Kevin Kelly aurait aimé pouvoir empêcher son client de verser 10 millions de dollars à un pirate informatique.
Son client est une entreprise d'articles de sport dont le chiffre d'affaires s'élève à un milliard de dollars. Le pirate informatique a trouvé le nom du PDG de l'entreprise sur LinkedIn et a créé un faux compte de messagerie au nom de ce dernier. Le fraudeur a ensuite falsifié une fausse facture émanant du fournisseur d’Asie du Sud-Est de l’entreprise, spécialisé dans les ballons de basket, les crosses de lacrosse et d’autres articles (avec un en-tête contrefait), puis l’a envoyée depuis le faux compte du PDG au directeur financier de l’entreprise, en lui ordonnant d’effectuer un virement de 10 millions de dollars à l’étranger.
Malheureusement, l'arnaque a été découverte trop tard. Et c’est un phénomène qui est devenu bien trop courant et lucratif dans le réseau actuel des chaînes d’approvisionnement mondiales. « Les conseils d’administration et les dirigeants sont de plus en plus souvent la cible et les victimes de ces violations », explique Kelly, PDG de Halo Privacy, qui propose des solutions de protection des données aux conseils d’administration, aux dirigeants, aux family offices et aux particuliers fortunés.
Personne ne connaît l'ampleur exacte des pertes financières causées par ces escroqueries à la fausse facture et d'autres pratiques similaires. En effet, les entreprises préfèrent souvent ne pas dévoiler ces détails parfois embarrassants.
Cela pourrait changer. En vertu des nouvelles règles proposées par la SEC ( ), les dirigeants des sociétés cotées en bourse — ainsi que leurs conseils d'administration — seraient tenus de signaler rapidement les incidents de cybersécurité. Les projets de réglementation de la SEC interviennent dans un contexte marqué par une vague de cyberattaques qui ont paralysé des sociétés cotées en bourse, des organismes privés et des administrations publiques. « Dans la perspective d’une amélioration de la cybersécurité nationale, il s’agit d’une mesure qui aurait dû être prise depuis longtemps », déclare Megan Stifel, directrice de la stratégie à l’Institut pour la sécurité et la technologie.
La SEC ( ) a indiqué que l'une des principales raisons de cette modification réglementaire réside dans le fait que les incidents de cybersécurité sont désormais relayés par les médias plutôt que signalés dans les documents déposés par les entreprises. Par ailleurs, l'agence a constaté que, lorsque des informations sont communiquées, les détails des rapports sont souvent incohérents ou incomplets. (L'élément le plus controversé de la proposition de la SEC est l'obligation de signaler les incidents cybernétiques dans un délai de quatre jours à compter de leur classification comme événement « significatif ».)
« La cybersécurité doit être gérée comme un risque commercial majeur, et non pas simplement comme une question technique », déclare Phil Reitinger, président-directeur général de la Global Cyber Alliance, ancien responsable de la sécurité informatique chez Sony et haut responsable de la cybersécurité au sein de l'administration Obama. « La méconnaissance des aspects financiers d’une entreprise ne saurait servir d’excuse à une mauvaise gestion de la part du conseil d’administration, et il en va de même pour la cybersécurité. » « Si un conseil d'administration ne dispose pas actuellement des moyens nécessaires pour définir des orientations et exercer un contrôle, il doit alors renforcer ses effectifs. »
Renforcer le rôle de surveillance du conseil d'administration
Dans le cadre des règles proposées, les entreprises seraient tenues de communiquer des informations sur l'expertise du conseil d'administration en matière de cybersécurité et sur ses responsabilités en matière de contrôle. Les projets de réglementation obligent déjà les entreprises à se poser des questions difficiles sur le rôle de la cybersécurité au sein du conseil d'administration, notamment sur l'opportunité de réserver un siège à un expert en cybersécurité, explique Ann Cleaveland, directrice exécutive du Centre pour la cybersécurité à long terme de l' à l'
, à l'UC Berkeley.
«Les conseils d’administration et les dirigeants sont de plus en plus souvent la cible et les victimes de ces violations. »Kevin Kelly, PDG de Halo Privacy
« Souvent, les conseils d’administration n’ont pas encore abordé la question de la cybersécurité en tant que domaine d’expertise relevant de leur compétence », explique-t-elle. Afin de se préparer à ces réglementations, elle conseille aux entreprises de commencer à se poser des questions telles que : la cybersécurité doit-elle relever du comité d'audit ou faut-il lui consacrer un comité distinct ? « Peu importe, en fin de compte, quelles réponses ils trouveront », dit-elle. « Mais les entreprises et les conseils d'administration doivent avoir abordé cette question. »
Wilson Sonsini, le cabinet d’avocats de la Silicon Valley qui conseille les plus grands noms mondiaux du secteur technologique, a fait valoir dans une lettre adressée à la SEC et publiée sur que les préoccupations en matière de cybersécurité ne devaient pas primer sur d’autres enjeux clés liés au risque. Le cabinet craint que ces réglementations « n’incitent les entreprises à privilégier l’expertise en cybersécurité au sein du conseil d’
, au détriment d’autres mesures de cybersécurité et d’autres compétences souhaitées par l’
».
