Compte tenu des dommages financiers, juridiques et de réputation qu’une entreprise peut subir en raison d’un piratage ou d’une violation de données, de plus en plus de conseils d’administration mettent des connaissances en cybersécurité à la table. Mais, selon le secteur, de nombreux BOD d’entreprise ne sont pas aussi informés sur les problèmes de cybersécurité qu’ils le devraient. D’autres, s’ils en sont informés, essaient toujours de comprendre leurs rôles de gestion des risques.
Une enquête du MIT Sloan l’année dernière a révélé que seuls 68 % des conseils d’administration discutent régulièrement de la cybersécurité, tandis que 9 % n’en discutent toujours pas du tout. De plus, bien que la moitié des participants aient déclaré qu’il y avait eu une discussion sur le rôle du conseil en matière de cybersécurité, aucun consensus n’a été trouvé sur ce que cela devrait être.
Que peuvent donc faire les RSSI et les membres de la direction pour mettre fin à ces cycles de débat et de retard ?
Cela fera partie de la discussion lors de la conférence « Do Better : Board-Level Accountability in Cybersecurity », un prochain panel lors de la conférence RSA 2023, animée par le RSSI de Tanium Chris Hallenbeck, et présentant Greg Silberman, directeur juridique associé de Zoom Video Communications, Brian Stafford, PDG de Diligent Corp. et Maggie Wilderotter, PDG de Grand Reserve Inn. (Le panel a lieu lundi 24 avril, à 11:30 ET / 08:30 PT au RSAC 2023, qui se déroule le 24-27 avril au Moscone Center de San Francisco.)
Les enjeux de la responsabilité du conseil d’administration ne pourraient pas être plus élevés. Entre l’augmentation des incidents de ransomware , les violations massives de données et un pic énorme d’attaques de compromission des e-mails professionnels (BEC), 2022 a sans doute été l’une des pires années enregistrées en matière de cybersécurité. Le FBI a enregistré plus de 800 000 plaintes pour cybercriminalité en 2022 , avec des pertes totales dépassant 10 milliards USD, contre 6,9 milliards USD l’année précédente. Les pirates informatiques ont également compromis les données et les fonds de millions de comptes privés, ce qui a conduit 57 % des organisations à augmenter les budgets de cybersécurité cette année. Tout cela a incité la Securities and Exchange Commission (SEC) à proposer une multitude de nouvelles réglementations l’année dernière qui auront un impact significatif sur la manière dont les entreprises américaines, et leurs conseils d’administration, font des affaires.
Focal Point s’est entretenu avec Hallenbeck pour savoir comment les BOD s’adaptent aux cybermenaces et ce que les RSSI doivent savoir pour travailler plus étroitement avec eux.
Comment la responsabilité du conseil d’administration pour les problèmes de cybersécurité a-t-elle évolué au fil des ans ?
Pendant la plus longue période, les conseils d’administration ont considéré la cybersécurité comme un centre de coûts, une case à cocher ou un luxe opérationnel mieux géré par les professionnels de l’informatique. Ils n’avaient que peu envie de s’impliquer directement dans ces questions. Mais alors que les violations commençaient à poser des problèmes financiers, juridiques et d’ image , les membres du conseil d’administration ont commencé à se tourner vers les RSSI pour les tenir informés des problèmes ayant un impact sur l’entreprise, ce qui signifiait que les RSSI devaient commencer à apprendre à parler dans le cadre professionnel plutôt que dans des termes techniques.
« Pendant la plus longue période, les conseils d’administration ont considéré la cybersécurité comme un centre de coûts, une case à cocher ou un luxe opérationnel mieux géré par les professionnels de l’informatique. Ils n’avaient que peu envie de s’impliquer directement. »Chris Hallenbeck, CISO, Tanium
Aujourd’hui, avec le paysage des menaces beaucoup plus complexe et les endpoints plus vulnérables que jamais en raison du passage au travail à distance et hybride, nous constatons une nouvelle approche où il est de plus en plus attendu qu’un ou plusieurs membres du conseil d’administration aient une expertise, ou du moins une familiarité, avec la cybersécurité. Davantage d’organisations auront quelqu’un dans le comité d’audit, sinon l’ensemble du comité, qui passera du temps sur la cybersécurité. C’est différent.
Cela se produit-il dans tous les secteurs ?
Je pense que la tendance se produit partout, mais le rythme auquel les conseils d’administration se concentrent sur la gestion des cyber-risques varie selon le secteur.
