Plus tôt ce mois-ci, j’ai eu le privilège d’organiser une table ronde virtuelle où nous avons fait appel à des experts de Charles River Associates, Kirkland & Ellis, Fasken et Tanium pour discuter des défis auxquels les cabinets d’avocats sont confrontés et des recommandations sur la protection des actifs informatiques internes et la défense contre les attaques.
Il s’agissait d’une discussion perspicace et animée où nous avons fourni des perspectives de quatre points de vue différents d’un cabinet d’avocats RSSI, d’un cyberconseil externe, d’un conseil en réponse aux incidents et d’un fournisseur de technologie.
En vous éloignant de la discussion, vous aurez une meilleure idée des meilleures pratiques pour gérer les défis inhérents à la protection des cabinets d’avocats, à l’ hygiène de la cybersécurité, à la visibilité des actifs et des applications informatiques, à la sensibilisation et à la gestion des données sensibles, à l’atténuation des menaces et à la remédiation aux violations, et à la réduction du fossé entre les opérations informatiques et les équipes de cybersécurité, de sécurité et de risque.
Pour tirer parti de ces informations, consultez la transcription complète ci-dessous ou regardez la vidéo de 60 minutes ici :
https://youtu.be/84TUek4OO0s
En savoir plus sur Tanium et nous contacter pour toute question ou assistance à l’adresse CRA@tanium.com.
Titre : Lutter contre les défis informatiques et cybernétiques auxquels sont confrontés les cabinets d’avocats - Une table ronde
Panelistes en vedette :
Arlan McMillan
Directeur de la sécurité (CSO) pour Kirkland & Ellis LLP
Daanish Samadmoten
Conseil chez Fasken LLP
Aniket Bhardwaj
Vice-président, Détection et réponse aux cybermenaces chez CRA
Carlo Lakay Directeur
adjoint, Service d’expertise légale, CRA
Ellen McDonald
Directeur juridique chez Tanium
Shawn Surber
VP, Bureau du RSSI, Tanium
Shawn Surber : accueillez tout le monde à ce webinaire sur les défis informatiques et de cybersécurité/d’hygiène cybernétique auxquels les cabinets d’avocats sont confrontés aujourd’hui.
Je m’appelle Shawn Surber. Je suis vice-président des solutions techniques du bureau du RSSI chez Tanium, et nous avons un excellent panel aujourd’hui prêt à vous parler de certaines études de cas spécifiques, de certaines meilleures pratiques et de ce que vous pouvez faire pour vraiment aider vos environnements à protéger vos actifs informatiques internes et à vous défendre contre les attaques des acteurs malveillants.
Nous parlerons des raisons pour lesquelles les cabinets d’avocats sont des cibles privilégiées pour les acteurs malveillants, du type de données dont nous parlons ici. Et puis, comme je l’ai dit, vous donner ces recommandations tactiques et stratégiques pour l’amélioration, etc.
Donc, pour commencer, allons-y et demandez à tout le monde de faire un tour de présentation rapide afin que vous sachiez qui est dans votre panel aujourd’hui. Nous allons donc commencer par Arlan McMillan, directeur de la sécurité informatique chez Kirkland & Ellis LLP.
Arlan McMillan : Bonjour. Merci de m’avoir invitée à travailler comme RSSI pour Kirkland et Ellis. Ancien RSSI de direction à United Airlines City of Chicago. Et je pense qu’il y a environ 25 ans maintenant dans la technologie et la sécurité.
Ellen McDonald : Bonjour et bienvenue dans ce panel et merci de m’avoir incluse. Je m’appelle Ella McDonald. Je suis le directeur juridique de Tanium. Je suis avocat depuis de nombreuses années et j’ai travaillé auparavant dans des cabinets d’avocats tels qu’Orrick, Herrington et Sutcliffe.
Daanish Samadmoten : Matin tout le monde. Bonjour, je m’appelle Daanish. Je suis avocat chez Fasken Martineau DuMoulin, nous sommes un cabinet d’avocats à Toronto. J’agis fréquemment en tant que coach en cas de violation en ce qui concerne les questions de cybersécurité.
Aniket Bhardwaj : Merci Shawn, bonjour à tous. Merci de m’avoir reçu Aniket Bhardwaj. Je suis vice-président de nos services de réponse aux incidents et de détection des menaces chez Charles River Associates et nous travaillons avec les clients pour les aider à répondre aux incidents, à répondre aux violations et à travailler avec eux du point de vue de la pré-incident pour les aider à améliorer leur posture de cybersécurité.
Carlo Lakay : Merci Shawn, bonjour à tous. Je m’appelle Carlo Lakay. Je suis directeur associé chez Charles River, alors voyez que je suis impliqué dans l’informatique légale, la réponse aux incidents, la cybersécurité depuis plusieurs années.
Mon rôle principal est d’aider Aniket à aider les clients à améliorer leur posture de cybersécurité ainsi qu’à enquêter sur les cyberincidents.
Shawn Surber : Très bien, merci à tous de nous avoir rejoints aujourd’hui et nous allons juste nous lancer car je sais que tout le monde veut aller à la surface du sujet.
Aniket et Carlo, nous allons commencer avec vous. Donc, d’après un POV de conseil, quels sont, selon vous, les lacunes critiques en matière de cybersécurité pour les cabinets d’avocats qui ont le plus besoin de traiter ?
Et pourriez-vous nous guider dans certaines études de cas ? Je sais que vous souhaitez parler de Panama Papers. Certaines des activités notPetya et des cas d’utilisation Accellion pour illustrer ces points.
Aniket Bhardwaj : Absolument, donc comme vous le savez, nous sommes maintenant touchés par des incidents de sécurité provenant d’acteurs de menace financièrement motivés et parrainés par l’État. Il s’agit d’un problème grave et, en tant que communauté, nous devons y remédier.
La question est vraiment de savoir dans quelle mesure vous prenez cela au sérieux ? Je veux dire qu’il existe évidemment de nombreux outils disponibles sur le marché pour que les organisations résolvent le problème, gardent une longueur d’avance et réduisent le risque de cyberattaques.
À notre avis, la réalité est assez différente. Le problème de notre point de vue réside vraiment dans le fait que les bases ne sont pas bien faites.
Les organisations n’ont pas une visibilité complète sur les utilisateurs et les actifs qui sont utilisés. Il y a toujours un ensemble de serveurs ou de systèmes dans une armoire informatique qui ne sont pas visibles dans la plupart des cas et qui ne sont donc pas corrigés. Ou, comme je l’ai dit précédemment, non visible pour les administrateurs.
Ainsi, grâce à nos enquêtes, nous voyons l’utilisation de systèmes et d’applications vulnérables non visibles pour les équipes, ce qui crée en fait un défi sérieux à un niveau fondamental.
Ces applications vulnérables sur des systèmes non gérés mènent vraiment à la aire de jeu idéale pour que les acteurs malveillants compromettent l’environnement. En réalité, ces systèmes non corrigés et ces vulnérabilités manquantes sont ce que les acteurs du thread exploitent.
Pour contextualiser le problème autour des correctifs non appliqués, laissez-moi attirer votre attention sur deux incidents majeurs.
Le premier est le ransomware notPetya il y a cinq ans en 2016 et le second est la base de données Accellion compromise par les acteurs malveillants en raison d’une autre vulnérabilité connue.
Le thème commun des deux incidents est que les correctifs ont été publiés au moins mois avant d’être réellement exploités par ces acteurs malveillants.
Nous avons vu un thème similaire dans le compromis MSP Kaseya le mois dernier, plus tôt cette année. Mais encore une fois, nous aurions pu réduire les dommages qu’ils ont causés aux organisations si cette hygiène de sécurité était à jour.
