Kevin Kelly aurait souhaité qu’il ait pu empêcher son client de câbler un pirate informatique de 10 millions USD.
Son client est une société d’articles de sport d’un milliard de dollars. Le pirate informatique a trouvé le nom du PDG de l’entreprise sur LinkedIn et créé un faux compte de messagerie au nom du PDG. Le fraudeur a ensuite rédigé une fausse facture du fournisseur sud-est asiatique de basket-balls, crosses et autres marchandises de la société (complète avec un en-tête d’imitation) et l’a envoyée du faux compte du PDG au directeur financier de la société, avec une commande de virement de 10 millions USD à l’étranger.
Malheureusement, l’escroquerie a été repérée trop tard. Et c’est une question qui est devenue très courante et lucrative dans le réseau actuel de chaînes d’approvisionnement mondiales. « Les conseils d’administration et les dirigeants sont de plus en plus les cibles et les victimes de ces violations », déclare Kelly, PDG de Halo Privacy, qui offre des solutions de confidentialité des données aux conseils d’administration, aux dirigeants, aux bureaux familiaux et aux riches.
Personne ne connaît l’impact financier total de ces escroqueries par facture falsifiée et d’autres escroqueries similaires. C’est parce que les entreprises ne veulent souvent pas révéler les détails parfois embarrassants.
Cela pourrait changer. En vertu des règles SEC nouvellement proposées, les cadres supérieurs des entreprises publiques, et leurs conseils d’administration, devraient rapidement divulguer les incidents de cybersécurité. Les règles proposées par la SEC sont le résultat d’une vague de cyberattaques qui ont fermé des entreprises publiques, des organisations privées et des gouvernements. « Du point de vue de la volonté d’améliorer la cybersécurité du pays, il s’agit d’une mesure en retard », déclare Megan Stifel, directrice de la stratégie à l’Institute for Security and Technology.
La SEC a noté que l’une des principales raisons du changement de règles est que les cyber-incidents sont signalés dans les médias plutôt que dans les dépôts de l’entreprise. En outre, l’agence a constaté que lorsque des divulgations sont faites, les détails des rapports sont souvent incohérents ou incomplets. (L’ élément le plus controversé de la proposition de la SEC est une exigence selon laquelle les cyber-incidents doivent être divulgués dans les quatre jours suivant l’étiquetage d’un événement « important ».)
« La cybersécurité doit être gérée comme un risque commercial important, pas seulement comme une question technique », déclare Phil Reitinger, président et PDG de la Global Cyber Alliance, ancien RSSI chez Sony, et haut responsable de la cybersécurité dans l’administration Obama. « L’ignorance des éléments financiers d’une entreprise n’est pas une excuse pour une mauvaise gestion par le conseil d’administration, et la cybersécurité devrait et sera traitée de la même manière. Si un conseil d’administration n’a pas la capacité actuelle de définir une politique et de s’engager dans la supervision, il doit alors se doter en personnel. »
Renforcer la supervision du conseil d’administration
Dans le cadre des règles proposées, les entreprises seraient tenues de divulguer l’expertise en cybersécurité et les responsabilités de supervision du conseil d’administration. Le projet de réglementation oblige déjà les entreprises à poser des questions difficiles sur le rôle de la cybersécurité au conseil d’administration, y compris si un siège doit être réservé à un expert en cybersécurité, déclare Ann Cleaveland, directrice exécutive du Center for Long-Term Cybersecurity chez
UC Berkeley.
« Les conseils d’administration et les dirigeants sont de plus en plus les cibles et les victimes de ces violations. »Kevin Kelly, PDG de Halo Privacy
« Souvent, les conseils d’administration n’ont pas eu cette conversation sur la cybersécurité comme expertise au niveau du conseil d’administration », déclare-t-elle. Pour se préparer à la réglementation, elle conseille aux entreprises de commencer à poser des questions telles que : La cybersécurité doit-elle faire partie du comité d’audit ou doit-elle avoir son propre comité ? « Quel que soit l’endroit où ils arrivent avec les réponses, cela n’a presque pas d’importance », dit-elle. « Mais les entreprises et les conseils d’administration doivent avoir eu la conversation. »
Wilson Sonsini, le cabinet d’avocats de la Silicon Valley qui conseille les plus grands noms mondiaux de la technologie, a soutenu dans une lettre à la SEC que les préoccupations en matière de cybersécurité ne devraient pas être élevées au-dessus d’autres problèmes clés impliquant des risques. La société craint que les réglementations « puissent amener les entreprises à hiérarchiser l’expertise en cybersécurité au sein du
conseil d’administration au détriment d’autres mesures de cybersécurité et d’autres expériences
souhaitées ».
