Les entreprises sont confrontées à une multitude de menaces existentielles : prises de contrôle hostiles, départs de talents, comportement imprévisible des clients et fluctuations du marché, tous des risques profondément familiers que les dirigeants ont soigneusement planifiés et évalués au fil des décennies. Pourtant, ces mêmes dirigeants ne sont souvent pas préparés de manière alarmante à la menace la plus potentiellement préjudiciable : une fuite de données massive qui pourrait signifier la perte de tout... le tout en quelques secondes.
Les problèmes ne commencent pas par les « technologies » d’une entreprise, mais plutôt au sommet du conseil d’administration, comme nous l’avons appris lorsque Nasdaq et Tanium se sont associés pour étudier comment les chefs d’entreprise évaluent leur propre vulnérabilité en matière de cybersécurité. Dans la nouvelle étude, « The Accountability Gap : Cybersecurity & Building a Culture of Responsibility », les chercheurs de Goldsmiths, Université de Londres, ont trouvé un écart inquiétant entre la préparation présumée et réelle de l’entreprise aux incidents de sécurité des données et un manque généralisé de responsabilité aux niveaux supérieurs des organisations. Cela signifie que certains des plus grands réseaux au monde, détenant certaines de nos données les plus précieuses, sont plus vulnérables que leurs dirigeants ne le pensent.
L’étude a interrogé 1 530 directeurs non exécutifs (NED), cadres supérieurs, directeurs de l’information (CIO) et directeurs de la sécurité de l’information (CISO) aux États-Unis, au Royaume-Uni, en Allemagne, au Japon, au Danemark, en Norvège, en Suède et en Finlande. Ils ont découvert que, parmi les entreprises les plus vulnérables, 98 % de ces chefs d’entreprise ne sont pas sûrs que leur organisation puisse surveiller tous les appareils et utilisateurs à tout moment, ce qui signifie que les informations voyagent à travers des endroits inconnus.
En outre, 90 % des répondants pouvaient être classés comme présentant un risque moyen à élevé d’incident de cybersécurité, et 40 % des répondants ont admis qu’ils ne se sentaient pas responsables des répercussions d’une cyberattaque. Jusqu’à ce que la sensibilisation et la préparation à la cybersécurité soient comprises et communiquées ouvertement à la fois par les membres du conseil d’administration et les cadres supérieurs, et que tous les employés soient formés sur leur responsabilité personnelle, comblant ainsi l’écart entre votre degré de vulnérabilité et votre degré de vulnérabilité est un pont trop lointain.
La sécurité de l’information devient rapidement le domaine numéro un des dépenses informatiques pour les entreprises du Global 2000 . Selon PwC, la sécurité de l’information a connu une augmentation moyenne de 24 % des dépenses de 2014 à 2015. Malheureusement, le secteur de la sécurité n’a pas évolué au rythme des cyberpirates et la plupart des entreprises utilisent une technologie qui n’a pas été mise à jour depuis des décennies pour protéger leurs données les plus sensibles.
La même étude a révélé que les incidents de violation de données ont dépassé les dépenses, augmentant de 38 % dans le monde l’année dernière. Pourquoi ? Parce que nous avons vu que la cybersécurité n’est pas simplement un problème technologique. Bien que disposer des bons outils et des bonnes pratiques en matière de cyberhygiène soit d’une importance capitale pour garantir la bonne posture de sécurité, cela ne fait qu’une partie de l’équation. Si les personnes responsables de la protection des données d’une organisation ne se sentent pas responsables, ou ne savent tout simplement pas comment l’être, une entreprise reste exposée à de grands risques.