Maintenant, le problème fondamental que je vais souligner est que les bases ne sont pas bien faites, alors quelle est la solution ?
Bien, obtenons les bases en maintenant une cyberhygiène solide de l’environnement et nous discuterons tout au long de ce panel de certaines des recommandations et stratégies clés pour vraiment traiter ces domaines, mais pour l’instant, je vais laisser Carlo vous guider à travers l’étude de cas des Panama Papers à un très haut niveau pour discuter de ce qui s’est vraiment mal passé, de la manière dont l’ensemble de l’incident aurait pu être évité.
Nous discuterons ensuite de la manière dont l’hygiène de la sécurité joue un rôle crucial dans la réduction des risques liés à la cybersécurité, jusqu’à vous Carlo.
Carlo Lakay : Merci Aniket. Ajoutez simplement cela afin que les Panama Papers soient un cyber-incident bien médiatisé qui s’est produit pendant 2016.
Maintenant, je pourrais parler très longuement de ce sujet, mais dans l’intérêt du temps, je vais fournir un bref résumé de l’incident et examiner ce qui s’est mal passé. Quelques mesures raisonnables qu’un cabinet d’avocats ou une organisation aurait pu prendre pour réduire les risques qui conduisent à des cyber-incidents.
Ainsi, ce qui s’est trompé si horriblement et qui a entraîné cette violation ne pouvait être décrit que comme un échec grâce à une bonne hygiène de sécurité appliquée, comme Aniket l’a mentionné, et une bonne hygiène de sécurité est finalement la base d’un programme réussi de gestion des incidents et des menaces.
Ainsi, les Panama Papers ont techniquement fait référence à environ 11 millions et demi de documents confidentiels privilégiés qui ont été divulgués d’un cabinet d’avocats basé au Panama à la suite d’un cyber-incident. Ces fuites comprenaient environ 2,6 téraoctets de données, y compris des informations privilégiées et confidentielles sur les clients dans des e-mails, des fichiers de base de données, des PDF, des documents texte, etc.
Les failles de sécurité qui ont entraîné cet incident sont quelques domaines d’hygiène de sécurité de base qui manquaient :
- Ils avaient plusieurs problèmes d’hygiène, tels qu’un cadre Web public gravement obsolète et vulnérable et d’autres systèmes publics qui n’avaient pas été corrigés
- Ils disposaient d’une version mise à jour d’Oracle Software qui a exposé leurs bases de données internes
- Ils avaient des vulnérabilités d’injection SQL exploitables, et les chercheurs ont trouvé au moins quatre variantes différentes de chevaux de Troie d’accès à distance ou ce que nous appelons des « rats » dans leur environnement lorsqu’ils ont effectué l’analyse des incidents
Malheureusement, ces incidents ne sont pas propres à ce cabinet d’avocats basé au Panama. Comme Aniket l’a mentionné, il y a eu des incidents récents beaucoup plus proches de chez lui avec notPetya et Accellion.
Donc, pour résumer, l’instance Panama, il y avait un manque clair de visibilité dans l’ensemble du domaine avec des correctifs manquants, plusieurs vulnérabilités, un réseau plat avec une mauvaise segmentation, et aucune capacité de endpoints ou de détection des menaces dans leur environnement. Et un tel environnement du point de vue des acteurs malveillants est au moins la cible idéale des fruits à faible exposition, et cela aurait pu être évité en appliquant une hygiène de sécurité de base qu’Aniket va élucider un peu plus loin.
Aniket Bhardwaj : Merci Carlo. Comme vous pouvez le voir, l’impact est vraiment énorme, énorme, énorme pour quelque chose qui aurait pu être évité.
Maintenant, vous vous demandez peut-être tous comment résoudre ce défi sérieux auquel nous sommes confrontés en ce moment. Permettez-moi donc de vous expliquer rapidement et très haut niveau quatre éléments du point de vue du maintien d’une bonne hygiène de sécurité :
- Maintenez une visibilité complète des actifs informatiques : savoir quels ordinateurs, systèmes et logiciels s’exécutent sur votre réseau et vous demander vraiment qui les possède, les gère et les maintient à un niveau très élevé.
- Gestion des risques tactiques : testez vraiment la conformité et pas seulement une évaluation NIST à cocher. C’est quelque chose que nous voyons très courant dans l’ensemble du secteur, que, oui, nous avons effectué une évaluation de cybersécurité du NIST, mais qu’en fin de compte, ils sont toujours compromis. C’est vraiment comme adopter l’approche tactique, puis cartographier ces résultats dans un cadre tactique. Donc, une approche hybride de notre point de vue. Donc, la question que vous pourriez poser est « oui, nous avons le processus de gestion des correctifs, mais testez-vous l’efficacité du processus de gestion des correctifs ? » Alors, faites confiance, mais vérifiez.
- Protection des données sensibles : concentrez-vous sur la visibilité des activités qui aident également à traiter le risque de menaces internes. Quelques questions que vous pourriez poser : « Savez-vous où résident les données sensibles dans votre environnement ? » Est-il accessible uniquement aux personnes appropriées ou voyez-vous également d’autres activités ? Pouvez-vous ensuite le détecter et l’empêcher de quitter votre contrôle ? » Donc, un peu comme lier ces trois éléments ensemble.
- Réponse efficace aux incidents : êtes-vous alors en mesure de mettre en place une réponse efficace et efficiente à une cybercriminalité ? Avez-vous vraiment des procédures et des ressources en place pour pouvoir ensuite traiter un incident ?
Donc, garder ces quatre choses à l’esprit m’amène à la conclusion rapide de notre point de vue et revenir au thème que nous avons abordé ici est que les organisations doivent vraiment travailler en obtenant les bases correctes et en maintenant essentiellement une visibilité complète sur les actifs, les endpoints, les serveurs et les systèmes, et en établissant vraiment une bonne cyberhygiène de notre point de vue.
Encore une fois, comme nous devons nous en souvenir, nous ne pouvons protéger que ce qui est visible et donc nous concentrer sur le maintien d’une visibilité complète.
Alors, revenons à vous, Shawn, et merci encore.
Shawn Surber : En d’autres termes, c’est vraiment intéressant pour moi en tant que praticien de la cybersécurité depuis près de 20 ans que ces incidents d’il y a cinq ans soient toujours si pertinents aujourd’hui. Les événements continuent à se produire et il faut souvent des mois ou des années pour comprendre pleinement leur impact.
La cybersécurité est donc à l’avant-garde partout. Tout le monde y pense. C’est au niveau du conseil d’administration, c’est au niveau du partenaire, n’est-ce pas ? Mais nous ne constatons pas d’amélioration massive de la cyberhygiène dans la plupart des organisations.
Arlan poursuivons avec vous. Alors, quels sont selon vous certains des défis les plus urgents auxquels sont confrontés les RSSI de cabinets d’avocats aujourd’hui ?
Arlan McMillan : Bien sûr, vous connaissez donc certains des plus grands défis que vous connaissez, du point de vue le plus fondamental des défis au sein des cabinets d’avocats. Et vous ne le voyez pas tant avec votre AmLaw 20 ou même avec AmLaw 50. Je vais le voir peut-être un peu en dessous, et c’est tout simplement appréciant, que bien qu’il s’agisse de cabinets d’avocats, ils dépendent également fortement et sont à bien des égards des entreprises technologiques. N’est-ce pas ?
Les bases ont changé et je pense que la plupart des gens l’apprécient vraiment aujourd’hui, mais ils mettent en pratique cette appréciation. En fait, faire les investissements, hiérarchiser le travail nécessaire est un domaine dans lequel certains cabinets d’avocats ont du mal.
