Compte tenu des préjudices financiers, juridiques et en termes de réputation qu'une entreprise peut subir à la suite d'un piratage ou d'une fuite de données, de plus en plus de conseils d'administration s'appuient désormais sur des compétences en cybersécurité. Cependant, selon le secteur d'activité, de nombreux conseils d'administration ne sont pas aussi bien informés qu'ils le devraient sur les questions de cybersécurité. D'autres, bien qu'ils en aient été informés, s'efforcent encore de définir leurs rôles en matière de gestion des risques.
Une enquête menée l'année dernière par l' e du MIT Sloan a révélé que seuls 68 % des conseils d'administration abordaient régulièrement la question de la cybersécurité, tandis que 9 % n'en discutaient toujours pas du tout. De plus, bien que la moitié d'entre eux aient indiqué que le rôle du conseil d'administration en matière de cybersécurité avait fait l'objet de discussions, aucun consensus n'a été trouvé quant à la nature de ce rôle.
Que peuvent donc faire les RSSI et les membres de la direction pour mettre fin à ces cycles de débats et de retards ?
Ce sujet fera partie des thèmes abordés lors de la table ronde intitulée «Do Better : Board-Level Accountability in Cybersecurity », qui se tiendra prochainement dans le cadre de la RSA Conference 2023. Animée par Chris Hallenbeck, responsable de la sécurité des systèmes d’information (RSSI) chez Tanium, cette table ronde réunira Greg Silberman, directeur juridique adjoint chez Zoom Video Communications ; Brian Stafford, PDG de Diligent Corp. ; et Maggie Wilderotter, PDG de Grand Reserve Inn. (The panel takes place Monday, 24 avril, at 11:30 ET / 08:30 PT at RSAC 2023, which runs April 24-27 at the Moscone Center in San Francisco.)
Les enjeux en matière de responsabilité des conseils d'administration ne pourraient être plus importants. Entre la recrudescence des incidents liés au ransomware « » ( ), les fuites de données à grande échelle et la forte augmentation des attaques de type « Business Email Compromise » (BEC) () ( ), l'année 2022 a sans doute été l'une des pires jamais enregistrées en matière de cybersécurité. Le FBI a enregistré plus de 800 000 plaintes pour cybercriminalité en 2022 , pour un montant total de pertes dépassant les 10 milliards de dollars, contre 6,9 milliards de dollars l'année précédente. Des pirates informatiques ont également compromis les données et les fonds de millions de comptes privés sur , ce qui a conduit 57 % des organisations à augmenter leurs budgets consacrés à la cybersécurité cette année. Tout cela a incité la Securities and Exchange Commission (SEC) à proposer, l'année dernière, une série de nouvelles réglementations qui auront un impact significatif sur la manière dont les entreprises américaines — et leurs conseils d'administration — mènent leurs activités.
, de Focal Point, s'est entretenu avec M. Hallenbeck afin de recueillir son point de vue sur la manière dont les conseils d'administration s'adaptent aux cybermenaces, ainsi que sur ce que les responsables de la sécurité des systèmes d'information (RSSI) doivent savoir pour collaborer plus étroitement avec eux.
Comment la responsabilité du conseil d'administration en matière de cybersécurité a-t-elle évolué au fil des ans ?
Pendant très longtemps, les conseils d'administration ont considéré la cybersécurité comme un centre de coûts, une simple case à cocher ou un luxe opérationnel qu'il valait mieux confier aux professionnels de l'informatique. Ils n'avaient guère envie de s'impliquer directement dans ce genre d'affaires. Mais lorsque les failles de sécurité ont commencé à poser des problèmes financiers, juridiques et d'image , les membres du conseil d'administration se sont tournés vers les RSSI pour qu'ils les tiennent informés des enjeux ayant un impact sur l'activité, ce qui a obligé ces derniers à apprendre à s'exprimer en termes commerciaux plutôt qu'en termes techniques.
«» Pendant très longtemps, les conseils d’administration ont considéré la cybersécurité comme un centre de coûts, une simple case à cocher ou un luxe opérationnel qu’il valait mieux confier aux professionnels de l’informatique. Ils n'avaient guère envie de s'impliquer directement. »Chris Hallenbeck, CISO, Tanium
Aujourd’hui, alors que le paysage des menaces est bien plus complexe et que les terminaux sont plus vulnérables que jamais en raison de la transition vers le télétravail et le travail hybride, nous assistons à une évolution de la situation : on s’attend de plus en plus à ce qu’un ou plusieurs membres du conseil d’administration possèdent une expertise, ou tout au moins une connaissance de base, en matière de cybersécurité. De plus en plus d'organisations compteront parmi les membres de leur comité d'audit, voire au sein de l'ensemble du comité, une personne qui se consacrera à la cybersécurité. C'est différent.
Est-ce que cela se produit dans tous les secteurs d'activité ?
Je pense que cette tendance s'observe partout, mais le rythme auquel les conseils d'administration accordent de l'importance à la gestion des risques cybervarie selon les secteurs d'activité.
