Dans le cadre de la lutte de plus en plus intense contre les cybermenaces, la plupart des entreprises consacrent davantage de ressources de sécurité à la prévention et à la détection : il s'agit de tenir les attaquants à distance et, si (euh, quand) une intrusion se produit, d'y réagir plus rapidement. Bien que cette approche ait du mérite, une autre stratégie gagne du terrain.
Les attaques de type « » devenant pratiquement inévitables, de plus en plus de conseils d'administration et de dirigeants d'entreprise souhaitent mettre davantage l'accent sur l'atténuation des conséquences, afin de reprendre leurs activités avec un coût et un impact minimaux.
Les cyberattaques sophistiquées, qu'il s'agisse de ransomware ou d'opérations de hameçonnage , menacent non seulement les actifs informationnels des entreprises, mais aussi, et surtout, leur continuité opérationnelle et leur réputation. Et alors que les chefs d’entreprise subissent une pression croissante de la part des autorités de régulation , des organismes de contrôle et des investisseurs pour mettre en œuvre une gestion efficace des risques cybernétiques, nombreux sont ceux qui commencent à aborder cette question sous l’angle de la cyber-résilience – en acceptant la réalité selon laquelle des attaques se produiront inévitablement et en se dotant d’un plan de reprise en cas d’incident.
Remontant au moins à l’an 2000, le concept de résilience , issu de l’, est devenu un sujet de discussion de plus en plus sérieux dans les conseils d’administration et les directions générales au cours de ces années post-pandémiques marquées par une numérisation accélérée. Ce texte reconnaît la dure réalité selon laquelle aucune défense n'est infaillible.
Au lieu de se contenter d’essayer de détecter et de réagir plus rapidement aux incidents , la cyber-résilience prépare les organisations à résister et à se remettre rapidement sur pied. Cela permet de garantir que, en cas d'incident de sécurité, son impact sur les opérations, la réputation et les finances soit réduit au minimum, ce qui permet aux entreprises de maintenir leur dynamique avec un minimum de perturbations.
« L’objectif ultime d’une organisation cyber-résiliente serait de ne subir aucune perturbation suite à une cyberattaque : aucun impact sur les opérations, les finances, les technologies, l’ , la chaîne d’approvisionnement ou la réputation », explique Keri Pearlson, directrice exécutive du consortium de recherche Cybersecurity at MIT Sloan (CAMS). « Les membres du conseil d’administration devraient se demander : “Que faudrait-il pour que cela soit le cas ?” »
Obtenir l'adhésion du conseil d'administration aux tableaux de bord de cyber-résilience
Les organismes de réglementation imposent de plus en plus souvent la publication d'informations relatives à la gestion des risques cybernétiques et à la présence d'une expertise en cybersécurité au sein des conseils d'administration. Les conseils d'administration doivent donc approfondir leur compréhension et ne pas se contenter de déléguer cette tâche à des experts en gestion des risques, mais s'impliquer activement dans la protection de leurs entreprises, affirme M. Pearlson. Cela implique une obligation fiduciaire envers les actionnaires de limiter efficacement les risques liés à l'activité, une responsabilité dont la complexité ne cesse de croître à mesure que les cybermenaces évoluent.
«L’objectif ultime d’une organisation cyber-résiliente serait de ne subir aucune perturbation suite à une violation… » Les membres du conseil d'administration devraient se demander : « Que faudrait-il pour que cela soit le cas ? » »Keri Pearlson, directrice exécutive du programme de cybersécurité du MIT Sloan (CAMS)
Une formation conçue par Mme Pearlson et ses collègues, intitulée « La gouvernance de la cybersécurité pour le conseil d'administration », vise à doter les membres du conseil d'administration des connaissances nécessaires pour s'y retrouver dans ce domaine complexe, en mettant l'accent sur le rôle essentiel du conseil dans la supervision de la cybersécurité et sur l'alignement stratégique des mesures de cybersécurité sur les objectifs généraux de l'entreprise.
Plus généralement, la « fiche d'évaluation de la cyber-résilience » s'est imposée ces dernières années comme un outil essentiel dans la transition vers la résilience, servant de cadre global pour évaluer, surveiller et renforcer la capacité d'une organisation à résister aux incidents cybernétiques.