Désormais, chaque cabinet d’avocats individuel aura ses propres raisons individuelles pour lesquelles c’est le cas, mais je pense qu’il y a une ligne de passage en dehors de l’AmLaw 20. Maintenant, nous élargissons cela, certaines des choses spécifiques sont des menaces un peu plus tactiques auxquelles les cabinets d’avocats sont confrontés.
Le numéro un est la divulgation accidentelle. Vous savez qu’il y a une phrase lorsque vous entendez des battements de sabot. Ne pensez pas que les zèbres pensent les chevaux. Vous savez que les zèbres sont la cyber, mais les chevaux sont généralement la réalité. La plupart des mauvaises choses se produisent à cause d’accidents, pas parce qu’un pirate informatique venant d’un autre pays ou du sous-sol d’une personne.
Ainsi, la divulgation accidentelle : tout ce qui concerne votre personnel/processus/technologie pour s’assurer que les données sont correctement gérées, étiquetées, traitées et que tout le monde est formé aux bonnes pratiques est un point de départ extrêmement important.
Nous pourrions parler d’éthique, de clauses types, disons de l’ABA que ce sont des choses que vous devez faire de toute façon. Vous pouvez le relier à cela, mais au-delà, il existe beaucoup de bonnes pratiques pour vous familiariser avec les aspects opérationnels.
Si vous souhaitez passer à une perspective de menace, il existe deux principaux types de motivations. Vous pouvez les trancher et les couper un peu plus en profondeur, mais à un niveau élevé, deux motivations principales : l’une consiste à monétiser vos informations ou vos systèmes. Ou l’autre est l’espionnage et qui pourrait être parrainé par l’État ou l’espionnage industriel et, selon où vous vous trouvez dans le monde, ceux-ci sont uniques.
Maintenant, ils peuvent sembler un peu ‘007’, ils peuvent sembler ésotériques, mais ce n’est pas le cas. Elles se produisent absolument fréquemment pour les organisations du monde entier, y compris les cabinets d’avocats.
Alors, à partir d’une monétisation, comment voyez-vous cela ? Eh bien, vous voyez que dans les rançongiciels, tout le monde a entendu parler des rançongiciels. Leur objectif principal est de gagner de l’argent en prenant vos données en otage système, tandis que leur objectif secondaire est également de gagner de l’argent sur les données qu’ils auront retirées de votre organisation à laquelle ils ont accès. Et si vous ne leur donnez pas ce qu’ils demandent, un prix négocié, ils publient toutes ces informations et essaient de vous mettre dans l’embarras, vous et vos clients.
Tout cabinet d’avocats qui ne peut pas démontrer qu’il maintient la confidentialité de ses clients aura des difficultés.
Sur la monétisation, avez-vous des IPI ? Si vous disposez d’informations de carte de crédit ou d’informations personnelles dans le cadre d’un litige, par exemple, ce sera quelque chose qui intéresse les mauvais acteurs.
Donc, en passant à l’espionnage industriel, il est bien connu et les agences de renseignement l’ont dit. Les États-Unis, le Royaume-Uni et les grands Cinq yeux disent cela depuis longtemps. Il existe divers États-nations qui poursuivent agressivement le vol d’informations et de données de tous les types de secteurs et de tailles d’organisation.
Les cabinets d’avocats sont inclus. Vous représentez un client où une nation s’intéresse à cette technologie ou à ce secteur, considérez que vous risquez d’être ciblé. Vous, le cabinet d’avocats. Ce n’est pas seulement ce secteur, ce n’est pas si bien.
Il s’agit donc d’espionnage industriel. Il s’agit d’acteurs de l’État-nation. C’est une variété d’autres. Il y a un déni de service de la part d’activistes ou de hacktivistes que vous représentez peut-être un client qui n’est pas reconnu dans les médias. Et ensuite, les pirates informatiques viendront vous chercher pour vous mettre dans l’embarras. Il en existe d’autres également, mais ils sont un peu plus bas sur la chaîne alimentaire.
Encore une fois, la monétisation et l’espionnage industriel sont mon top 2.
Shawn Surber : D’accord, merci monsieur. Vous dites un bon point. Vous savez, j’ai entendu dire pendant des années que « hé, nous sommes tous dans l’informatique maintenant », vous savez. En d’autres termes, la sécurité informatique relève de la responsabilité de chacun.
C’est l’une des raisons pour lesquelles les organisations consacrent autant de temps, d’argent et d’efforts à l’éducation des employés. Mais les problèmes persistent.
J’ai toujours pris le point de vue d’éduquer les employés, mais puis j’ai renforcé cela avec des contrôles techniques efficaces, car nous devons fournir cela parce que cela va se produire, n’est-ce pas ?
Donc Daanish et Aniket en ce qui concerne l’exemple des Panama Papers, pensez-vous que le manque de contrôles de cybersécurité et de protection des données indique des défis auxquels le secteur juridique est confronté dans son ensemble ?
Aniket Bhardwaj : Oui, comme je l’ai brièvement mentionné précédemment, de notre réponse à une série de cyber-incidents à l’échelle mondiale, ce que nous avons vu est, en quelque sorte, la raison fondamentale à la fin de la journée, le compromis s’est réellement produit et je pense que ce que nous voyons vraiment est - je reviendrai à mon point que j’ai fait précédemment - vous avez des systèmes ou serveurs non corrigés ou non corrigés situés dans votre environnement ou dans des applications tierces, puis des vulnérabilités qui introduisent ensuite des risques supplémentaires.
Donc, du point de vue d’un acteur malveillant, vous savez qu’une fois qu’ils prennent pied dans votre environnement, et je pense que nous entendons cela depuis des années, supposons que le compromis va se produire. Par exemple, si vous traitez avec une entité parrainée par l’État, elle trouvera des moyens de compromettre l’environnement.
Maintenant, la question devient vraiment, quand pouvez-vous les détecter ? Ou pouvez-vous créer peu de surface d’attaque pour eux afin qu’ils soient ensuite en mesure de compromettre les systèmes et les comptes d’utilisateur ?
Donc, à un niveau très basique, c’est pourquoi j’ai mentionné plus tôt, vous savez que les bases ne sont pas bien faites ? C’est notre découverte générale. Vous pouvez dépenser des millions de dollars dans une gamme d’outils, d’analyses, de plateformes SIM, d’agrégation ou de collecte de journaux différents, puis placer des équipes savamment maniables autour de l’ensemble des systèmes d’un point de vue mondial.
Mais encore une fois, s’il y a nos vulnérabilités qui ne sont pas traitées pendant des mois ou des jours, cela crée une fenêtre que l’acteur de la menace recherche vraiment et je donnerai un exemple rapide avant de la passer au danois.
Comme vous vous en souvenez, littéralement le mois dernier, la violation du MSP Kaseya a de nouveau été traitée ou publiée dans le public 3 avril. Maintenant, vous revenez trois mois plus tard 3 juillet, donc ils avaient environ trois mois pour y répondre, et encore une fois, je ne dis pas nécessairement avec le fait que, mais c’est un problème courant que nous voyons en général, non seulement avec eux, mais plus de 85 % des organisations dans le monde.
Donc, de notre point de vue, c’est le véritable défi auquel nous sommes confrontés. Nous devons suivre le processus de gestion des correctifs très, très soigneusement. Évidemment, vous ne souhaitez pas supprimer vos systèmes en appliquant un correctif qui pourrait introduire des risques supplémentaires, il s’agit donc vraiment d’équilibrer votre visibilité ou votre processus de gestion des correctifs et de le lier à un processus que vous pouvez suivre régulièrement.
À vous, Daanish.
Daanish Samadmoten : Bien sûr, merci.