Mais il y a une cause d’optimisme. Non seulement les nouvelles technologies répondent aux problèmes de latence et d’échelle des outils de sécurité existants, mais ce rapport identifie plusieurs actions que toutes les organisations peuvent envisager pour ouvrir un dialogue significatif, du conseil d’administration à la direction en passant par le personnel, afin de réduire la vulnérabilité et, au final, de combler l’écart de responsabilité. Voici deux éléments à prendre en compte :
Créer une culture d’ouverture : éduquer et responsabiliser le conseil d’administration
La plupart des membres du conseil ne sont pas des technologues, et encore moins ont un contexte cybernétique. 91 % des membres du conseil des entreprises les plus vulnérables ne sont pas en mesure d’interpréter un rapport de cybersécurité. Mais les membres du conseil d’administration doivent savoir quelles questions poser afin d’évaluer la vulnérabilité d’une entreprise, de la même manière qu’ils posent des questions concernant les préoccupations financières. Dans de nombreux cas, certains membres du conseil d’administration responsables de la cybersécurité doivent recevoir une formation étendue afin qu’ils puissent être à l’aise avec la langue et l’impact des données qui leur sont présentées. Le conseil d’administration du Nasdaq compte plusieurs membres du conseil d’administration ayant une connaissance approfondie de ce que la sécurité signifie dans le contexte de la gestion d’une organisation technologique et de la manière dont les incidents de sécurité pourraient affecter les marchés financiers_._
Il est important de favoriser un environnement de communication transparente dans lequel la cybersécurité peut être abordée ouvertement. Travaillez en collaboration avec les gouvernements, les organisations non gouvernementales et les pairs pour comprendre les dernières menaces de sécurité et les moyens de travailler ensemble pour éteindre les incendies. Les recherches montrent que nous devons passer à une culture d’ouverture : une culture qui vise la transparence et la visibilité maximale. Admettez que le piratage informatique est inévitable, mais que les violations ne le sont pas. Des plans de réponse solides, une formation des employés ciblée à chaque niveau de l’entreprise, la culture des connaissances et le partage des informations sont des éléments essentiels pour renforcer la cybersécurité. Plus précisément, les entreprises doivent se concentrer sur l’amélioration des flux d’informations dans l’ensemble de l’organisation (y compris le conseil d’administration) et le partage d’informations en externe également. Cela signifie être actif avec de nombreux consortiums industriels, car ils luttent tous contre le même combat.
Créer une culture de vigilance : reconnaître que la cybersécurité est une menace fondamentale pour l’entreprise
Si l’éducation généralisée sur l’impact préjudiciable de la cybersécurité est la première étape, un examen honnête de la technologie que vous utilisez pour assurer la sécurité et la gestion de l’entreprise est la deuxième étape. Les stratégies de sécurité basées sur la prévention ont échoué à un niveau très public. Les personnes, les processus et la technologie sont les piliers d’une culture de vigilance et, lorsqu’ils sont abordés de manière holistique, les clés pour garder une longueur d’avance sur les attaquants. La réalité est que la plupart des outils de sécurité modernes ne sont que des versions abstraites d’eux-mêmes des deux à trois dernières décennies. Ils n’ont pas la capacité de répondre à des questions de base telles que : « Combien d’appareils se trouvent sur mon réseau ? » ou « quelles applications causent le plus de vulnérabilités ? » Cela peut sembler simpliste à la base, mais une organisation ne peut pas protéger ce qu’elle ne peut pas voir.
Kris McConkey, chef de file de PwC en matière de cyberveille et d’informations internes sur les menaces, de détection et de réponse aux incidents, nous a commenté : « L’une des défaillances du secteur de la sécurité ou plutôt du secteur dans son ensemble, est que nous prenons efficacement tous les mêmes processus commerciaux que ceux que nous utilisons depuis 20-30 ans, et essayons d’ajouter de plus en plus de couches de technologie en plus pour combler tous les trous. »
Nous vivons une période passionnante, où nous utilisons des appareils alimentés par Internet pour nous connecter directement aux entreprises, aux gouvernements, aux autres et au monde qui nous entoure. Par conséquent, nous sommes en mesure de résoudre les problèmes plus rapidement et de vivre plus longtemps, avec des vies plus heureuses. Les cyberattaques représentent une menace existentielle pour ce mode de vie et nous devons nous assurer que les bonnes personnes, les bons processus et la bonne technologie sont en place pour protéger nos données les plus sensibles. C’est le moment où les dirigeants de toutes les organisations assument leurs responsabilités personnelles et jouent un rôle plus actif.
Orion Hindawi, cofondateur et PDG de Tanium
Lou Modano, vice-président senior, RSSI et directeur mondial des services d’infrastructure, Nasdaq
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
