Lorsque les autorités chargées de la sécurité publique à Shenzhen ont identifié 19 failles de cybersécurité au sein des activités de Walmart en Chine, elles ont émis un avertissement officiel, affirmant que le plus grand détaillant au monde avait enfreint la législation chinoise en matière de cybersécurité. Les autorités chinoises n'ont infligé aucune amende, mais elles ont ordonné à Walmart de combler ces lacunes. Cette décision constituait un avertissement, et pas seulement à l'intention de Walmart.
Les multinationales implantées dans la deuxième économie mondiale sont désormais en état d'alerte maximale, car elles font l'objet d'une surveillance accrue quant au respect des nouvelles lois en matière de cybersécurité et de protection de la vie privée.
De nouvelles réglementations en matière de protection des données sont entrées en vigueur à l'automne 2021, mais Pékin n'a pas encore communiqué de nombreux détails à ce sujet, selon les observateurs. La loi controversée sur la sécurité des données (DSL) et la loi sur la protection des informations personnelles (PIPL) définissent des méthodologies et des règles générales en matière de gestion et de protection des données à l'intention des organismes publics, des entreprises et des organisations — en limitant notamment les transferts de données hors de Chine. La dernière fois qu'une initiative similaire a été mise en place, c'était en 2017 avec la loi sur la cybersécurité de la République populaire de Chine ( ), qui imposait le stockage local des données en Chine et instaurait des contrôles de sécurité pour les entreprises. Cela a entraîné une grande confusion en raison de son ambiguïté.
Pour les multinationales, la question ne se résume pas simplement à ce qui leur arrive en Chine. Le fait est que la gestion simultanée de réglementations mondiales disparates en matière de conformité et d'intégrité des données est devenue de plus en plus complexe
et coûteuse.
« Mettre au point un programme conforme aux normes internationales relève véritablement du casse-tête », déclare Kenneth Citarella, directeur général senior chargé des enquêtes chez Guidepost Solutions, une société proposant des solutions de conformité ainsi que des services de conseil en sécurité et en technologie. Depuis que l'Union européenne a adopté son règlement phare sur la protection des données (RGPD) en 2016, des lois strictes en matière de protection des données ont également vu le jour aux États-Unis, en Russie et en Chine.
«C’est un véritable casse-tête que de mettre au point un programme qui soit conforme aux normes internationales. »Kenneth Citarella, directeur général senior chargé des enquêtes chez Guidepost Solutions
La « prolifération des réglementations » en matière de protection des données alourdit le coût des activités internationales et met en évidence la nécessité de disposer d’une vue d’ensemble solide et en temps réel de l’ensemble des risques d’une entreprise afin de gérer efficacement la conformité aux dernières normes internationales.
« Si vous considérez la conformité sous l’angle que les professionnels de la sécurité commencent à adopter, elle constitue une menace », déclare J.R. Cunningham, directeur de la sécurité chez Nuspire, un prestataire de services de sécurité basé aux États-Unis et spécialisé dans les multinationales. « Si vous ne respectez pas la réglementation, cela constitue une menace pour votre marque. » « Cela présente un risque de perte de recettes et une responsabilité financière. »
L'ampleur de la mise en conformité à l'échelle mondiale
Ces dernières années, des géants de la haute technologie tels que Facebook, Google et
Apple ont fait l'objet d'une surveillance étroite et se sont vu infliger des amendes par les autorités de régulation européennes en raison de la manière dont ils traitent les données personnelles. Récemment, l'autorité autrichienne chargée de la protection des données a accusé Google Analytics d'avoir enfreint le RGPD en transférant, selon certaines informations, des données de sites web vers les États-Unis sans garanties adéquates.
«Si vous ne respectez pas la réglementation, cela constitue une menace pour votre marque. » Cela présente un risque de perte de recettes et une responsabilité financière. »J.R. Cunningham, directeur de la sécurité (CSO), Nuspire
Bien sûr, la pression liée au respect des réglementations en matière de protection de la vie privée et de cybersécurité ne touche pas uniquement les grandes entreprises occidentales. Toutes les entreprises du monde entier doivent se conformer au RGPD si elles exercent leurs activités en Europe. Elles doivent également se conformer à d'autres réglementations, telles que la loi californienne sur la protection de la vie privée des consommateurs (CCPA), qui impose des restrictions en matière de traitement des données à toutes les entreprises opérant dans un État où sont implantés les sièges sociaux de nombreuses grandes entreprises technologiques mondiales.
Il est impossible de savoir si l'attention que porte la Chine aux multinationales telles que Walmart s'inscrit en partie dans le cadre d'une riposte aux enquêtes menées par le gouvernement américain sur TikTok, cette entreprise chinoise de réseaux sociaux en pleine expansion qui compte plus d'un milliard d'utilisateurs à travers le monde.