Donc, pour revenir à la question de Shawn, je pense que les défis auxquels sont confrontés les cabinets d’avocats sont les mêmes que ceux auxquels est confrontée toute organisation, mais ils en ont également d’autres. Certains de ceux qu’Arlan a mentionnés.
Vous savez que vous serez également ciblé si vos clients sont impliqués dans quelque chose en particulier. Il y a même dix ans, des rapports de grands cabinets d’avocats au Canada ont été ciblés suite à un accord pour une grande entreprise agricole qui était ciblée. Ils avaient utilisé leurs cabinets d’avocats pour effectuer évidemment la transaction de vente et il y a eu des rapports selon lesquels des acteurs associés à l’État chinois ont piraté ces cabinets d’avocats pour essayer de trouver des informations sur l’accord, peut-être pour des raisons concurrentielles pour faire leur propre offre, ou pour quelque raison que ce soit.
Donc, c’est il y a dix ans maintenant. C’est une longue période.
Les Panama Papers en sont un autre exemple, n’est-ce pas ? Les cabinets d’avocats conservent des données sensibles au-delà des leurs. La plupart des organisations ne détiennent que leurs propres données d’employés ou certaines données de fournisseurs ou d’autres données, mais les cabinets d’avocats sont des maisons de données d’une manière ou d’une autre. Nous détenons des données pour tout le monde, et la confidentialité est l’un des principaux locataires d’être un avocat, car les gens attendent la confidentialité de leur avocat. Évidemment, vous savez le plus important d’un point de vue criminel si vous êtes accusé du crime que vous souhaitez voir confidentiel, mais également d’un point de vue commercial. Si vous ne pouvez pas faire confiance à votre avocat, à qui pouvez-vous faire confiance, vraiment ?
Donc, je pense que les principaux défis auxquels les cabinets d’avocats sont confrontés sont supplémentaires au-delà de ceux auxquels la plupart des organisations sont confrontées, mais ils sont également les mêmes et, comme Aniket l’a dit, d’une perspective plus large, la plupart des organisations sont confrontées uniquement aux problèmes de base, n’est-ce pas ? Et en faisant référence à ce que Shawn a dit, l’erreur humaine va toujours se produire et ce qu’Arlan a dit, des choses accidentelles vont toujours se produire. Il s’agit vraiment de la manière dont vous répondez et de la manière dont vous limitez l’impact de ce qui pourrait se passer.
De plus, la plupart des organisations ont des obligations légales en matière de protection de la vie privée, par exemple, de signaler les incidents au gouvernement ou aux régulateurs. Mais les cabinets d’avocats ont des obligations supplémentaires en tant que professionnels réglementés, nous avons donc des règles de conduite professionnelle que nous devons suivre, et ces règles de conduite professionnelle comprennent le signalement à nos clients dans certains cas. Ainsi, en Ontario, par exemple, lorsque je pratique les Règles de conduite professionnelle de la Société de droit de l’Ontario, une règle stipule que vous devez signaler toute erreur ou omission importante qui pourrait nuire à votre client, puis vous devez lui dire qu’il peut demander des conseils juridiques indépendants et que vous ne pourrez peut-être plus agir pour lui.
Contrairement à la plupart des organisations, il suffit de signaler un incident à quelqu’un ou à un régulateur, et c’est une sorte de problème. Vous devez, en tant qu’avocat, leur dire qu’ils peuvent vouloir chercher quelqu’un d’autre pour embaucher quelqu’un d’autre. Vous ne pourrez peut-être même plus agir pour eux, compte tenu de ce que vous savez compte tenu de ce qui s’est passé.
Je pense donc qu’une violation d’informations confidentielles relèvera sans doute de ce type d’obligation. Et, j’ai agi pour de nombreux cabinets d’avocats en ce qui concerne les incidents de cybersécurité, et souvent c’est le point de vue qu’ils ont pris et je pense qu’un régulateur adopterait et, évidemment, je ne connais pas chaque règle de conduite professionnelle dans chaque juridiction, mais je pense que la plupart d’entre eux auront une règle similaire à cet effet. Donc, c’est certainement un défi supplémentaire auquel les avocats sont confrontés que d’autres organisations ne vont pas rencontrer.
Donc, je pense que c’est quelque chose sur lequel nous devons tous nous concentrer, pas seulement les avocats, mais tout le monde.
Shawn Surber Oui, oui, absolument. Et vous avez vraiment découvert quelques points clés à retenir.
Et, en le combinant avec le point d’Arlan, lorsque vous parlez d’espionnage industriel et d’acteurs d’États nationaux, ils trouveront un moyen d’entrer. Ils disposent d’outils et de techniques sophistiqués et d’un accès à des ressources dont vos pirates informatiques moyens ne pouvaient même pas rêver.
Ainsi, minimiser cette surface d’attaque et l’accès à toutes ces données internes et données client est absolument essentiel et vous devez combiner cela avec la capacité de détecter ces activités malveillantes lorsqu’elles se produisent, indépendamment du vecteur d’attaque et de la sophistication des outils utilisés. Cela signifie que nous avons besoin d’une toute nouvelle approche de la détection et de l’isolement au-delà des éléments basés sur la signature auxquels nous sommes tous habitués par le passé.
Donc, passer au niveau supérieur, Daanish et Arlan ensemble. Quelles sont les meilleures pratiques que vous pouvez partager pour répondre aux besoins des avocats qui doivent avoir un accès immédiat à tous ces documents sensibles, à toutes ces informations privilégiées, même lorsqu’ils travaillent dans des environnements de travail distribués et souvent non sécurisés.
Daanish Samadmoten : Il y a beaucoup de choses de base qui remontent à ce qu’Aniket avait dit, n’est-ce pas ? Les choses de base que nous, en tant qu’avocats, ou que nous, ne sommes que des individus du monde moderne, pourrions faire pour prévenir ou avoir les meilleures pratiques.
Donc, une chose que je fais de mon mieux, par exemple, chaque fois qu’un client va m’envoyer une information sensible, je lui ai demandé de la protéger par mot de passe s’il va l’envoyer par e-mail, puis d’envoyer le mot de passe dans un e-mail séparé afin qu’il ne soit pas dans le même e-mail. Ou, s’ils vont m’envoyer l’e-mail, alors envoyez-le via un transfert de fichiers sécurisé ou d’une autre manière, car je pense que les gens utilisent l’e-mail si régulièrement que j’envoie probablement 500 e-mails par jour que vous vous habituez simplement à vous assurer qu’il est sécurisé.
Et, espérons-le la plupart du temps, c’est sécurisé, mais dans cette situation où ce n’est pas le cas, avoir des fichiers protégés par mot de passe peut être vraiment important car l’un des types d’incidents de cybersécurité les plus courants que je traite est la compromission des e-mails, qui est très fréquente parce que l’erreur humaine est très courante, n’est-ce pas ? Parfois, les gens cliquent simplement sur un lien sur lequel ils ne doivent pas cliquer. Peut-être provient-il d’une personne de confiance. Peut-être que quelqu’un que vous connaissez a été compromis.
J’ai reçu des e-mails d’autres avocats sur d’autres aspects des affaires sur lesquelles je travaille, sur lesquels je sais que je devrais m’envoyer un e-mail sur l’affaire sur laquelle je travaille, qui ont été eux-mêmes piratés, puis m’envoyer un e-mail « bon, nous allons devant un tribunal, ouvrir ce document ». Si je n’y ai pas réfléchi deux fois, c’est bizarre qu’ils m’envoient simplement un lien pour ouvrir ce document, mais je sais que cette personne n’est pas comme un inconnu totalement aléatoire. Je sais qui ils sont et il y a de nombreux cas où les gens cliqueront sur quelque chose, puis saisiront leur mot de passe pour télécharger un document, ou quoi que ce soit, ouvriront un message vocal de quelqu’un qu’ils attendent, puis votre e-mail sera compromis et en quelque sorte la plus grande préoccupation juridique qui se présente dans ces cas, souvent, du moins selon mon expérience dans ces cas, lorsqu’un pirate informatique compromet votre e-mail, il peut télécharger l’ensemble du compte de messagerie ou le synchroniser sur son propre ordinateur en raison de la manière dont ils se connectent à l’aide de ces protocoles, ce que nous appelons les protocoles existants comme je les comprends.
