Depuis l’entrée en vigueur des nouvelles règles de divulgation de la SEC en matière de cybersécurité en décembre dernier, Hewlett-Packard, Microsoft, UnitedHealth Group et d’autres grandes sociétés cotées en bourse ont fait des divulgations pour se conformer , c’est-à-dire qu’elles ont déterminé que certains incidents sont passés au niveau d’être importants pour un « investisseur raisonnable », ayant un impact important tant sur le plan quantitatif que qualitatif.
Les nouvelles règles de la SEC soulignent l’importance de détailler ces impacts, appellent à une responsabilité claire et, à mesure que les rapports de violation s’intègrent, ramènent le rideau sur les processus et pratiques de gestion des risques de cybersécurité des entreprises pour que le monde entier puisse les voir.
Elles constituent une grande partie de la récente vague d’examen et de réglementation accrus qui obligent les entreprises à rétablir leur cyber-gouvernance.
Entrez dans Jim Mirochnik, associé principal et PDG du cabinet de conseil en sécurité de l’information Halock Security Labs, qui présentera des stratégies et des conseils dans son discours lors de la conférence RSA de la semaine prochaine, intitulée « Des techniques pour faire évoluer la gouvernance des risques et se conformer à la règle de cybersécurité de la SEC ».
Il discutera de ce qu’implique « une ligne claire de risque acceptable », de la manière de définir le risque connu total et de la manière dont les organisations doivent créer une feuille de route pour réduire les risques de cybersécurité à des niveaux acceptables. (La session a lieu le mardi 7 mai, à 16:15 ET / 13:15 PT au RSAC 2024, qui se tient le 6-9 mai au Moscone Center de San Francisco.)
Focal Point s’est entretenu avec Mirochnik pour obtenir un aperçu de sa session et en savoir plus sur les meilleures pratiques en matière de gouvernance et de conformité des risques de cybersécurité.
(Cet entretien a été modifié pour plus de clarté et de longueur.)
L’essor de la gouvernance a forcé un énorme changement de paradigme dans les pratiques de gestion des cyber-risques. Quels sont les principaux changements de l’ancienne façon à la nouvelle ?
Nous avons observé que la norme PCI DSS [Payment Card Industry Data Security Standard, qui protège les données de carte de crédit] exige une gouvernance accrue. Nous avons regardé le NIST CSF 2,0, [le cadre de cybersécurité révisé du National Institute of Standards and Technology], qui est sorti en août de l’année dernière. Nous avons vu que cette règle de cybersécurité de la SEC exige désormais une gouvernance accrue. Et donc la question est, ils demandent tous plus de gouvernance, mais qu’est-ce que cela signifie ? Qu’est-ce qu’ils nous demandent vraiment de faire ?
« La question est qu’ils demandent tous plus de gouvernance, mais qu’est-ce que cela signifie ? Qu’est-ce qu’ils nous demandent vraiment de faire ? »
La façon dont j’en discuterai dans ma session RSA est, vraiment, ce que nous avons fait avant était l’ancienne façon, appelée gouvernance 1,0. Maintenant, nous passons à une nouvelle exigence que nous appelons la gouvernance 2,0. Si nous examinons un paradigme simple de personnes, de processus et de technologie, sous 1,0, du côté des personnes, il n’y avait pas de responsabilité individuelle. Et les gens ont été informés en termes techniques. Dans le cadre de la gouvernance 2,0, ils demandent une responsabilité et une appropriation claires jusqu’au conseil d’ administration et informent les gens en termes commerciaux.
Nous fournissons cinq choses qui peuvent être faites, et ce sont des capacités d’établir une défense juridique, une ligne claire de risque acceptable, la compréhension de votre risque connu, la capacité à fournir une feuille de route qui montre comment vous atteignez un niveau acceptable et les rapports de la direction. Si vous réduisez ces cinq capacités, votre gouvernance passe de 1,0 à 2,0.
Nous fournissons désormais non seulement ce que sont ces choses, mais également des modèles que les entreprises peuvent utiliser. Bien sûr, ils peuvent voir une démo d’une application qui fait toutes ces choses prêtes à l’emploi, ou ils peuvent utiliser les modèles gratuitement.
Qu’est-ce que la règle de cybersécurité de la SEC et comment affectera-t-elle les organisations en matière de conformité ? S’applique-t-il uniquement aux entreprises publiques ?