Une approche multidimensionnelle des tableaux de bord de cyber-résilience
Contrairement aux indicateurs traditionnels, qui peuvent se limiter au nombre d'incidents ou aux délais d'intervention, un tableau de bord adopte une approche globale. Elle évalue divers facteurs couvrant l'ensemble du spectre de la cyber-résilience, depuis la robustesse des mesures de protection et l'efficacité des protocoles d'intervention jusqu'à l'état de préparation à la reprise des activités et la capacité d' 'adaptation aux menaces émergentes. Cette approche offre une vision multidimensionnelle de la cyber-résilience d'une organisation, permettant ainsi d'apporter des améliorations ciblées et de prendre des décisions stratégiques.
«Le conseil d’administration n’est pas en mesure de prendre les mesures appropriées ni de prendre les bonnes décisions… sans explications détaillées. »M. Pearlson, du MIT
Mme Pearlson et son équipe du MIT ont mis au point un modèle de fiche d'évaluation en s'appuyant sur son expérience des réunions de conseil d'administration.
« L’idée du tableau de bord m’est venue en constatant, au sein des conseils d’administration dont je fais partie, que les membres d’ ne savent pas vraiment comment aborder la cybersécurité, avant toute chose », a expliqué M. Pearlson lors d’un entretien exclusif accordé à Focal Point. « Deuxièmement, les responsables informatiques d’ s ne savent pas comment rendre compte au conseil d’administration en matière de cybersécurité. » « Ils présentent des éléments techniques et quantitatifs qui sont importants pour la gestion de la cybersécurité, mais en réalité, le conseil d’administration n’est pas en mesure de prendre les mesures appropriées ni de prendre les bonnes décisions… sans explications détaillées. »
Parmi les principaux secteurs d’activité ayant adopté des tableaux de bord ces dernières années, on peut citer le secteur bancaire et les services financiers, le secteur de la santé, les technologies de l’information et les services informatiques, l’industrie manufacturière et le commerce électronique. Certaines entreprises les ont adoptés en raison du renforcement de la réglementation ou de la multiplication des attaques visant la chaîne d’approvisionnement , explique Malini Rao, RSSI de DeepLearnCyber.ai, qui a développé un tableau de bord destiné aux RSSI.
« Ces fiches d’évaluation offrent une vue d’ensemble des vulnérabilités potentielles », a-t-elle déclaré à Focal Point . « Elles permettent de quantifier la probabilité et l'impact potentiel de différentes menaces, ce qui permet aux organisations de hiérarchiser leurs ressources et leurs efforts en conséquence. »
Ce n'est pas une solution « universelle »
Il n'existe pas de tableau de bord « officiel » de la cyber-résilience, ni de « bonne méthode » bien définie pour s'y prendre. M. Pearlson a développé ce concept sous la forme d'un cadre ou d'un modèle, mais sa mise en œuvre relève dans une certaine mesure de l'appréciation personnelle. Les organisations doivent définir elles-mêmes ce qui est important pour elles et quels indicateurs il est utile de suivre et de surveiller.
«Ces fiches d’évaluation… peuvent aider à quantifier la probabilité et l’impact potentiel de différentes menaces, permettant ainsi aux organisations de hiérarchiser leurs ressources et leurs efforts en conséquence. »Malini Rao, responsable de la sécurité des systèmes d'information (RSSI), DeepLearnCyber.ai
Voici quelques exemples de tableaux de bord de cyber-résilience élaborés par diverses entités :
- Lockheed Martin : Lockheed Martin a présenté, en 2018, son cadre « » (CRL) et le tableau de bord correspondant « » , illustrant ainsi une approche plus formalisée de la mesure de la cyber-résilience au cours de cette période. Le tableau de bord de cyber-résilience de l'entreprise comprend des outils tels qu'un questionnaire et un tableau de bord permettant d'évaluer les niveaux de maturité dans six catégories, notamment la cyber-hygiène et l'architecture.
- MIT : Le tableau de bord prospectif (Balanced Scorecard) de l' , dédié à la cyber-résilience (BSCR) , offre un aperçu des performances financières et opérationnelles en combinant des informations relatives à des activités clés qui, sans cela, pourraient être isolées les unes des autres.