Et donc, ce que cela signifie, c’est que même si vous retirez le pirate informatique de votre e-mail en modifiant votre mot de passe ou autre chose, il pourrait théoriquement avoir des copies de toutes les pièces jointes que vos clients vous ont jamais envoyées. Et, si elles ne sont pas protégées par mot de passe, elles peuvent simplement ouvrir la pièce jointe comme vous le pourriez normalement.
Arlan McMillan Oui, oui, absolument oui, oui, la compromission des e-mails est très importante. Vrai. Se produit fréquemment, et je vais faire une recommandation Daanish pour modifier vos procédures ici. N’envoyez pas le mot de passe dans l’e-mail parce que le mauvais gars a téléchargé. Il a maintenant à la fois le document et le mot de passe, alors envoyez le mot de passe par SMS. Envoyez le document, envoyez le mot de passe par SMS.
Je pense que c’est peut-être une chose que j’aurais dû ajouter en haut de la conversation. L’un des plus grands défis pour les cabinets d’avocats est la manière de travailler.
L’e-mail est un canal de communication intrinsèquement non sécurisé. De manière inhérente. Et pourtant, les avocats respirent par e-mail. Ils vivent et meurent par e-mail. Alors, comment créer un environnement où vous avez toutes ces données en un seul endroit. Il est difficile de sécuriser et de maintenir la confidentialité et la sécurité de chacun est un défi. Il existe plusieurs façons de le faire.
Comment faites-vous cela dans un monde mobile est intéressant. Il ne s’agit pas seulement d’un mélange de technologies, mais également d’un mélange de procédures. L’une des procédures les plus importantes que vous pouvez mettre en œuvre est le travail et la vie séparés. Qu’est-ce que je veux dire par là ? Vous avez votre ordinateur de travail. Ne travaillez que sur cet ordinateur. Tout le monde a un téléphone où vous pouvez recevoir votre e-mail, votre e-mail personnel sur votre téléphone. Vous n’avez pas besoin d’obtenir votre e-mail personnel sur votre ordinateur. J’apprécie qu’il soit plus pratique, mais vous n’avez pas besoin de le faire. Si vous faites cela, vous augmentez le risque de compromission de votre ordinateur et donc de compromission de votre entreprise.
C’est donc un aspect procédural, il y a donc à la fois la technologie et la procédure. Vous savez qu’il existe une multitude de choses parmi les cinq et les 10 principales du point de vue technologique.
Plus tôt, c’est Aniket qui a mentionné la cyberhygiène. Appliquez des correctifs à vos systèmes. Premièrement, corrigez vos systèmes. Eh bien, pour corriger vos systèmes, vous devez savoir quels sont vos systèmes. Vous devez avoir de la visibilité. Vous devez connaître votre matériel. Qu’avez-vous sur votre réseau ou vos ordinateurs à avoir sur votre réseau ? Quels logiciels ces ordinateurs exécutent-ils ? Donc, pour bien appliquer des correctifs, c’est la chose la plus importante que vous devez bien faire, le précurseur de cela est que vous devez savoir ce qui existe. Vous devez avoir cette visibilité.
Daanish Samadmoten : Oui, et je n’ai qu’une chose à ajouter, je suppose, à une sous-partie de la question de Shawn sur le travail dans un environnement distribué. Évidemment, la pandémie a conduit à un plus grand nombre de personnes travaillant à domicile que jamais auparavant. Vous savez que je ne dirais pas que le télétravail faisait partie de ma vie régulière avant la pandémie et sera probablement la principale chose que je fais à partir de maintenant, mais cela signifie qu’il y avait beaucoup d’entreprises qui permettaient à leurs employés de travailler à distance de manières et de brosser les données parce qu’ils l’avaient également et qu’ils devaient avoir besoin de faire des affaires au début de la pandémie.
Et donc, évidemment ce que cela signifie, c’est que si vous permettez aux employés d’entrer dans votre environnement à distance, alors quelqu’un d’autre pourrait théoriquement venir à distance également. Et donc, il y a des choses que vous devez faire pour protéger cela. Je laisserai aux experts techniques ce que sont ces choses, mais vous savez qu’il y a certainement des défis qui proviennent de ce nouveau monde du travail à distance dans un environnement distribué et de nombreuses personnes que vous prévoyez de continuer à travailler à distance dans un avenir proche.
Je ne retournerai probablement pas au bureau cinq jours par semaine, donc certainement quelque chose que je pense à faire à l’avenir.
Shawn Surber : Parler comme quelqu’un qui travaille à distance depuis près de 15 ans maintenant. C’est évidemment une priorité pour moi. C’est comme si je devais toujours avoir accès à ce à quoi j’ai besoin d’avoir accès. Je veux que cela soit transparent le plus rapidement possible. Je veux franchir le moins d’anneaux de sécurité possible, mais nous devons absolument avoir ces choses là. Vous savez, les VPN, les solutions SaaS, les solutions de portail, tout doit être soigneusement évalué. Et plus vous les chargez, plus vous prenez de risques. Plus il y a d’utilisateurs.
Arlan, vous avez mentionné les correctifs et je voulais souligner que lorsque nous parlons de ces contrôles fondamentaux, les gens pensent souvent que les correctifs sont des systèmes d’exploitation, n’est-ce pas ? Je dois corriger ma version Windows et des choses comme ça, mais les applications, en particulier les applications Web et ce genre de choses lorsqu’elles sont vulnérables, elles sont tout aussi dangereuses. Ils fournissent autant d’accès aux acteurs malveillants que ces systèmes d’exploitation. Il est donc essentiel de ne pas se contenter de connaître votre matériel, votre système d’exploitation, mais aussi tous les logiciels de votre environnement, sa version et de pouvoir le faire extrêmement régulièrement afin de toujours avoir une bonne vue de votre environnement.
Arlan McMillan : Absolument. Puis-je donner deux exemples à Shawn, très rapidement ? Expérien. Je pense que c’était il y a environ trois ans. La violation d’Experian était due à un site Web exécuté sur l’un de leurs sites Web, avec des logiciels exécutés dessus qu’ils n’avaient pas corrigés. Ce n’était pas le système d’exploitation de ce serveur exécutant le site Web. Il s’agissait du serveur exécutant une application qui n’a pas été corrigée.
Laissez-moi vous en donner un plus récent, et j’oublie le nom de ce logiciel et peut-être que le fournisseur est heureux d’oublier le nom, mais il y a un fournisseur dans l’espace du cabinet d’avocats. Très populaire, largement utilisé, utilisé pour partager des fichiers à distance. Je pense que c’était Accellion. Oui, c’est un système tiers qui est utilisé par de nombreux cabinets d’avocats. Et ce système comportait quelques vulnérabilités. Nous pouvons maintenant parler de la manière dont ils essayaient de faire passer tous leurs clients de cette ancienne plateforme sur leur nouvelle plateforme moderne. Nous pouvons fournir beaucoup de défense à Accellion, mais le fait est que les clients utilisaient cette version et qu’il s’agissait d’une plateforme non sécurisée. A entraîné des violations importantes. La ville de Chicago a été impliquée dans cette violation. Un tas d’informations privées de la ville. Si j’étais toujours là... mais en plus ! Mais je voulais juste donner ces deux exemples, Shawn.
