Qu'ont en commun un responsable de la sécurité des systèmes d'information (RSSI) chargé de gérer une fuite de données et un enfant de 10 ans qui vient de casser accidentellement la fenêtre de son voisin ? Chacun doit faire face à un choix difficile : que communiquer ensuite, et comment. Comme de plus en plus de dirigeants d'entreprise le constatent, le fait de ne pas communiquer en toute honnêteté et de ne pas assumer ses erreurs pourrait vous porter préjudice par la suite.
Uber ne le sait que trop bien.
Last October the U.S. Department of Justice convicted Joe Sullivan, the company's former chief of security, for lying about a 2016 hack where thieves stole data on approximately 57 million customers. M. Sullivan a organisé un paiement de 100 000 dollars en bitcoins afin de faire taire les pirates informatiques, puis a dissimulé cette intrusion aux parties prenantes externes et à la nouvelle direction d'Uber, a indiqué le ministère.
Les pirates informatiques ont plaidé coupables dans l'affaire n° 2019, et à l'heure où nous écrivons ces lignes, M. Sullivan attend son jugement, qui pourrait lui valoir jusqu'à huit ans de prison.
Communiquez dès le début et régulièrement
Si peu d'entreprises vont jusqu'à dissimuler des faits de nature pénale, nombreuses sont celles qui tenteront d'échapper aux conséquences. « C'est un jeu dangereux », déclare Jon Collins, vice-président chargé de la recherche au sein du cabinet d'analyse GigaOm.
«La dissimulation constitue également un risque. » Et pour y remédier, d’un point de vue commercial, il faut « avouer très rapidement ». »Jon Collins, vice-président chargé de la recherche chez GigaOm
« Tout risque est un risque commercial », déclare-t-il, ajoutant que les tentatives de dissimulation témoignent d'un manque de vision globale. « Cela s'explique par le fait qu'ils abordent la question sous l'angle de la sécurité et non sous celui du risque lié à l' , mais la dissimulation constitue également un risque. » « Et pour y remédier, d'un point de vue commercial, il faut « avouer très rapidement ». »
Parfois, une communication tardive et peu claire résulte d'un manque de préparation. Lors d'un événement organisé fin novembre par le Wall Street Journal dans le cadre de la série « » ( ), Todd McKinnon, cofondateur et directeur général de la société d'authentification d'identité Okta, a exprimé ses regrets quant à la manière dont son entreprise avait géré un incident de cybersécurité survenu en 2022.
L'attaque visant l'un des fournisseurs d'Okta, Sitel, s'est produite en janvier, mais Okta n'a reconnu l'incident qu'en mars, après que le groupe de pirates informatiques Lapsus$ , spécialisé dans l', eut rendu publics les détails sur son propre compte Telegram, y compris des captures d'écran des systèmes compromis.
David Bradbury, responsable de la sécurité chez Okta (qui n'a aucun lien de parenté avec le présent journaliste), a répondu en précisant que les clients n'avaient pas besoin de prendre de mesures correctives. Cependant, Lapsus$ a continué à narguer l'entreprise sur Internet en avertissant que ses clients étaient visés, et ces derniers ont fait part publiquement de leur frustration face au manque de clarté (ou, dans certains cas, à l'absence totale de communication directe de la part d'Okta).
Okta a ensuite révélé que 366 clients auraient pu être touchés par cette attaque, et M. Bradbury a pointé du doigt Sitel. « Je suis profondément déçu par le long délai qui s'est écoulé entre notre première notification adressée à Sitel en janvier et la publication du rapport d'enquête complet il y a quelques heures à peine », aurait déclaré M , selon. Il a toutefois admis par la suite que l'entreprise aurait dû communiquer plus rapidement après avoir reçu ce rapport.
« Il est difficile d’être franc sur certains sujets, surtout lorsque l’on ne dispose pas de toutes les informations », déclare Jenai Marinkovic, vCISO chez Tiro Security et membre du groupe de travail « Emerging Trends » de l’ISACA. Mais cela ne devrait pas empêcher les entreprises d'évaluer quelles informations sont suffisamment fiables pour être communiquées et de faire preuve de transparence à cet égard, même si elles doivent compléter ces informations ultérieurement, à mesure que leur enquête progresse. « Expliquez simplement ce que vous savez pour l'instant, et indiquez ce que vous comptez faire ensuite », conseille-t-elle. « Le monde a tendance à se montrer assez indulgent si vous faites preuve de franchise ; il est donc essentiel de faire passer le bon message le plus rapidement possible, dès que vous le pouvez »,
Une communication efficace repose sur une évaluation rigoureuse des risques
Mais une fois que vous avez pris la décision de signaler un incident de cybersécurité plutôt que de l'ignorer ou de le passer sous silence, comment cette divulgation s'effectue-t-elle ? « Commencez par réaliser une évaluation rigoureuse des risques liés à l’ », explique M. Marinkovic.