À ce jour, on ignore encore si les multinationales implantées en Chine feront l'objet de sanctions en cas d'attaques « zero-day » réussies découlant du piratage de l' Log4j, ou des nombreuses attaques par ransomware qui ont perturbé les activités d'entreprises à travers le monde. « Ces réglementations n’ont pas encore été précisées en détail — tout le monde attend que le couperet tombe », déclare M. Citarella, de Guidepost.
L'organisme de M. Citarella mène des enquêtes sur les opérations de marché et les transactions pour le compte de clients bancaires internationaux, par exemple, et les juridictions jouent un rôle important dans la détermination des données que son cabinet peut collecter et des entités avec lesquelles il peut les partager. Il explique que le processus de mise en conformité commence par déterminer ce qu’une entreprise fait de ses données et si celles-ci font l’objet de transferts transfrontaliers. « Il faut entrer dans les moindres détails », dit-il.
Il n'existe pas de logiciel prêt à l'emploi permettant d'automatiser ce type de décisions, mais les entreprises peuvent prendre certaines mesures pour surveiller les risques en temps réel et garantir ainsi leur conformité. Citarella recommande les stratégies suivantes :
- Assurez-vous de bien comprendre les normes de sécurité depuis le point d'origine jusqu'à la fin de la chaîne logistique des données, en particulier si vous transférez des données vers une autre entreprise.
- Identifiez vos utilisateurs autorisés et contrôlez-les.
- Limitez l'accès aux seules données dont un utilisateur a besoin.
La mise en conformité en temps réel en matière de risques repose sur des éléments supplémentaires liés à la sécurité des données, notamment l’ des terminaux en temps réel , l’évaluation des risques, l’analyse à distance et authentifiée des périphériques réseau, une approche segmentée de l’analyse comparative des risques au sein d’une entreprise, des contrôles d’accès robustes basés sur les rôles, ainsi que l’application automatisée des correctifs .
[À lire également : Qu'est-ce que la gestion des vulnérabilités ?]
« Les défis et les problèmes liés à la conformité augmentent proportionnellement à la taille de l’entreprise », explique M. Cunningham, de Nuspire. « Plus l'utilisation que vous faites des données à caractère personnel est complexe, plus vous mobilisez de ressources pour vous conformer à la législation en matière de protection de la vie privée. »
Il n'y a pas de vie privée sans cybersécurité
La tendance mondiale est claire : les gouvernements ne laissent plus la protection de la vie privée et la cybersécurité strictement entre les mains des entreprises. Les enjeux sont trop importants. À la suite de l'attaque du 2021 Colonial Pipeline, l'Administration américaine de la sécurité des transports (TSA) a publié de nouvelles normes régissant la cybersécurité et les audits des pipelines. La mise en conformité n'est plus facultative, et les entreprises s'exposent à des sanctions si elles ne respectent pas la nouvelle réglementation.
«[Nous] devons prendre au sérieux la protection des données. » Nous ne pouvons pas y échapper. »Charles Denyer, ancien consultant en cybersécurité auprès du ministère américain de la Défense et expert en sécurité nationale
Au-delà des amendes, une mauvaise gestion des données des consommateurs et des clients, par exemple, peut compromettre l'assurance cybersécurité d'une entreprise, explique M. Cunningham. « Le secteur de l’assurance commence à s’y intéresser et à poser des questions très précises aux entreprises avant d’accepter de souscrire des polices d’assurance cyber « » », explique-t-il. De plus, les assureurs souhaitent s'assurer que « des mesures de cybersécurité et de protection de la vie privée sont en place avant de souscrire une police d'assurance ».
Après tout, comme le souligne Cunningham, « il n'y a pas de vie privée sans cybersécurité ». Cette relation symbiotique a permis une « amélioration nette du niveau de sécurité des organisations détenant des données à caractère personnel devant être protégées ». « Mais, encore une fois, cela a bien sûr un coût. »
Les frais juridiques représentent un poste de dépenses important.
« Les organisations qui doivent se conformer à ces lois strictes en matière de protection des données doivent supporter des frais juridiques supplémentaires », explique Charles Denyer, ancien consultant en cybersécurité au ministère de la Défense et expert en sécurité nationale basé à Austin, au Texas. « La complexité réside dans la compréhension de la réglementation et des coûts associés, qu’il s’agisse de coûts ponctuels ou récurrents. »
[À lire également : 6 priorités en matière de cybersécurité pour 2022]
En fin de compte, comme le souligne M. Denyer, les organisations « doivent prendre au sérieux la protection des données dans le monde d'aujourd'hui ». Un programme de protection des données doit définir la manière dont une entreprise utilise, stocke, partage et élimine les données provenant tant de l'intérieur que de l'extérieur de ses locaux. Selon lui, la surveillance ne fera que s'intensifier. « Nous n'allons pas pouvoir y échapper. »