Aniket Bhardwaj : vrai Shawn rapide, et je pense que je vais probablement donner un exemple rapide du point de vue des meilleurs facteurs comme votre question précédente, la Direction australienne des signaux, qui est le bras gouvernemental de la communauté australienne, ils ont en fait ce qu’ils appellent les Essentials 8, je veux dire que toute la liste est en fait essentielle 35 , donc tout le monde peut Google Essentials 8. Et ce dont ils parlent vraiment, c’est le contrôle des applications. Corriger vos applications. Assurez-vous de configurer les paramètres de macro Microsoft Office de manière appropriée. Renforcement de l’application utilisateur. Restriction des privilèges administratifs. Je pense qu’il y a ensuite des correctifs sur les systèmes d’exploitation, puis enfin l’authentification et les sauvegardes multifacteurs.
Donc, comme vous pouvez le voir, ce sont des choses très basiques/minimales, ce que je pense du point de vue de l’endroit où les organisations peuvent commencer. C’est en fait une assez bonne liste à suivre assez tactiquement, puis commencez à prendre les éléments un par un en fonction du modèle de maturité global que vous ciblez à la fin.
Donc, juste un peu comme votre question ensemble, donc je voulais en parler.
Shawn Surber : Ouais, ouais, absolument. Et que vous regardiez l’Essential 8 ou les principaux contrôles CIS, ils entourent fondamentalement exactement la même chose. Sachez ce que vous avez sur votre environnement, corrigez-le, analysez-le régulièrement, assurez-vous de contrôler les privilèges administratifs, car ce sont les manières dont les méchants vont entrer en jeu.
Et les partenariats que vous appeliez Arlan et les attaques de la chaîne d’approvisionnement qui sont récemment entrées en jeu, ainsi que cette hausse massive des attaques de ransomware, créent des vecteurs supplémentaires. D’autres choses qui vous préoccupent, et une chose que je veux également souligner, c’est que les ransomwares auxquels tout le monde pense, oh, vous savez qu’ils verrouillent la machine et vous savez maintenant que je dois faire des sauvegardes, oh, je dois payer pour déverrouiller les machines, oh, est-ce le seul endroit où les données vivent...
Eh bien, les rançongiciels ne se contentent pas de chiffrer les données, ils les volent également. Et donc, c’est l’une de ces situations où les méchants peuvent doubler leur monétisation, n’est-ce pas ? Ils obtiennent de l’argent de la victime et ils peuvent vendre les données des victimes même s’ils obtiennent cet argent.
Ce sont donc beaucoup de choses sur lesquelles nous devons avoir un point de vue sur la manière dont nous protégeons nos environnements.
Mais je veux changer légèrement de vitesse ici, donc Ellen, je vais vous amener dans la conversation ici. Du point de vue du directeur juridique, quels sont certains des domaines de la confidentialité des données de sécurité informatique, et cetera, qui vous concernent le plus et comment vos responsabilités se chevauchent-elles avec celles du DSI, du RSSI et d’autres ?
Ellen McDonald : Bien sûr, merci pour la question.
Donc, vous savez en tant que directeur juridique, vous êtes souvent, comme je le suis, également le directeur de la conformité. Il est donc très important de pouvoir remplir ce rôle et de nous assurer que nous avons une longueur d’avance sur leurs exigences en ce qui concerne les données que nous avons en interne.
Vous savez, nous travaillons avec le RSSI et le DSI pour nous assurer qu’ils en font la partie technologique, mais en tant que directeur juridique, je dois être conscient de la vaste prolifération de différentes lois sur la protection de la vie privée, qui, comme nous le savons tous, s’est accélérée à une vitesse cardiaque au cours des deux dernières années. Elles sont souvent conflictuelles. Elles diffèrent souvent. Ils ont des définitions différentes de ce qui constitue des IPI. Ils ont des exigences différentes quant au type de divulgation qui devrait être effectué s’il y avait un type de violation, il est donc très important de travailler avec le RSSI et de travailler avec le DSI pour nous assurer que nous savons où se trouvent ces données. Nous savons où il est stocké, nous savons qui y a accès. Nous savons sur quels endpoints il s’agit, de sorte que s’il y avait une violation, nous serions en mesure de remédier rapidement non seulement, mais aussi d’être conformes aux exigences de divulgation, ce qui peut souvent être extrêmement court pour pouvoir aller aux autorités appropriées.
Et évidemment, les États ont également augmenté compte tenu du niveau des amendes qui sont associées à ces lois sur la protection de la vie privée. Comme tout le monde le sait, le RGPD a d’énormes amendes potentielles qui lui sont associées, c’est donc certainement un domaine de préoccupation plus important pour les Directeurs juridiques.
Il s’agit également d’un domaine d’intérêt de plus en plus important pour les conseils d’administration. Notre comité d’audit souhaite des lectures fréquentes de notre position en ce qui concerne ces efforts conformes, et il souhaite savoir exactement ce que nous faisons pour être proactifs afin de prendre de l’avance sur ces risques et de s’assurer que si quelque chose se produit, nous serons en mesure de répondre.
Et, même en écartant le problème de violation, il existe d’autres systèmes réglementaires que les personnes peuvent devoir respecter, y compris PCI, HIPAA, Sox, donc encore une fois, nous devons savoir où se trouvent ces données afin de nous assurer que nous sommes conformes.
Et l’autre chose que je noterais également est qu’il s’agit d’une sorte de question double, car non seulement je suis inquiet, dans mon cas, de ce que Tanium fait et de la manière dont nous sommes conformes, mais je suis en tant que directeur juridique, je suis un consommateur de services de cabinets d’avocats. Et donc, ce sont mes conseillers de confiance. Je veux dire entre 30 et 40 conseillers externes sur lesquels je compte. Certains sont aussi grands que Kirkland et d’autres sont assez minuscules, et je pense que de plus en plus, ce que vous verrez, c’est lorsque les directeurs juridiques ou les services internes s’adressent aux cabinets d’avocats d’appel d’offres, nous allons vouloir savoir comment protégez-vous nos données ? Comment vous assurez-vous que s’il y avait un problème, il pourrait être corrigé, et je pense que cela sera une priorité croissante.
L’autre chose que je noterais également, et je partage un peu cela, Tanium en tant que société de logiciels de cybersécurité, a un risque élevé de réputation qui pourrait être compromis s’il y avait une violation et que je mets un peu dans cette même catégorie. Vous savez, pour le meilleur ou pour le pire, nous avons tendance à placer les cabinets d’avocats sur une position différente. Ils ont des exigences éthiques, et même si tous les membres de l’écosystème doivent être conscients de ces problèmes et les anticiper, je pense que le risque de réputation qui pourrait incomber à un cabinet d’avocats ayant ces problèmes peut être plus gênant qu’il ne l’est dans d’autres secteurs similaires à une société de logiciels de cybersécurité.
Shawn Surber : Excellent, merci. Nous avons une dernière chose que vous venez d’évoquer qui m’a fait réfléchir. Je voulais étendre la question à l’ensemble du groupe, puis nous essaierons de répondre à quelques questions du public en général, donc ceux d’entre vous qui écoutent ici si vous avez des questions, n’hésitez pas à les saisir dans le chat et nous essaierons d’en répondre à quelques-unes à la fin.
Alors Ellen, vous avez évoqué beaucoup de réglementations et de préoccupations, et donc avec les cabinets d’avocats, vous avez non seulement vos propres réglementations et lois, vous devez vous inquiéter, mais les réglementations sectorielles individuelles de vos clients, n’est-ce pas ? Donc, essentiellement, vous devez connaître chaque loi, chaque réglementation et être prêt à y réagir, n’est-ce pas ? Comment cela affecte-t-il chacun d’entre vous de votre point de vue concernant les notifications de violation, les divulgations et simplement la protection globale de ces données ? Faites-vous quelque chose de différent en 2021 que dans les années précédentes ?
