Depuis l’entrée en vigueur, en décembre dernier, des nouvelles règles de la SEC relatives à la divulgation d’informations en matière de cybersécurité, prévues par la loi « » ( ), Hewlett-Packard, Microsoft, UnitedHealth Group et d’autres grandes sociétés cotées en bourse ont publié des informations afin de se conformer à ces dispositions – c’est-à-dire qu’elles ont estimé que certains incidents revêtaient un caractère significatif pour un « investisseur raisonnable », ayant un impact significatif tant sur le plan quantitatif que qualitatif.
Les nouvelles règles de la SEC soulignent l’importance de détailler ces répercussions, exigent une responsabilité claire et, à mesure que les signalements d’incidents s’accumulent, lèvent le voile sur les processus et pratiques de gestion des risques liés à la cybersécurité des entreprises, les exposant ainsi aux yeux de tous.
Elles jouent un rôle majeur dans la récente vague de surveillance accrue et de réglementation , qui oblige les entreprises à mettre de l'ordre dans leur gouvernance cybernétique.
C'est là qu'intervient Jim Mirochnik, associé principal et PDG du cabinet de conseil en sécurité de l'information Halock Security Labs, qui présentera des stratégies et des recommandations lors de son intervention à la conférence RSA de la semaine prochaine, intitulée « Techniques de «» pour faire évoluer la gouvernance des risques et se conformer à la règle de cybersécurité de la SEC ».
Il abordera ce que recouvre la notion de « limite claire du risque acceptable », comment définir le risque total connu, et comment les organisations devraient élaborer une feuille de route pour ramener les risques liés à la cybersécurité à des niveaux acceptables. (The session takes place Tuesday, 7 mai, at 16:15 ET / 13:15 PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
, de Focal Point, s'est entretenu avec M. Mirochnik afin d'avoir un aperçu de sa présentation et d'en savoir plus sur les meilleures pratiques en matière de gouvernance des risques liés à la cybersécurité et de conformité.
(Cet entretien a été modifié pour plus de clarté et de concision.)
L'essor de la gouvernance a entraîné un changement de paradigme majeur dans les pratiques de gestion des risques cybernétiques. Quels sont les principaux changements entre l'ancienne méthode et la nouvelle ?
Nous avons constaté que la norme PCI DSS [la norme de sécurité des données du secteur des cartes de paiement, qui protège les données des cartes de crédit] exigeait un renforcement de la gouvernance. Nous avons pris connaissance du document « NIST CSF 2,0 », [le cadre de cybersécurité révisé de l’Institut national des normes et des technologies (NIST)], publié en août de l’année dernière. Nous avons constaté que cette règle de la SEC en matière de cybersécurité impose désormais une gouvernance renforcée. La question qui se pose donc est la suivante : ils réclament tous davantage de gouvernance, mais qu'est-ce que cela signifie ? Que nous demandent-ils réellement de faire ?
«La question est la suivante : ils réclament tous davantage de gouvernance, mais qu’est-ce que cela signifie ? » Que nous demandent-ils réellement de faire ? »
Ce que je vais vous expliquer lors de ma session à la RSA, c'est qu'en réalité, ce que nous faisions auparavant correspondait à l'ancienne méthode, que l'on appelle « la gouvernance 1,0 ». Nous allons maintenant aborder une nouvelle exigence que nous appelons « Gouvernance 2,0 ». Si l'on examine un modèle simple associant les personnes, les processus et la technologie, dans le cadre de la norme 1,0, du côté des personnes, il n'y avait aucune responsabilité individuelle. Et les gens ont été informés en termes techniques. In governance 2,0, they're asking for clear accountability and ownership all the way to the board and to inform people in business terms.
Nous vous proposons cinq mesures à mettre en œuvre, qui vous permettront d'assurer la validité juridique de vos décisions, de définir clairement les limites du risque acceptable, de bien cerner vos risques connus, d'établir une feuille de route indiquant comment vous comptez atteindre un niveau de risque acceptable, et de rendre compte à la direction. Si vous maîtrisez ces cinq compétences, votre gouvernance passera du niveau 1,0 au niveau 2,0.
Nous proposons désormais non seulement une description de ces éléments, mais également des modèles que les entreprises peuvent utiliser. Bien sûr, vous pouvez visionner une démonstration d'une application qui offre toutes ces fonctionnalités dès son installation, ou bien utiliser gratuitement les modèles proposés.
En quoi consiste la règle de la SEC en matière de cybersécurité et quel sera son impact sur les organisations en termes de conformité ? Cela s'applique-t-il uniquement aux sociétés cotées en bourse ?