«Votre évaluation des risques aurait dû identifier les types de violation les plus probables, les acteurs malveillants et les processus concernés, ainsi que toutes les personnes en aval qui sont touchées. »Jenai Marinkovic, vCISO, Tiro Security
La communication fait partie intégrante d'un guide plus large de gestion des incidents cybernétiques , qui doit être adapté pour faire face aux différentes menaces. Il se peut que vous réagissiez et communiquiez différemment face à une attaque DDoS ou à une attaque par ransomware de type « » que face à un vol d'informations exposant les clients à un risque financier.
« Votre analyse des risques aurait dû identifier les types de violation les plus probables, les acteurs malveillants et les processus concernés, ainsi que toutes les personnes en aval qui sont touchées », explique-t-elle. « Ainsi, si vous procédez à une évaluation des risques de manière appropriée, celle-ci devrait alimenter votre plan de communication. »
À partir de là, vous ne devez communiquer que des informations exactes. Cela implique de trouver le juste équilibre entre communiquer rapidement, afin de donner l'impression de maîtriser la situation, tout en s'assurant de la véracité des faits, explique Paul Watts, analyste émérite à l'Information Security Forum.
« Cela peut parfois poser problème si vous pensez devoir lancer cette attaque préventive, puis que vous vous rendez compte que les circonstances de l'incident sont soit plus favorables, soit plus défavorables, ce qui signifie que vous devez vous repositionner », explique-t-il.
Rien ne sape plus rapidement la confiance lors d'une fuite de données que des informations contradictoires. L'opérateur de télécommunications britannique TalkTalk a essuyé des critiques après avoir publié des déclarations apparemment contradictoires concernant le vol de données clients en 2015, ce qui a laissé la police britannique perplexe, tout comme les clients.
Une communication cohérente implique d'échanger régulièrement et de manière étroite avec les ingénieurs et le personnel informatique. Ils vous aideront à distinguer les faits avérés des théories en cours d'élaboration, afin que vous ne communiquiez que ce dont vous êtes certain.
Combler le fossé linguistique
« Les échanges avec les ingénieurs illustrent bien à quel point une approche pluridisciplinaire est essentielle », explique M. Marinkovic. Traduire le jargon technique d' en un langage compréhensible pour les clients peut s'avérer difficile pour les professionnels de la communication interne qui ne disposent pas de connaissances techniques. Il faut mener un interrogatoire persévérant et incisif pour recueillir des faits pertinents pouvant être transmis aux autorités de régulation et aux parties prenantes concernées.
« Votre équipe GRC [gouvernance, des risques et conformité en matière de ] maîtrise les contrôles et a généralement davantage d'expérience pour traduire les aspects techniques en termes compréhensibles pour l'entreprise », explique-t-elle. Ils devraient être présents lors de l'élaboration des stratégies de communication externe.
Surveillez les fuites
« Il est essentiel de veiller à ce qu'il n'y ait qu'un seul canal de communication externe », affirme M. Watts, qui met en garde les organisations contre les fuites internes. Il est essentiel de former les employés sur ce qu'ils peuvent et ne peuvent pas dire lors d'un incident. « Sinon, cela crée des risques de fuites et de divulgations accidentelles, ce qui peut alors aller à l'encontre de la stratégie de communication officielle que vous avez peut-être mise en place », prévient-il.
Une communication inappropriée ne se limite pas aux échanges avec les journalistes. Si l'auteur d'une attaque contre une entreprise dispose d'un compte Twitter, les employés intrigués pourraient être tentés de le suivre depuis leur compte personnel. Même cela peut accroître la surface d'attaque de l'organisation et poser des problèmes à l'équipe de sécurité interne, explique M. Marinkovic.
Les victimes d'une fuite de données font souvent appel à des experts en informatique légale indépendants pour les aider à identifier et à résoudre le problème. Selon les experts, il peut être tout aussi utile de faire appel à des professionnels de la communication rompus aux scénarios de cybercrise.
« Faire appel à la bonne agence de relations publiques vous aide à transmettre ce message de manière authentique », explique M. Marinkovic. Personne n'a envie d'entendre à quel point ses données sont importantes pour vous après qu'un pirate vient de les diffuser partout sur le dark web. Au contraire, un compte rendu clair et professionnel de ce qui s'est passé et des mesures que vous prenez pour y remédier constitue la meilleure voie à suivre — et un peu d'humilité sincère ne ferait pas de mal.