Ellen, tu veux nous donner un coup d’envoi ?
Ellen McDonald : Oui, tu sais une chose. Je le noterais et j’aime le fait que j’ai mentionné plus tôt que je suis avocat depuis longtemps. Mais vous savez, lorsque j’ai trouvé les seules choses qui vous inquiétaient où, comme les dictaphones et peut-être un Palm Pilot, n’est-ce pas ?
Donc, cela a la prolifération des appareils et les cabinets d’avocats élargissent également leurs services, donc nous avons beaucoup parlé d’e-mail, et c’est évidemment une préoccupation, mais ce n’est pas seulement un e-mail. Je veux dire, j’utilise l’une de mes principales entreprises disposant d’une data room que nous utilisons lorsque nous effectuons un financement. Donc, ce n’est pas seulement que nous sommes potentiellement protégés et que nous recevons des informations par e-mail, mais littéralement j’ai tous les documents de mon conseil d’administration dans une salle de données hébergée par mon cabinet d’avocats. Si cela devait être compromis, les résultats pourraient être catastrophiques.
Arlan McMillan : Oui, je pense absolument que la seule chose à y ajouter est numérisée. Tout est numérisé, même le document que vous numérisez maintenant, n’est-ce pas ? 100 %, n’est-ce pas ? Oui, nous faisions des transcriptions à partir de la bande magnétique de l’ancienne école. Il est difficile de pirater la bande magnétique. Bien, tout est numérisé et pour aller tout droit au tout premier point que j’ai mentionné, c’est qu’il nécessite ce changement mental, cette transformation de la compréhension que le paysage dans lequel nous travaillons a fondamentalement changé et que certaines pratiques n’ont pas encore changé.
Alors, comment procéder et moderniser ces pratiques pour refléter non seulement notre environnement technique moderne, mais également le paysage des menaces modernes, et je pense que Daanish que vous alliez ajouter à cela ?
Daanish Samadmoten : Oui, je pense que, comme Ellen l’a mentionné dans le RGPD, a, je pense, encouragé un changement mondial dans la loi sur la protection de la vie privée, car il s’agit d’une loi si robuste avec des amendes si importantes que d’autres juridictions qui souhaitaient continuer à faire des affaires avec l’UE.
Il existe une exigence d’adéquation, ce qui signifie que l’UE doit juger en quelque sorte que votre infrastructure ou la gouvernance de la loi sur la protection de la vie privée dans votre pays est adéquate pour des raisons commerciales, et ils ont donné une certaine date limite à certains pays par lesquels ils doivent être considérés comme adéquats, et donc je pense que cela stimule un changement mondial concernant la loi sur la protection de la vie privée.
Au Canada, trois ou quatre lois sont soit introduites, soit complètement révisées, probablement au cours de l’année ou des deux prochaines, et elles seront probablement un peu similaires au RGPD pour les raisons d’adéquation que j’ai mentionnées, mais également parce que les gens se soucient plus de la confidentialité maintenant qu’ils ne le faisaient auparavant.
Avec l’importance de Facebook dans les actualités liées à diverses questions de confidentialité. Google et l’actualité concernaient diverses questions de confidentialité. Je pense que les gens de la société générale se soucient plus de la confidentialité aujourd’hui qu’avant. Et la technologie, comme l’a dit Arlan, est de plus en plus utilisée pour stocker des informations personnelles. Qu’il s’agisse d’informations de santé ou d’informations juridiques, confidentielles ou autres, mais également à utiliser pour stocker uniquement des informations sensibles.
Donc, je pense qu’en 2021 ou au cours des deux dernières années, les organisations ont dû réfléchir beaucoup plus à leur cybersécurité en raison de ces lois. Au Canada, nous n’avions pas l’obligation d’informer quiconque avant le mois de novembre 2019 , je crois, et ce n’est donc que les deux dernières années au cours desquelles il a été tenu de le faire au niveau fédéral. Et avant cela, il y avait un mécanisme de signalement volontaire, mais les gens ne le faisaient pas vraiment très souvent. Mais maintenant, lorsque c’est une chose obligatoire, je pense que les cabinets d’avocats et simplement les organisations accordent beaucoup plus d’attention à la cybersécurité et à la confidentialité des données en général.
Ellen McDonald : Oui. Une autre remarque que je ferais également est que lorsque je venais, il n’y avait rien de tel qu’un avocat en protection de la vie privée. Ce n’était tout simplement pas le rôle, et maintenant mon service juridique est 10 avocats, et nous avons un avocat dédié à la protection de la vie privée, et vous devez le faire en raison de toute la prolifération. Et non seulement les lois arrivent constamment et différentes juridictions à faire à ce stade, nous avons différents États qui réfléchissent à de nouvelles lois en ce moment, mais ensuite nous avons ceux du monde qui les remettent en question et qui remettent tout en péril et vous devez comprendre ce qu’est ce nouveau paysage.
Shawn Surber : Oui, et c’est une chose intéressante, en particulier au sujet du RGPD, car les exigences pour fournir ces données lorsque vous avez une demande d’accès du sujet sont très, très courtes, n’est-ce pas ? Vous devez avoir ces données à portée de main. Et, en général, lorsque vous parlez comme un détaillant ou tout autre type de grande organisation, ils ont la plupart de ces données dans des bases de données, et ils peuvent probablement déterminer où ils ont vos données, où ils ont votre carte de crédit, où ils ont votre adresse, ce genre de choses.
Mais avec les cabinets d’avocats, en parlant de ces documents numérisés et de tous les autres documents électroniques. Vous parlez de millions de fichiers plats où vous pourriez avoir des informations sur les gens. Vous devez être en mesure de trouver cela, immédiatement. Et donc, ce type de capacités d’archivage / d’analyse des données rend vos tâches encore plus difficiles.
Daanish Samadmoten : Bien sûr, juste sur ce dernier point, j’ajouterais vraiment rapidement, les litiges ont considérablement augmenté dans ce domaine en ce qui concerne la confidentialité et les informations confidentielles. Il y a même dix ans, je ne pense pas qu’il y ait eu beaucoup de litiges autour de cela, mais cela a beaucoup augmenté et, pour Ellen, le conseil d’administration a commencé à s’en préoccuper, il y a même des cas de contre les administrateurs et les dirigeants en leur qualité d’administrateurs et de dirigeants en ce qui concerne les incidents de cybersécurité. Je pense donc que les conseils d’administration doivent commencer à s’en préoccuper davantage s’ils ne le font pas déjà, car les litiges boulent de neige en Amérique du Nord, mais également en Europe et partout ailleurs.
Shawn Surber : Oui, absolument. Donc, il ne me reste que quelques minutes, je veux prendre quelques questions de la discussion ici.
Nous avons fait beaucoup de stress sur les contrôles fondamentaux, les correctifs et des choses comme ça. Et donc, j’ai une excellente question ici qui dit que « les cabinets d’avocats n’ont souvent pas de services d’assurance qualité dédiés pour automatiser les tests après les correctifs ou le déploiement, et donc ils ont tous ces différents systèmes qui doivent être corrigés, mais l’application de correctifs peut également souvent être lente à cause de cela, vous ne souhaitez pas risquer vos systèmes. Et ensuite, lorsque vous soufflez quelque chose, vous devez le faire reculer. »
Donc, d’un point de vue technologique, je pense que la chose la plus importante, c’est que vous devez avoir les solutions qui sont efficaces, et auxquelles vous faites confiance, et qui peuvent rapidement déployer et récupérer rapidement des correctifs. Je veux dire, vous devez être en mesure d’avancer rapidement dans ces scénarios, mais vous devez également avoir un processus en place pour effectuer des tests rapides. Et je reconnais que c’est difficile, en particulier dans les organisations piégées par l’informatique.