Si vous travaillez dans le secteur de la santé, par exemple, une grande partie de ce que vous faites est gérée par des données et des systèmes électroniques. Si vous n’avez pas quelqu’un dans votre conseil d’administration qui comprend les implications de la cybersécurité, cela pourrait être considéré comme une défaillance significative. La même chose avec les services financiers et d’autres secteurs sensibles aux risques. Il existe d’autres secteurs où il n’y a pas d’impulsion aussi importante pour la sensibilisation à la cybersécurité au niveau du conseil d’administration, car ils n’ont pas été aussi durement touchés par les violations de données et ne sont pas fortement réglementés.
Donc, oui, les conseils d’administration de tous les secteurs suivent cette voie, mais à des vitesses différentes.
Comment les RSSI doivent-ils communiquer avec les conseils d’administration compte tenu de cette nouvelle réalité ?
Ils doivent structurer les conversations sur les risques, car c’est ce qui intéresse les membres du conseil d’administration. Comment cet incident ou quasi-accident de cybersécurité présente-t-il un risque pour l’entreprise ? C’est le genre de langage que les membres du conseil d’administration et les dirigeants comprennent.
Il est acceptable de trouver un terrain d’entente où vous mélangez les problèmes commerciaux et techniques tant que leurs yeux ne commencent pas à se vitrer. Et vous ne voulez pas trop de détails. Mais en même temps, vous ne devez pas négliger de les informer des problèmes que vous avez résolus et qui pourraient avoir une pertinence plus élevée et à long terme.
Trop souvent, de nombreux RSSI assument leurs rôles de manière très opérationnelle. Ils voient un problème, résolvent le problème et passent à la chose suivante. Au lieu de cela, ils devraient informer le conseil d’administration de certains de ces problèmes et dire : « Nous avons récemment résolu ce problème. Il n’était pas nécessaire de le porter à votre attention à l’époque, mais vous devez le savoir, car il s’agissait d’une tendance qui pourrait se rematérialiser et affecter l’entreprise ultérieurement. »
Avec la cybersécurité, nous n’avons pas besoin d’entrer dans des détails exagérés pour fournir un récit percutant au conseil d’administration. Mais nous devrions fournir suffisamment d’aperçu des problèmes auxquels nous sommes confrontés ainsi que des recommandations spécifiques pour les résoudre à l’avenir.
Quelle est la plus grande erreur que les RSSI commettent lors de la communication aux membres du conseil d’administration ?
Être trop verbeux. Vous souhaitez atteindre les points les plus élevés. Obtenez les données ou les points clés que vous souhaitez obtenir aussi succinctement que possible. Puis laissez ces personnes intelligentes demander ce qu’elles veulent demander. Écoutez attentivement leurs questions pour comprendre ce qu’ils veulent vraiment savoir. Et prêtez attention à leurs commentaires car ils vous diront où se trouvent leurs intérêts et ce qui les préoccupe afin que vous puissiez ajuster votre présentation en conséquence la prochaine fois que vous les rencontrerez.
« Regardez si leurs yeux se plaignent... et observez leur langage corporel pour voir si ce que vous fournissez est ce qu’ils recherchent. Si ce n’est pas le cas, ajustez-le à la volée. »Hallenbeck
En fait, le plus grand conseil que j’aurais à suivre est de voir si leurs yeux se baignent à tout moment et de regarder leur langage corporel pour voir si ce que vous fournissez est ce qu’ils recherchent. Si ce n’est pas le cas, ajustez-le à la volée.
Voyez-vous la tendance à la responsabilisation du conseil d’administration et à la sensibilisation à la cybersécurité en général continuer ?
Bien sûr. Encore une fois, cela variera selon le secteur. Il est possible que les régulateurs exigent que certaines entreprises aient une personne responsable de la cybersécurité dans leurs comités d’audit à un moment donné.
Les compagnies de cyber-assurance pourraient éventuellement en avoir besoin pour bénéficier des taux de prime. Cela dit, je pense que les conseils d’administration devront passer par un processus de maturité où ils passeront de la pensée que les incidents de cybersécurité ne leur arriveront pas et ne devraient pas leur arriver. Ils doivent savoir que les incidents de cybersécurité sont malheureusement un fait de la vie, quel que soit le montant que vous investissez pour les éviter.
La conversation doit plutôt porter sur la manière de rendre ces instances moins fréquentes ou plus graves. Il doit y avoir un mélange de risques et d’acceptation pour répondre aux menaces de cybersécurité de manière pratique et efficace.