Le nom officiel est la stratégie de gestion des risques de cybersécurité, la gouvernance et la divulgation des incidents, et il s’applique aux rapports de divulgation de la SEC pour les investisseurs. Cela nécessite une responsabilité, une transparence et une communication avec la direction et le conseil d’administration des entreprises publiques concernant leurs risques et incidents de cybersécurité.
Elles exigent que l’organisation articule clairement sa stratégie de manière suffisamment détaillée pour « un investisseur raisonnable à comprendre ». Elles nécessitent que la direction soit informée des risques et des incidents. Votre conseil d’administration doit prendre des décisions sur les investissements et superviser les risques et les incidents. Eh bien, devinez quoi. Pour qu’ils aient une supervision, ils doivent comprendre ce que vous leur dites. Vous ne pouvez pas gérer quelque chose que vous ne comprenez pas. Nous avons un problème chronique dans notre secteur où nous avons une sécurité de l’information qui va au conseil d’administration pour obtenir l’approbation et expliquer ce qui se passe. Mais ils ne parlent pas les mêmes langues.
Quels sont les conseils pour les organisations sur la manière de se conformer à la règle de cybersécurité de la SEC ?
Qu’il s’agisse des formulaires 8-K, 10-K ou 20-F, travaillez avec quelqu’un qui peut vous aider à formuler correctement vos rapports de divulgation afin que ce que vous dites soit reflété avec précision dans ce que vous faites. Parce que lorsque vous mettez cela sur le marché, c’est une représentation de la manière dont vous exécutez la sécurité.
« Votre conseil d’administration doit... superviser les risques et les incidents. Eh bien, devinez quoi. Pour qu’ils aient une supervision, ils doivent comprendre ce que vous leur dites. »
La deuxième étape consiste à vraiment accepter que la manière dont vous gouvernez et gérez la sécurité doit être effectuée d’une manière ou d’une autre de gouvernance 2,0 , ce qui signifie que la gestion de la sécurité n’est pas un projet : si ce que vous faites une fois par an est de trouver une liste de projets, laissez tout le monde y aller et ne la regardez pas avant l’année prochaine, ce n’est pas la gestion des risques. Ce n’est pas la gouvernance de la sécurité. Ce que vous devez faire, c’est posséder un registre des risques qui se trouve dans certaines applications basées sur des bases de données, et à mesure que les choses entrent, comme un ensemble de résultats de test de plumes pénètre dans votre monde, celles-ci sont prioritaires. Au fur et à mesure que les incidents se produisent, ces risques sont prioritaires. C’est un processus vivant.
L’exécution de la sécurité en tant que processus est la gouvernance. Donc, si le registre des risques est continuellement mis à jour, que les plans de remédiation sont mis à jour, que de nouveaux risques remplacent d’autres risques et remplacent votre attention sur ceux qui sont les plus prioritaires, et que vous le faites dans le but d’amener les risques à un niveau acceptable au fil du temps, un régulateur/contenteur examinera cela et vous dira : « Vous savez quoi ? Une violation s’est produite. Le contrôle n’était pas en place. » Maintenant, les choses ne sont pas censées être parfaites. Mais le processus s’exécute comme il est censé le faire. Ils évaluent les préjudices pour les autres.
Comment les organisations doivent-elles aborder la conformité avec les normes PCI DSS 4,0 et NIST 2,0 ?
Je suis évaluateur de sécurité qualifié PCI depuis probablement plus de dix ans. Et la dernière version de la norme PCI DSS 4,0 continue d’élever la barre. Il [attend de vous que vous respectiez certains délais pour les tâches, mais] vous oblige essentiellement à définir votre propre cadence [en fonction de vos besoins et de votre environnement]. Elle exige une analyse ciblée des risques. Ils disent vraiment la même chose que le NIST. Le NIST dit que nous avons désormais une fonction [gouvernance]. Et ils ont des exigences dans ce module qui parlent de la manière dont la mission de l’organisation doit être comprise.
[Lire également : Racing va déployer GenAI ? La sécurité commence par une bonne gouvernance]
Alors pensez-y. Ils disent que la sécurité de l’information doit comprendre la mission de l’entreprise, qui fait partie de la gouvernance. Ils demandent au responsable de la sécurité de l’information du NIST de comprendre l’appétit et la tolérance au risque, ce qui signifie « Quel est votre niveau de risque acceptable, au-dessus duquel vous corrigez, en dessous duquel vous acceptez. Et ils demandent une méthode standard pour calculer et hiérarchiser les risques de cybersécurité.