Son nom officiel est « Stratégie de gestion des risques liés à la cybersécurité, gouvernance et divulgation des incidents » ; elle s'applique aux rapports d'information destinés aux investisseurs publiés par la SEC. Cela implique la responsabilité, la transparence et la communication avec la direction et le conseil d'administration des sociétés cotées en bourse concernant leurs risques et incidents liés à la cybersécurité.
Elles exigent que l'organisation expose clairement sa stratégie avec suffisamment de détails pour qu'« un investisseur raisonnable puisse la comprendre ». Elles exigent que la direction soit informée des risques et des incidents. Votre conseil d'administration doit prendre des décisions en matière d'investissements et assurer une surveillance d' des risques et des incidents. Eh bien, devinez quoi : pour pouvoir exercer un contrôle, ils doivent comprendre ce que vous leur dites. On ne peut pas gérer ce que l'on ne comprend pas. Notre secteur est confronté à un problème récurrent : le service chargé de la sécurité de l'information doit se présenter devant le conseil d'administration pour obtenir son accord et expliquer la situation. Mais ils ne parlent pas les mêmes langues.
Quels conseils peut-on donner aux organisations pour qu'elles se conforment à la règle de la SEC en matière de cybersécurité ?
Qu'il s'agisse des formulaires 8-K, 10-K ou 20-F, faites appel à une personne capable de vous aider à rédiger correctement vos rapports d'information, afin que vos déclarations reflètent fidèlement vos actions. Car lorsque vous communiquez cela, cela reflète la manière dont vous gérez la sécurité.
«Votre conseil d’administration doit… assurer la supervision des risques et des incidents. » Eh bien, devinez quoi : pour pouvoir exercer un contrôle, ils doivent comprendre ce que vous leur dites. »
La deuxième étape consiste à prendre pleinement conscience que la manière dont vous gérez et administrez la sécurité doit s'inscrire dans une approche de « gouvernance 2,0 », ce qui signifie que la gestion de la sécurité n'est pas un projet : si, une fois par an, vous vous contentez d'établir une liste de projets, de laisser chacun s'en occuper à sa manière et de ne plus y jeter un œil avant l'année suivante, cela ne relève pas de la gestion des risques. Ce n'est pas de la gouvernance en matière de sécurité. Ce que vous devriez faire, c'est disposer d'un registre des risques intégré à une application gérée par une base de données, et à mesure que les informations arrivent, par exemple lorsque les résultats d'un test d'intrusion sont communiqués, celles-ci sont classées par ordre de priorité. Au fur et à mesure que des incidents se produisent, ces risques sont classés par ordre de priorité. C'est un processus en constante évolution.
Gérer la sécurité comme un processus relève de la gouvernance. Ainsi, si le registre des risques est constamment mis à jour, si les plans de remédiation sont actualisés, si de nouveaux risques apparaissent qui supplantent d’autres risques et détournent votre attention de ceux qui sont prioritaires, et si vous procédez ainsi dans le but de ramener les risques à un niveau acceptable au fil du temps, un régulateur ou un avocat chargé d’une affaire contentieuse examinera tout cela et dira : « Vous savez quoi ? » Une faille de sécurité concernant « » s'est produite. « Aucun contrôle n'était en place. » Mais bon, tout n'est pas censé être parfait. Mais le processus se déroule comme prévu. Ils évaluent les préjudices causés à autrui.
Comment les organisations doivent-elles aborder la mise en conformité avec les normes PCI DSS 4,0 et NIST 2,0 ?
Je suis évaluateur de sécurité certifié PCI depuis probablement plus d'une décennie. Et la dernière version de la norme PCI DSS 4,0 continue de placer la barre toujours plus haut. Ce système [vous demande de respecter certains délais pour les tâches, mais] vous oblige essentiellement à définir votre propre rythme [en fonction de vos besoins et de votre environnement]. Cela nécessite une analyse ciblée des risques liés à l' . En réalité, ils disent exactement la même chose que le NIST. Selon le NIST, nous disposons désormais d'une fonction [de gouvernance]. Et ce module comporte des exigences qui précisent comment la mission de l'organisation doit être comprise.
Réfléchissez-y donc. Ils affirment que les responsables de la sécurité de l'information doivent comprendre la mission de l'entreprise — ce qui relève de la gouvernance. Ils demandent au responsable de la sécurité de l'information du NIST de cerner l'appétit pour le risque et le seuil de tolérance, c'est-à-dire : « Quelle est votre limite de risque acceptable, au-delà de laquelle vous prenez des mesures correctives et en deçà de laquelle vous l'acceptez ? » Et ils réclament une méthode standard pour calculer et hiérarchiser les risques liés à la cybersécurité.
