« Il n’est pas nécessaire de faire partie des entreprises récemment victimes d’une cyberattaque très médiatisée pour se rendre compte que la cybersécurité représente un danger réel et immédiat. »
C'est ainsi que Will Brandon, responsable de la sécurité de l'information à la Banque d'Angleterre, a commencé son discours intitulé « » () (s'ouvre dans un nouvel onglet) , prononcé lors de la récente conférence « City Week » organisée par (s'ouvre dans un nouvel onglet). Brandon, chargé de conseiller le secteur financier britannique en matière de cybercriminalité, a tout à fait raison. Bien que les entreprises soient plus conscientes que jamais de la grave menace que représentent les cyberattaques, elles ne prennent pas suffisamment de mesures pour se protéger et protéger leurs clients.
La sécurité de l'organisation ne peut pas relever de la seule responsabilité du service informatique
Rien ne saurait justifier ce manque de leadership. La sécurité des systèmes et des données d'une entreprise ne peut pas relever de la seule responsabilité de son personnel technique. Même si les cybermenaces sont, comme le suggère Brandon, « floues » et que les « auteurs brillent par leur absence », les obligations fiduciaires des membres du conseil d'administration doivent inclure la prise de conscience de toutes les menaces possibles.
Pourtant, de nombreux conseils d'administration ont encore du mal à cerner les risques liés à la cybersécurité et, en fin de compte, à déterminer leur tolérance à l'égard de ces risques. Notre propre étude « », menée en partenariat avec le NASDAQ et Goldsmiths, Université de Londres, a montré que seuls 10 % des administrateurs non exécutifs d’entreprises particulièrement vulnérables reconnaissent être régulièrement informés des types de menaces de cybersécurité qui concernent leur entreprise. Au Royaume-Uni, seuls 29 % des dirigeants les plus vulnérables ont fait l'objet d'évaluations des risques liés à la cybersécurité ; à l'échelle mondiale, ce chiffre tombe à 13 %.
Nous avons vu cette année plusieurs piratages très médiatisés faire la une de l'actualité, et les entreprises ne sont pas les seules à en faire les frais. Les pays en font également les frais : citons notamment la violation du réseau électrique ukrainien et la perte, par les Philippines, d'une grande partie de leurs registres électoraux au début de l'année. Mais pour les entreprises, on imagine aisément l’ampleur des préjudices, tant en termes de réputation que sur le plan financier, qui auraient pu être évités si les dirigeants de l’organisation avaient été davantage conscients des menaces ou s’ils avaient disposé de données claires et cohérentes leur permettant d’évaluer leur appétit pour ces risques. Une baisse des bénéfices avant impôts, une explosion des charges exceptionnelles, un scandale public et de nombreux clients mécontents : tout cela aurait pu être évité.
Mise en balance des risques cybernétiques et des autres risques
« Comment parvenez-vous donc à mettre en balance les risques liés à la cybersécurité et les autres risques ? » demanda Brandon. « Je suppose que la première chose à faire est de le quantifier, du moins dans la mesure du possible. » Cela peut impliquer des évaluations ou des vérifications, mais il s'agit sans doute avant tout de déterminer qui pourrait intervenir sur quelle partie de votre patrimoine. Ou, pour le dire autrement, décomposer le risque en menaces, vulnérabilités et actifs. »
Joan Conley, vice-présidente senior et secrétaire générale du Nasdaq, , conseille aux entreprises que « pour déterminer l’appétit pour le risque, le conseil d’administration doit définir ses objectifs commerciaux et comprendre l’ensemble des risques, notamment juridiques, opérationnels, concurrentiels et de réputation, susceptibles d’avoir une incidence sur ces objectifs. » Ce n'est qu'alors que le conseil d'administration pourra définir les niveaux de risque souhaitables. Ils doivent ensuite continuer à évaluer la probabilité et l’impact des principaux risques à l’échelle de l’ensemble de l’entreprise – et veiller à ce que la direction continue d’agir dans les limites de l’appétit pour le risque défini. »
Élaboration d'un plan d'intervention en cas d'incident
Quelle que soit sa propension au risque, toute organisation peut minimiser les risques en respectant les règles élémentaires d'hygiène de sécurité et en mettant en place un plan d'intervention en cas d'incident qui a fait ses preuves. Les conseils d'administration doivent également poser des questions afin de s'assurer que la direction prend en compte la cybersécurité dans le cadre de l'ensemble des activités de l'entreprise :
- Quel est le niveau de risque cybernétique de l'entreprise, et quelles sont les sources et les types de données sensibles qui permettent d'établir cette évaluation ?
- L'entreprise a-t-elle réalisé une évaluation de référence des risques cybernétiques, et existe-t-il un processus continu permettant de suivre les progrès réalisés au fil du temps ?
- Existe-t-il un plan d'intervention en cas de cyberattaque ou un plan de gestion de crise ?
- Quelles informations seront communiquées au conseil d'administration concernant les risques cybernétiques ? Existe-t-il un processus régulier permettant de faire le point avec le directeur des systèmes d'information au sein d'une commission du conseil d'administration ?
- Devrions-nous nommer un administrateur principal au sein du comité d'audit, élargir officiellement le mandat de ce dernier pour y inclure le risque cyber, ou bien notre risque cyber est-il jugé suffisamment élevé pour justifier la création d'un comité permanent dédié au risque cyber ?
- Quel est le coût de la gestion des risques cybernétiques par rapport à celui d'une violation de données ? Avons-nous analysé les violations survenues dans notre secteur afin de comprendre quel est le coût global d'une telle violation ?
- L'entreprise devrait-elle envisager de souscrire une police d'assurance en matière de cybersécurité ou d'adopter d'autres nouvelles technologies de sécurité afin de réduire les risques et les coûts ?
Une fois qu'un ensemble commun d'indicateurs aura été défini, les responsables informatiques et de la sécurité pourront déterminer conjointement l'appétit pour le risque de l'entreprise, en collaboration avec leurs homologues de la direction et les membres des instances de gouvernance.
La cybercriminalité constitue un risque grave et complexe. Si les dirigeants d'une entreprise prennent le temps de prendre conscience des défis spécifiques auxquels leur organisation est confrontée, ce risque peut être atténué. Comme l’a dit Will Brandon : « Les gens ont besoin d’être guidés. » Les processus doivent être gérés… La cybersécurité relève, dans une large mesure, du leadership et de la gestion. « Un leadership qui doit émaner de la direction – et pas seulement du service informatique. »
Richard Olver, vice-président pour la région EMEA chez Tanium.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
