« Vous n’avez pas besoin d’être l’une des victimes récentes et de haut niveau d’une cyberattaque pour vous rendre compte que la cyberattaque est un danger clair et présent. »
Il a donc commencé Will Brandon, directeur de la sécurité de l’information de la Banque d’Angleterre, lors de la récente conférence de la Semaine de la ville. Brandon, l’homme accusé d’avoir conseillé le secteur financier britannique sur la cybercriminalité, ne pouvait pas être plus correct. Bien que les entreprises soient plus conscientes que jamais des cyberattaques graves, elles ne font pas assez pour se protéger et protéger leurs clients.
La sécurité de l’organisation ne peut pas être la seule responsabilité de l’informatique
Il n’y a pas d’excuses pour ce manque de leadership. La sécurité des systèmes et des données d’une entreprise ne peut pas être la seule responsabilité de son personnel technique. Même si les cybermenaces sont, comme le suggère Brandon, « peu claires » et les « auteurs notablement absents », les devoirs fiduciaires des membres du conseil d’administration doivent inclure la connaissance de toutes les menaces possibles.
Pourtant, de nombreux conseils d’administration sont toujours confrontés à la compréhension du cyber-risque et à la détermination de leur appétit pour ce risque. Notre propre étude, menée en partenariat avec le NASDAQ et Goldsmiths, Université de Londres, a montré que seuls 10 % des directeurs non exécutifs d’entreprises hautement vulnérables conviennent qu’ils sont régulièrement informés des types de menaces à la cybersécurité qui sont pertinentes pour leur activité. Au Royaume-Uni, seuls 29 % des cadres dirigeants les plus vulnérables ont fait l’objet d’évaluations des risques liés à la cybersécurité : à l’échelle mondiale, cela chute à 13 %.
Nous avons vu un certain nombre de piratages de grande envergure dominer les gros titres cette année, et il ne s’agit pas seulement des entreprises affectées. Les nations en souffrent également, y compris la violation du réseau électrique ukrainien et la perte par les Philippines de grandes quantités de ses registres de vote électoral plus tôt dans l’année. Mais pour les entreprises, il est facile d’imaginer la quantité de dommages réputationnels et financiers qui auraient pu être sauvés si les dirigeants de l’organisation avaient été plus conscients des menaces ou disposaient de données claires et cohérentes pour mesurer leur appétit contre ces risques. Des baisses des bénéfices avant impôts, des frais exceptionnels exponentiels, une gêne publique et de nombreux clients mécontents, tout cela aurait pu être évité.
Équilibrer les cyber-risques avec d’autres risques
« Alors, comment équilibrez-vous le cyber-risque avec d’autres risques ? » Brandon a demandé. « Je suppose que la première chose est de la quantifier, au moins dans la mesure du possible. Cela peut impliquer des évaluations ou des tests, mais cela commence probablement par déterminer qui pourrait faire quoi à quelle partie de votre patrimoine. Ou pour le dire autrement, décomposer le risque en menaces, vulnérabilités et actifs. »
Joan Conley, vice-présidente principale et secrétaire générale, Nasdaq, conseille les entreprises qui « pour déterminer l’appétit pour le risque, le conseil d’administration doit définir ses objectifs commerciaux et comprendre tous les risques, y compris juridiques, opérationnels, concurrentiels et réputationnels, qui pourraient avoir un impact sur ces objectifs. Ce n’est qu’alors que le conseil d’administration peut exprimer les niveaux de risque qui sont souhaitables. Ils doivent ensuite continuer à comprendre la probabilité et l’impact des risques clés dans l’ensemble de l’entreprise, et surveiller que le dirigeant continue à fonctionner dans le cadre de l’appétence au risque établie. »
Élaboration d’un plan de réponse aux incidents
Quelle que soit l’appétence au risque, chaque organisation peut minimiser les risques en suivant les pratiques de base d’hygiène de sécurité et en ayant un plan de réponse aux incidents testé en place. Les conseils d’administration doivent également poser des questions pour s’assurer que la direction prend en compte la cybersécurité dans le cadre de l’ensemble des opérations commerciales :
- Quel est le niveau de cyber-risque de l’entreprise, et quelles sources et quels types de données sensibles éclairent cette évaluation ?
- L’entreprise a-t-elle créé une évaluation de référence des cyber-risques, et existe-t-il un processus continu pour cartographier l’amélioration au fil du temps ?
- Existe-t-il un plan d’intervention en cas de cyber-attaque ou un plan de gestion de crise ?
- Quelles informations seront partagées avec le conseil d’administration concernant le cyber-risque ? Existe-t-il un processus régulier pour examiner le statut avec le DSI au niveau du comité du conseil d’administration ?
- Devons-nous nommer un directeur principal au sein du Comité d’audit, élargir officiellement la charte du Comité d’audit pour inclure le cyber-risque, ou notre cyber-risque est-il jugé suffisamment élevé pour créer un Comité des cyber-risques distinct et permanent ?
- Quel est le coût de la gestion des cyber-risques par rapport au coût d’une violation de données : avons-nous examiné les violations dans notre secteur pour comprendre ce que sont tous les coûts d’une violation ?
- L’entreprise doit-elle envisager une police d’assurance de cybersécurité ou d’autres nouvelles classes de technologies de sécurité pour atténuer les risques et les coûts ?
Une fois que vous avez défini un ensemble commun de mesures, les responsables informatiques et de la sécurité peuvent déterminer conjointement l’appétit pour le risque de l’entreprise, ainsi que les pairs de direction et les membres de la gouvernance.
La cybercriminalité est un risque grave et compliqué. Si la direction d’une entreprise prend le temps de prendre conscience des défis uniques auxquels son organisation est confrontée, ce risque peut être atténué. Comme le dit Brandon, « les gens doivent être dirigés. Les processus doivent être gérés... la cyber est, dans une large mesure, un problème de leadership et de gestion. Un leadership qui doit être appliqué de haut en bas, et pas seulement du service informatique. »
Richard Olver, vice-président, EMEA, Tanium.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