De quel type de feuille de route les organisations ont-elles besoin pour réduire les risques liés à la cybersécurité et gérer la conformité ?
C'est sans doute l'un des phénomènes les plus fascinants de notre secteur. Je ne pourrais même pas compter sur les doigts de mes deux mains le nombre de clients qui m'ont dit : « Aidez-nous à définir une feuille de route. » Ils disent : « Lorsque nous nous présentons devant le conseil d'administration, nous ne savons pas quoi leur montrer, car nous nous heurtons toujours au même problème lié aux statistiques. »
«Faites appel à une personne capable de vous aider à rédiger correctement vos rapports de divulgation, afin que vos paroles reflètent fidèlement vos actes. »
Les RSSI souhaitent s'exprimer en termes commerciaux, afin de prendre des décisions. Mais lorsque vous présentez à quelqu'un une feuille de route sur deux ans, celle-ci doit expliquer où vous allez et pourquoi vous vous y rendez. Au cours de la dernière décennie, nous avons aidé nos clients à élaborer des feuilles de route, et voici ce que nous avons constaté : la manière dont vous définissez la feuille de route globale n'est pas si différente des informations dont [nous] avons besoin lorsque nous passons notre [bilan de santé] annuel. Nous aimerions savoir : est-ce que je vais bien ? Et si je ne vais pas bien, comment puis-je aller mieux ? Nous ne souhaitons pas consulter une longue liste de tous les pourcentages et statistiques.
Ce que nous encourageons toujours les organisations à faire, c'est d'aborder ces questions dès le départ. « OK » signifie que nous avons un niveau de risque acceptable. Et ce seuil de risque acceptable correspond à un score quantitatif que les organisations doivent respecter.
Comment la conformité en matière de cybersécurité informatique va-t-elle évoluer à l'avenir ?
Tout d'abord, notre secteur souffre d'un manque chronique de ressources. Il est rare de rencontrer un RSSI à la tête d'une équipe de professionnels de la sécurité de l'information qui affirme n'avoir pas grand-chose à faire ou se trouver actuellement dans une impasse. C'est toujours le contraire. Alors, pourquoi cela se produit-il ? Car il est très difficile de justifier les ressources dont vous avez besoin lorsque vous parlez une langue différente de celle des personnes qui vous fournissent ces ressources.
Par ailleurs, une grande partie de notre secteur n'a pas encore adopté d'application dédiée à la gouvernance, aux risques et à la conformité (GRC). Soit elles sont consignées dans des tableurs, soit elles ne disposent même pas d'un registre des risques. Tout le monde sait qu’une solution GRC pourrait les aider à répondre à en automatisant ce processus de gestion des risques, mais ils sont parfaitement conscients du coût important et de la charge de travail considérable que représente sa mise en place.
Nous avons développé une application appelée « Reasonable Risk », qui vous offre des fonctionnalités nettement plus avancées que la plupart des outils GRC, tout en nécessitant un effort minimal de votre part. Je pense que cela va devenir une tendance, un moyen de passer des tableurs à la gestion des risques, car les utilisateurs vont devoir automatiser ce processus à l'aide d'une application s'appuyant sur une base de données, et non plus à l'aide de tableurs et de fichiers PDF.
Une autre tendance que je constate est la généralisation de la méthode d’analyse des risques liée au devoir de diligence [(DoCRA)] ou d’autres méthodes similaires, qui vous permettent de vous adresser au conseil d’administration et à l’équipe de direction dans un langage qu’ils comprennent. Une bonne analogie serait la suivante : nous avions tous autrefois un dictionnaire, un dictionnaire papier. Ce n'était pas très efficace pour une conversation, puis Google Translate a fait son apparition, ainsi que d'autres traducteurs en ligne. Nous pouvons donc désormais avoir une conversation quasi en temps réel avec quelqu'un, quelle que soit la langue, en traduisant simplement rapidement.
Je pense donc que l’une des évolutions à venir sera que les responsables de la cybersécurité pourront dialoguer avec le conseil d’administration, car ils parleront le même langage, au lieu d’évoquer uniquement les menaces, les vulnérabilités et les répercussions. Et ce faisant, nous pourrons obtenir des ressources, améliorer nos relations et avoir notre mot à dire.
PLUS D'INFORMATIONS SUR LE RSAC 2024
Pour découvrir d'autres moments forts, consultez ces autres entretiens exclusifs avec des intervenants qui se sont exprimés lors de la RSA Conference 2024 et dans le cadre de cet événement :