Cependant, au minimum, les membres du conseil d’administration doivent acquérir une plus grande maîtrise de la gestion des risques et de la cyberdéfense, déclare Justin Greis, un partenaire de McKinsey qui se concentre sur les problèmes numériques. « Les membres du conseil d’administration devront comprendre et être en mesure de décrire, et probablement de défendre, la posture de cybersécurité de leur entreprise », déclare-t-il. « Pour ce faire, les conseils d’administration devront probablement s’engager plus étroitement que jamais sur les questions de cybersécurité. »
En effet, les entreprises du Fortune 100 telles que Citigroup et GM investissent massivement dans l’expertise en cybersécurité à la lumière de la proposition de la SEC, jusqu’au niveau du conseil d’administration, déclare Jonathan Day, PDG de Tapestry Networks, qui conseille les conseils d’administration sur la stratégie et la gouvernance. « Ils apportent des directeurs qui ont une expérience approfondie dans ce domaine », dit-
il.
Quelle stratégie divulguer ?
Un autre élément des règles proposées est une disposition qui exige que les conseils d’administration divulguent périodiquement les politiques et procédures de l’entreprise liées à l’ identification et à la gestion des risques de cybersécurité, ainsi que le rôle de la direction dans la mise en œuvre. La disposition pourrait obliger les entreprises à donner trop d’informations, selon certains experts.
« Les conseils d’administration devront probablement s’engager plus étroitement que jamais sur les questions de cybersécurité. »Justin Greis, associé, McKinsey & ; Company
« La surdéclaration des risques de propriété intellectuelle pourrait permettre aux concurrents d’obtenir un avantage potentiel », déclare Greis de McKinsey. « Le partage excessif de la cyberdéfense pourrait donner aux pirates informatiques l’opportunité d’exploiter les informations divulguées pour compromettre les réseaux de l’
entreprise. »
Day of Tapestry Networks déclare que les dispositions placent également certaines des tâches traditionnelles du RSSI entre les mains des membres du conseil d’administration. « Il ne s’agit plus simplement de « Nous suivrons votre stratégie », et le RSSI est responsable du verrouillage des portes », dit-il.
Le risque de cybersécurité est comme un risque financier
Pour Kelly de Halo Privacy, les ajustements que les entreprises et les conseils d’administration devraient apporter pour s’adapter à ces nouvelles règles ne sont pas différents des changements majeurs qui étaient nécessaires suite à la grande récession de 2008 , lorsqu’il était PDG de la société de recherche de cadres Heidrick & Struggles.
« Fortune 100 entreprises comme Citigroup et GM investissent massivement dans l’expertise en cybersécurité à la lumière de la proposition de la SEC, jusqu’au niveau du conseil d’administration. »
À ce moment-là, la SEC a renforcé les exigences de divulgation des risques financiers et a placé la responsabilité auprès du comité d’audit du conseil. La SEC exigeait des divulgations en temps opportun, avec une menace importante de mise en application pour les entreprises qui n’ont pas rempli leur devoir.
Compte tenu de l’ ampleur de la crise actuelle de cybersécurité, Kelly attendait de la SEC qu’elle exige un comité du conseil d’administration dédié à la question, avec des appels et des réunions réguliers. Il se demande également si la SEC doit appliquer des limites de durée aux membres du conseil pour maintenir l’expertise en cybersécurité à jour.
Greis de McKinsey déclare que certaines entreprises explorent déjà l’idée d’établir un sous-comité entièrement consacré à la cybersécurité. « Il peut être composé d’administrateurs indépendants, ou d’experts, mais ils opèrent au nom du conseil », dit-il. Dans ce cas, les RSSI donneraient des mises à jour au comité ou au conseil d’administration dans son ensemble.
Pour accroître la préparation, les experts en cybersécurité et du conseil d’administration de l’entreprise recommandent également d’organiser une planification détaillée des scénarios et des exercices de table, ainsi que des réunions du conseil d’administration hors site avec des experts en cybersécurité, pour découvrir viscéralement ce qui pourrait se passer pendant une violation de cybersécurité.
Bien que les entreprises puissent s’appuyer sur la surveillance accrue de la SEC, elles reconnaissent que les règles proposées ont résulté d’un manque de planification et d’action. « Sans plan, les entreprises mettent une tonne de personnes en danger », déclare Kelly.
Cleaveland de UC Berkeley déclare que de nombreuses organisations donnent déjà la priorité à la planification et aux stratégies de cybersécurité. « Les conseils les plus sophistiqués et matures ne se préparent pas à cette réglementation grâce à un état d’esprit de conformité », déclare-t-elle. « Ils sont déjà sur ce parcours. »