- USDA : Le tableau de bord de cybersécurité de l'USDA ( ) , élaboré en collaboration avec l'Agence des services agricoles (Farm Service Agency), met l'accent sur une approche de tableau de bord équilibré conforme au cadre du NIST, en se concentrant sur des domaines tels que la conformité, la gestion des vulnérabilités et la réponse aux incidents. L'alignement sur le cadre du NIST garantit que l'USDA adopte une approche globale et normalisée en matière de cybersécurité, reconnue et utilisée dans divers secteurs d'activité. Cette harmonisation renforce la capacité de l'organisation à gérer et à atténuer efficacement les risques, tout en garantissant que tous les aspects de la cybersécurité, de la prévention à la réaction, soient systématiquement pris en compte.
- Malini Rao : Le « CISO Operational Balanced Scorecard » (Tableau de bord prospectif opérationnel du responsable de la sécurité des systèmes d’information) de Malini Rao, disponible à l’adresse , établit une distinction entre les aspects transformationnels et opérationnels, proposant ainsi une double approche visant à aligner la cybersécurité sur les objectifs stratégiques de l’entreprise. Elle préconise l'utilisation de tableaux de bord pour aider les RSSI à « gagner la confiance en communiquant de manière proactive des indicateurs… permettant d'identifier les faiblesses et de hiérarchiser les domaines à améliorer ».
[À lire également : Qu'est-ce que la cyber-hygiène ? Pourquoi est-ce important ?]
Bien qu'il n'existe pas d'approche « universelle » en matière de tableau de bord de cyber-résilience, ces derniers présentent généralement certains éléments communs. Que vous envisagiez d'utiliser une fiche d'évaluation de la cyber-résilience existante ou de concevoir la vôtre, référez-vous à ce cadre de base :
- Évaluation des risques : Évaluation des risques informatiques potentiels et de leur impact sur l'organisation.
- Contrôles de sécurité : Évaluation de l'efficacité des mesures de sécurité mises en œuvre.
- Réponse aux incidents : Évaluation de l'état de préparation et des stratégies de réponse face à d'éventuels incidents informatiques.
- Capacités de reprise : Évaluation de la capacité à se remettre d'une cyberattaque avec un minimum de perturbations.
Élaborez votre propre tableau de bord de cyber-résilience
Suivez ces étapes clés pour élaborer un tableau de bord de cyber-résilience adapté à votre situation particulière :
- Évaluation et définition d'objectifs : Commencez par évaluer votre niveau actuel de cybersécurité et par définir ce que signifie la cyber-résilience pour votre organisation. Cela pourrait notamment consister à fixer des objectifs en matière de délais de reprise, à réduire l'impact des incidents de sécurité ou à renforcer la redondance des systèmes.
- Élaboration d'un cadre : Élaborez un tableau de bord en adéquation avec vos objectifs en matière de cyber-résilience. Cela devrait inclure un ensemble d'indicateurs quantitatifs et qualitatifs, tels que les objectifs de temps de reprise, l' , la formation du personnel , la fréquence des sauvegardes du système et l'intégration de la cybersécurité dans la planification de la continuité des activités.
- Suivi et rapports réguliers : Mettez en place une procédure de suivi des performances par rapport aux indicateurs du tableau de bord. Ce suivi devrait faire partie intégrante du processus de gouvernance en matière de cybersécurité et donner lieu à la présentation régulière de rapports aux principales parties prenantes, y compris le conseil d'administration.
- Amélioration continue : Tirez parti des enseignements tirés de la fiche d'évaluation pour favoriser l'amélioration continue de vos stratégies de cyber-résilience . Cela pourrait passer par une adaptation des politiques de cybersécurité, des investissements dans de nouvelles technologies ou le renforcement des programmes de formation des salariés.
- Implication et contrôle du conseil d'administration : Veillez à ce que le conseil d'administration participe activement au contrôle de la mise en œuvre du tableau de bord. Leur vision stratégique et leur supervision seront essentielles pour aligner les efforts en matière de cyber-résilience sur les objectifs généraux de l'entreprise.
En accordant la priorité à la cyber-résilience et en adoptant des outils tels qu’un tableau de bord, les organisations peuvent non seulement atténuer les conséquences des incidents cybernétiques, mais aussi renforcer leur compétitivité et leur pérennité. M. Rao recommande d'utiliser (IA) et (automatisation) pour améliorer les rapports sur la cyber-résilience, notamment en générant des tableaux de bord hebdomadaires et mensuels. Et n’oubliez pas votre chaîne d’approvisionnement « », insiste-t-elle : les entreprises devraient veiller à ce que leurs partenaires tiers communiquent également les indicateurs de leur tableau de bord.