Quel type de feuille de route est nécessaire pour que les organisations réduisent les risques de cybersécurité et gèrent la conformité ?
C’est probablement l’un des phénomènes les plus fascinants de notre secteur. Je ne pouvais même jamais énumérer de deux mains le nombre de clients qui ont dit : « Aidez-nous à trouver une feuille de route ». Ils disent : « Lorsque nous nous trouvons devant le conseil d’administration, nous ne savons pas quoi leur montrer, car nous revenons au même problème de statistiques. »
« Travaillez avec quelqu’un qui peut vous aider à formuler correctement vos rapports de divulgation afin que ce que vous dites soit reflété avec précision dans ce que vous faites. »
Les RSSI veulent parler en termes commerciaux, pour prendre des décisions. Mais lorsque vous montrez à quelqu’un une feuille de route de deux ans, vous devez expliquer où vous allez et pourquoi vous y allez. Nous avons passé la dernière décennie à aider les clients à créer des feuilles de route, et voici ce que nous avons vérifié : que la manière dont vous définissez la feuille de route globale n’est pas si différente des informations [que nous] voulons lorsque nous obtenons notre [physique] annuelle. Nous voulons savoir, est-ce que je vais bien ? Et si je ne suis pas OK, comment puis-je aller jusqu’à OK ? Nous ne sommes pas intéressés par une longue liste de tous les pourcentages et statistiques.
Ce que nous encourageons toujours les organisations à faire, c’est de faire face à ces questions immédiatement. « OK » signifie que nous avons une ligne de risque acceptable. Et cette ligne de risque acceptable représente un score quantitatif que les organisations passent par.
Comment la conformité en matière de cybersécurité informatique évoluera-t-elle à l’avenir ?
Tout d’abord, notre secteur est chroniquement sous-ressource. Dans de rares cas, rencontrez-vous un RSSI avec une équipe de professionnels de la sécurité de l’information qui disent qu’ils n’ont tout simplement pas beaucoup de choses à faire ou qu’ils sont un peu bloqués en ce moment. C’est toujours le contraire. Pourquoi cela se produit-il ? Parce qu’il est très difficile de justifier les ressources dont vous avez besoin lorsque vous parlez une langue différente de celle des personnes qui fournissent ces ressources.
L’autre chose qui se produit est qu’une grande partie de notre monde n’est pas passée à une application de risque et de conformité de gouvernance (GRC). Ils sont dans des feuilles de calcul ou ils n’ont même pas de registre des risques. Tout le monde sait qu’une application GRC pourrait les aider à automatiser ce processus de gestion des risques, mais ils sont très bien conscients du coût significatif et de la lourde charge à prendre en compte.
Nous avons créé une application appelée Risque raisonnable, qui vous donne beaucoup plus de puissance que la plupart des GRC à une élévation très légère. Je pense que ce sera une tendance, un moyen de sortir des feuilles de calcul et d’exécuter des risques, car les gens devront automatiser ce processus via une application axée sur la base de données, et non via une feuille de calcul et des fichiers PDF.
Une autre tendance que je vois est la prolifération de la méthode d’analyse des risques du devoir de diligence [DoCRA)] ou d’autres méthodes comme celle-ci qui vous permettent de parler au conseil d’administration et à l’équipe de direction en termes qu’ils comprennent. Une bonne analogie est que nous avions tous un dictionnaire, un dictionnaire papier. Pas très efficace pour une conversation, puis Google Translate est sorti, ainsi que d’autres traducteurs en ligne. Nous pouvons donc maintenant avoir une conversation en temps quasi réel avec quelqu’un dans n’importe quelle langue en traduisant simplement rapidement.
L’une des choses que je vois se produire à l’avenir est que la cybersécurité sera en mesure d’avoir une conversation avec le conseil d’administration, car ils parleront le même langage au lieu de parler des menaces, vulnérabilités et impacts. Et ce faisant, nous serons en mesure d’approuver les ressources, d’avoir une meilleure relation et d’avoir une place à la table.
EN SAVOIR PLUS SUR RSAC 2024
Pour plus de points forts, consultez ces autres entretiens exclusifs avec les participants qui s’expriment dans et autour de la Conférence 2024 RSA :