Si vous travaillez, par exemple, dans le secteur des soins de santé , une grande partie de votre activité repose sur les données et les systèmes informatiques. Si aucun membre de votre conseil d'administration ne comprend les implications de cette décision en matière de cybersécurité, cela pourrait être considéré comme un échec majeur. Il en va de même pour les services financiers , et d'autres secteurs peu enclins à prendre des risques. Il existe d’autres secteurs où la sensibilisation à la cybersécurité au niveau du conseil d’administration ne fait pas l’objet d’une impulsion aussi forte, car ils n’ont pas été aussi durement touchés par les violations de données et ne font pas l’objet d’une réglementation stricte.
Donc, oui, les conseils d'administration de tous les secteurs s'engagent dans cette voie, mais à des rythmes différents.
Comment les responsables de la sécurité des systèmes d'information (RSSI) devraient-ils communiquer avec les conseils d'administration face à cette nouvelle réalité ?
Ils doivent axer les discussions sur les risques, car c'est ce qui préoccupe les membres du conseil d'administration. En quoi cet incident de cybersécurité ou cet incident évité de justesse représente-t-il un risque pour l'entreprise ? C'est le genre de langage que comprennent les membres du conseil d'administration et les cadres supérieurs.
Il n'y a aucun mal à trouver un juste milieu entre les enjeux commerciaux et techniques, à condition que vos interlocuteurs ne commencent pas à avoir le regard vide. Et vous, , vous ne souhaitez pas entrer trop dans les détails. Mais dans le même temps, vous ne devez pas oublier de leur faire part des problèmes que vous avez résolus et qui pourraient revêtir une importance plus grande à long terme.
Trop souvent, de nombreux responsables de la sécurité des systèmes d'information (RSSI) abordent leurs fonctions d'un point de vue très opérationnel. Ils identifient un problème, le résolvent, puis passent à autre chose. Au contraire, ils devraient tenir le conseil d'administration informé de certaines de ces questions et déclarer : « Nous avons récemment résolu ce problème. » « Il n’était pas nécessaire de vous le signaler à l’époque, mais vous devez en être conscient, car cela reflétait une tendance susceptible de se manifester à nouveau et d’avoir des répercussions sur l’activité ultérieurement. »
En matière de cybersécurité, il n’est pas nécessaire d’entrer dans les moindres détails pour présenter un exposé convaincant au conseil d’administration. Mais nous devrions présenter un aperçu suffisamment complet des problèmes auxquels nous sommes confrontés, ainsi que des recommandations concrètes pour y remédier à l'avenir.
Quelle est la plus grande erreur que commettent les RSSI lorsqu’ils s’adressent aux membres du conseil d’administration ?
Être trop prolixe. Vous souhaitez aborder les points essentiels. Présentez les données ou les points clés que vous souhaitez mettre en avant de la manière la plus concise possible. Alors, laissez ces personnes intelligentes poser toutes les questions qu'elles souhaitent. Écoutez attentivement leurs questions afin de comprendre ce qu'ils souhaitent réellement savoir. Et soyez attentif à leurs commentaires, car ils vous permettront de cerner leurs centres d'intérêt et leurs préoccupations, ce qui vous permettra d'adapter votre présentation en conséquence lors de votre prochaine rencontre avec eux.
«Observez si leur regard se perd dans le vide… et observez leur langage corporel pour voir si ce que vous leur proposez correspond à ce qu’ils recherchent. Sinon, adaptez-vous au fur et à mesure. »Hallenbeck
En réalité, le conseil le plus important que je puisse vous donner est de surveiller si leur regard se perd à un moment donné et d’observer leur langage corporel pour voir si ce que vous leur proposez correspond bien à ce qu’ils recherchent. Sinon, adaptez-vous au fur et à mesure.
Pensez-vous que la tendance à la responsabilisation des conseils d'administration — et, plus généralement, à la sensibilisation de ces derniers à la cybersécurité — va se poursuivre ?
Bien sûr. Encore une fois, cela dépendra du secteur d'activité. Il est possible que les autorités de régulation exigent, à un moment donné, que certaines entreprises comptent parmi les membres de leur comité d'audit une personne chargée de la cybersécurité.
Les compagnies d'assurance cyber pourraient également finir par exiger cela pour que vous puissiez bénéficier de certains tarifs de prime. Cela dit, je pense que les conseils d'administration vont devoir passer par un processus de maturation qui les amènera à ne plus considérer que les incidents de cybersécurité ne peuvent pas et ne doivent pas leur arriver. Ils doivent savoir que les incidents de cybersécurité font malheureusement partie de la réalité, quel que soit le montant que vous investissiez pour les éviter.
Il faudrait plutôt que la discussion porte sur la manière de réduire la fréquence ou la gravité de ces incidents. Il faut trouver un juste équilibre entre le risque et son acceptation pour faire face aux menaces de cybersécurité de manière concrète et efficace.