Arlan McMillan : Je peux partager, Shawn, tous ces outils doivent fonctionner dans un environnement distribué. Et lorsque vous avez des gens à la maison.
Shawn Surber : Carlo, je voulais vous faire revenir dans la conversation ici. Nous n’avons pas entendu parler de vous depuis un certain temps, donc avec les clients avec lesquels vous avez travaillé, les incidents sur lesquels vous avez travaillé, avez-vous quelque chose d’autre que vous aimeriez ajouter à cela ?
Carlo Lakay : Donc, lorsqu’il s’agit d’appliquer des correctifs, comprenez que dans les organisations complexes, le simple fait de pousser un correctif peut briser beaucoup de choses. Vous devez donc comprendre que la correction des correctifs est une partie importante de votre cycle de vie de gestion des vulnérabilités. Vous avez besoin de visibilité sur les vulnérabilités. Vous avez besoin de visibilité sur les systèmes que vous devez corriger. Mais cette visibilité inclut également les systèmes qui peuvent être critiques, qui peuvent être sensibles au déploiement de ce correctif, et ce que vous devez ensuite faire est d’appliquer des atténuations aux systèmes qui peuvent ne pas pouvoir être corrigés très facilement, donc des couches de sécurité supplémentaires doivent être placées autour de ces systèmes pour les protéger davantage. Mais vous devez savoir quels sont ces systèmes, donc tout cela fait partie d’un écosystème de cybersécurité et de sécurité de l’information. Un cycle de vie des pièces interconnectées que vous devez prendre en compte lors de la sécurisation de votre environnement et de ce dont nous parlons est constitué de quelques éléments de base, comme l’application de correctifs, où c’est possible et facile de le faire car ce sont les fruits peu suspendus pour les acteurs malveillants.
Mais dans les cas où vous ne pouvez pas nécessairement corriger, comprenez quel risque est associé au correctif, évaluez-le sans corriger ce système. Que se passe-t-il si quelqu’un y a accès ? Et que pouvez-vous faire d’autre pour sécuriser ce système afin de le rendre moins susceptible d’être la cible d’un acteur malveillant ?
Shawn Surber : Donc, en disant non seulement que vous avez besoin de savoir ce que vous avez dans votre environnement, vous devez savoir ce qu’il y a, vous devez savoir qui l’utilise, vous devez savoir où se trouvent les données, car c’est absolument essentiel. Vous devez être en mesure d’identifier le risque que chaque machine individuelle fournit à votre environnement, puis de vous assurer que vous disposez des contrôles d’atténuation, qu’ils l’isolent dans son propre environnement micro segmenté, comme nous l’avons vu beaucoup de clients lorsqu’ils exécutent toujours des serveurs Windows 2003 et ce genre de choses.
Ils disent : « Nous allons devoir les mettre ici par eux-mêmes parce que nous en avons terminé avec eux » et ils sont toujours vulnérables, donc c’est absolument important.
Dernière question, puis nous allons être à court de temps, et je vous garantis que nous n’avons pas le temps de traiter cela de manière complète, mais la gestion des identités et des accès comme moyen de tenir les acteurs malveillants à l’écart de vos environnements informatiques et de vos données sensibles et de l’ensemble du concept de « Zero Trust ». Comment obtenons-nous une confiance zéro où nous identifions la personne et l’appareil et où nous identifions les ressources auxquelles ils essaient d’accéder et nous assurons que toutes ces choses sont autorisées ?
Je vais ouvrir celui-ci à toute personne qui veut commencer.
Carlo Lakay : Je pourrais donner un aperçu à ce sujet. La gestion des identités et des accès est une bête complexe. Vous avez des systèmes disparates dans toute l’organisation, de votre messagerie, de vos systèmes de stockage ou de gestion de documents aux systèmes tiers, et vous devez comprendre qui accède à ces systèmes ? Qu’y a-t-il dans ces systèmes ? Les bonnes personnes ont-elles le bon accès aux bonnes données au sein de ces systèmes ? Divers réseau complexe de droits et privilèges ou de rôles qui doivent être attribués à ces utilisateurs.
L’IDAM est donc un composant essentiel de tout système de gestion de la sécurité de l’information. Il doit être en place, mais il est incroyablement complexe pour de nombreuses organisations d’avoir l’esprit tranquille. Donc, vous savez qu’une recommandation est comme nous l’avons dit précédemment, quels sont les principes de base ? Que pouvez-vous faire pour protéger vos données critiques ? Vous savez où se trouvent ces données ? Sachez qui y a accès et limitez cet accès, puis descendez à partir de là.
Mais oui, c’est un problème complexe que nous n’avons pas suffisamment de temps pour entrer dans les détails ici aujourd’hui.
Shawn Surber : Oui, c’est un problème complexe et il est difficile à mettre en œuvre, donc les systèmes sont mal mis en œuvre ou pas du tout, n’est-ce pas ?
Aniket Bhardwaj : Exactement et même pour les organisations où nous voyons que cela a été mis en œuvre avec succès, selon eux, nous voyons toujours des cas où les comptes ont été compromis.
Donc, je pense que l’une des recommandations qu’Arlan a évoquées précédemment, et Daanish également, est de tester ce que vous avez et pourquoi nous n’avons pas quelqu’un en interne qui joue le rôle d’un acteur de menace vraiment en train de tester. Est-ce que je vois à quoi ressemble mon terrain de jeu d’attaque en interne ?
L’un des outils open source que nous exploitons généralement, et que nous voyons dans l’utilisation au sein du secteur, est Bloodhound. Je pense qu’ils commercialisent cela également, si je ne suis pas confondu, mais qu’il teste simplement le chemin d’attaque pour l’utilisateur A, l’utilisateur B, à quel système d’application différent il a accès ? Là où tout cet utilisateur peut naviguer sur tout ce qu’il peut compromettre, puis je pense que, comme le point de Carlo, il teste vraiment l’efficacité de vos solutions IDAM en effectuant ces activités.
Je pense qu’il est important de se rappeler que vous pouvez avoir, comme je l’ai mentionné en première ligne dans mon discours, que vous pouvez avoir toutes sortes d’outils sophistiqués dans votre environnement, mais si vous ne testez pas l’efficacité de ce que vous avez et de ce que vous savez, cela n’est pas utile car rappelez-vous que les acteurs malveillants ciblent activement et essaient d’entrer.
Shawn Surber : Oui, absolument nous sommes au sommet de l’heure. Ça vient de passer. Je tiens donc à remercier tout le monde d’avoir participé aujourd’hui. J’aime remercier tous nos panélistes. Une discussion vraiment formidable sur ce sujet aujourd’hui et je veux souligner une dernière chose alors que nous signons que nous avons commencé par parler des violations passées et de leurs causes ? Qu’est-ce qui a eu cet impact ? Et nous avons parlé de la manière d’atténuer ces problèmes ? Comment mettre en place des contrôles efficaces, des politiques efficaces, etc. ?
Et, si vous y allez et que vous regardez et que vous faites correspondre ces choses, je pense que vous verrez que beaucoup de ces violations que nous avons vues par le passé qui ont eu un impact mondial sont éminemment évitables.
Il est donc temps, en tant que professionnels, d’améliorer le jeu et de suivre ceux qui essaient de nous voler.
Alors, merci à tous. Passez une merveilleuse journée et nous vous reverrons bientôt.
