pas en mesure d'interpréter un rapport sur la cybersécurité. Mais les membres du conseil d'administration doivent savoir quelles questions poser pour évaluer la vulnérabilité d'une entreprise, tout comme ils posent des questions concernant les enjeux financiers. Dans de nombreux cas, certains membres du conseil d'administration chargés de la cybersécurité devraient bénéficier d'une formation approfondie afin de pouvoir maîtriser le vocabulaire et comprendre l'impact des données qui leur sont présentées. Le conseil d'administration du Nasdaq compte plusieurs membres qui possèdent une connaissance approfondie de ce que recouvre la notion de sécurité dans le cadre de la gestion d'une entreprise technologique, ainsi que de l'impact que des incidents de sécurité pourraient avoir sur les marchés financiers._._
Il est important de favoriser un climat de communication transparente dans lequel la cybersécurité puisse être abordée ouvertement. Collaborez avec les pouvoirs publics, les organisations non gouvernementales et vos pairs afin de cerner les dernières menaces en matière de sécurité et de déterminer comment travailler ensemble pour y remédier. Cette étude montre que nous devons évoluer vers une culture d'ouverture : une culture qui vise la transparence et une visibilité maximale. Reconnaissez que le piratage informatique est inévitable, mais que les failles de sécurité, elles, ne le sont pas. Des plans d'intervention solides, une formation des collaborateurs adaptée à chaque niveau de l'entreprise, ainsi que le développement des connaissances et le partage d'informations constituent des éléments essentiels au renforcement de la cybersécurité. Plus précisément, les entreprises devraient s'attacher à améliorer la circulation de l'information au sein de l'organisation (y compris au sein du conseil d'administration) et à partager ces informations à l'extérieur également. Cela implique de s'impliquer activement au sein de nombreux consortiums sectoriels, car ils mènent tous le même combat.
Instaurer une culture de vigilance : reconnaître que la cybersécurité constitue une menace fondamentale pour l'entreprise
Si la sensibilisation à grande échelle aux conséquences néfastes des failles de cybersécurité constitue la première étape, alors un examen objectif des technologies que vous utilisez pour assurer votre sécurité et gérer votre entreprise constitue la deuxième étape. Les stratégies de sécurité axées sur la prévention ont échoué aux yeux du grand public. Les personnes, les processus et la technologie constituent les piliers d'une culture de vigilance et, lorsqu'ils sont abordés de manière globale, ils sont essentiels pour garder une longueur d'avance sur les attaquants. En réalité, la plupart des outils de sécurité modernes ne sont que des versions simplifiées de ce qu'ils étaient il y a deux ou trois décennies. Ils ne sont pas en mesure de répondre à des questions élémentaires telles que : « Combien y a-t-il d'appareils sur mon réseau ? » ou « quelles applications sont à l'origine du plus grand nombre de vulnérabilités ? » Cela peut paraître simpliste à première vue, mais une organisation ne peut pas protéger ce qu’elle ne voit pas.
Kris McConkey, responsable chez PwC des activités liées au renseignement, à la détection et à la réponse aux incidents liés à la cybersécurité et aux menaces internes, nous a déclaré : « L’une des failles du secteur de la sécurité, ou plutôt du monde des affaires dans son ensemble, réside dans le fait que nous reprenons en réalité tous les mêmes processus métier que nous utilisons depuis 20-30 ans, et que nous essayons d’y ajouter de plus en plus de couches technologiques pour colmater toutes les failles. »
Nous vivons une époque passionnante, où nous utilisons des appareils connectés à Internet pour entrer directement en contact avec les entreprises, les pouvoirs publics, nos semblables et le monde qui nous entoure. De ce fait, nous sommes en mesure de résoudre les problèmes plus rapidement et de mener une vie plus longue et plus heureuse. Les cyberattaques constituent une menace existentielle pour ce mode de vie et nous devons veiller à ce que les personnes, les processus et les technologies appropriés soient en place pour protéger nos données les plus sensibles. Le moment est venu pour les dirigeants de toutes les organisations d'assumer leurs responsabilités personnelles et de jouer un rôle plus actif.
Orion Hindawi, cofondateur et PDG de Tanium
Lou Modano, vice-président senior, responsable de la sécurité des systèmes d'information (RSSI) et directeur mondial des services d'infrastructure, Nasdaq
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