Toutefois, les membres du conseil d'administration doivent au minimum acquérir une meilleure maîtrise de la gestion des risques et de la cyberdéfense, affirme Justin Greis, associé chez McKinsey spécialisé dans les questions numériques. « Les membres du conseil d’administration devront comprendre et être capables de décrire — et probablement de défendre — la stratégie de leur entreprise en matière de cybersécurité », déclare-t-il. « Pour ce faire, les conseils d'administration devront probablement s'impliquer davantage que jamais dans les questions de cybersécurité. »
En effet, des entreprises du classement Fortune 100 , telles que Citigroup et GM, investissent massivement dans l'expertise en cybersécurité à la lumière de la proposition de la SEC, et ce jusqu'au niveau du conseil d'administration, explique Jonathan Day, PDG de Tapestry Networks, qui conseille les conseils d'administration des entreprises en matière de stratégie et de gouvernance. « Ils recrutent des dirigeants qui possèdent une grande expérience dans ce domaine »,
, précise-t-il.
Dans quelle mesure faut-il dévoiler sa stratégie ?
Un autre élément des règles proposées est une disposition qui impose aux conseils d'administration de publier périodiquement les politiques et procédures de l'entreprise relatives à l'identification et la gestion des risques liés à la cybersécurité, ainsi que le rôle de la direction dans leur mise en œuvre. Selon certains experts, cette disposition pourrait contraindre les entreprises à divulguer trop d'informations.
«Les conseils d’administration devront probablement s’impliquer plus étroitement que jamais dans les questions de cybersécurité. »Justin Greis, partner, McKinsey & Company
« Une surestimation des risques liés à la propriété intellectuelle pourrait permettre aux concurrents d’en tirer un avantage potentiel », explique M. Greis, de McKinsey. « Le fait de divulguer trop d’informations sur la cyberdéfense pourrait donner aux pirates informatiques l’occasion d’exploiter ces informations pour compromettre les réseaux d’
. »
Selon Day of Tapestry Networks, ces dispositions confient également certaines des responsabilités traditionnelles du RSSI aux membres du conseil d'administration. « Il ne s’agit plus simplement de dire : “Nous suivrons votre stratégie”, et le RSSI est chargé de verrouiller les portes », explique-t-il.
Le risque lié à la cybersécurité s'apparente au risque financier
Pour Kelly, de Halo Privacy, les ajustements que les entreprises et les conseils d'administration devront opérer pour s'adapter à ces nouvelles règles ne sont pas sans rappeler les changements majeurs qui avaient été nécessaires à la suite de la Grande Récession de 2008 , alors qu'il était PDG du cabinet de recrutement de cadres Heidrick & Struggles.
«Des entreprises du classement Fortune 100 , telles que Citigroup et GM, investissent massivement dans l’expertise en cybersécurité à la lumière de la proposition de la SEC, et ce jusqu’au niveau du conseil d’administration. »
À cette époque, la SEC a renforcé les exigences en matière de communication d’informations sur les risques financiers et a confié cette responsabilité au comité d’audit du conseil d’administration. La SEC a exigé la publication d'informations en temps utile, en brandissant la menace de sanctions sévères à l'encontre des entreprises qui manqueraient à leur obligation.
Compte tenu de l' e ampleur de la crise actuelle en matière de cybersécurité, Mme Kelly s'attendait à ce que la SEC exige la mise en place d'un comité du conseil d'administration dédié à cette question, avec des visioconférences et des réunions régulières. Il se demande également si la SEC ne devrait pas imposer des limites de durée de mandat aux membres des conseils d'administration afin de garantir le renouvellement des compétences en matière de cybersécurité.
M. Greis, de McKinsey, indique que certaines entreprises envisagent déjà la création d'un sous-comité entièrement dédié à la cybersécurité. « Il peut être composé d’administrateurs indépendants ou d’experts, mais ses membres agissent pour le compte du conseil d’administration », explique-t-il. Dans ce cas, les responsables de la sécurité des systèmes d'information (RSSI) feraient le point auprès du comité ou de l'ensemble du conseil d'administration.
Afin de renforcer la préparation, les experts en cybersécurité et les membres des conseils d'administration recommandent également d'organiser des exercices de planification de scénarios détaillés et des simulations sur table, ainsi que des réunions du conseil d'administration hors site avec des experts en cybersécurité, afin de se rendre compte concrètement de ce qui pourrait se passer en cas de faille de cybersécurité.
Même si les entreprises peuvent voir d'un mauvais œil le renforcement de la surveillance exercée par la SEC, elles reconnaissent que les règles proposées résultent d'un manque de planification et d'action. « Sans plan, les entreprises mettent énormément de personnes en danger », déclare Kelly.
M. Cleaveland, de l'université de Berkeley, affirme que de nombreuses organisations accordent déjà la priorité à la planification et aux stratégies en matière de cybersécurité. « La plupart des conseils d'administration les plus expérimentés et les plus matures ne se préparent pas à cette réglementation en adoptant une approche axée sur la conformité », explique-t-elle. « Ils ont déjà entamé ce parcours. »
