En tant que RSSI réputé chez SolarWinds, Tim Brown semblait avoir tout pour lui.
(à droite), responsable de la sécurité des systèmes d'information chez , était chargé de protéger l'ensemble du portefeuille d'outils de gestion d'infrastructure de cette société de développement logiciel, qui comprenait notamment une plateforme de surveillance informatique appelée Orion, fournie à environ 33 000 clients des secteurs privé et public.
Puis, tout a changé.
Fin 2020, des pirates informatiques qui seraient liés à un service de renseignement russe ( ) auraient injecté un code malveillant appelé « Sunburst » dans un correctif du logiciel Orion . La mise à jour compromise a été téléchargée et installée par environ 18 000 organisations, parmi lesquelles figuraient des agences gouvernementales américaines et des entreprises du classement Fortune 500 . Il s'agissait de l'une des cyberattaques les plus sophistiquées et les plus inédites de l'histoire, qui a servi de signal d'alarme quant à l' état de la sécurité de la chaîne d'approvisionnement.
Fort de 30 ans d'expérience dans le domaine de la sécurité informatique, M. Brown estimait qu'il pourrait y avoir des répercussions juridiques, compte tenu du nombre d'organismes publics touchés par cette violation de données. Mais même lui a été surpris lorsque, en octobre 2023, alors qu’il assistait à une conférence à Zurich, la nouvelle est tombée : l’ , la Commission américaine des opérations boursières (SEC) , avait mis en cause la société texane SolarWinds — ainsi que M. Brown à titre personnel — pour fraude et défaillances des contrôles internes liées à des risques et vulnérabilités présumés en matière de cybersécurité .
La plainte à venir allègue que, du 2018 au décembre 2020, SolarWinds et M. Brown ont trompé les investisseurs en exagérant les pratiques de sécurité de l'éditeur de logiciels et en minimisant ou en omettant de divulguer des risques connus.
Au terme d’une année intense, M. Brown a été soulagé lorsqu’un juge d’un tribunal fédéral de première instance d’ , a rejeté la plupart des chefs d’accusation de la SEC dans l’affaire juillet 2024. SolarWinds et la SEC ont récemment conclu un accord préliminaire concernant les chefs d'accusation restants. Les modalités de cet accord, qui devrait être finalisé cet automne, n'ont pas été divulguées.
Aujourd’hui, M. Brown, âgé de 61 ans, s’exprime publiquement sur les accusations sans précédent portées par la SEC à l’encontre d’un responsable de la sécurité des systèmes d’information (RSSI) et sur ce qu’elles impliquent pour la profession. , de Focal Point, l'a rencontré récemment pour discuter de l'impact que cette expérience a eu sur lui et des enseignements qu'il en a tirés.
(L'entretien ci-dessous a été remanié pour des raisons de clarté et de concision.)
Quelles ont été vos expériences au cours de ces premiers jours qui ont suivi le dépôt de la plainte par la SEC ?
On s'attendait à ces recours judiciaires. Nos avocats se sont immédiatement penchés sur la question, s'attendant à un recours collectif ou à une action de la part d'une autorité publique, comme la SEC. Un ou deux jours après que nous avons eu connaissance de l'attaque, l'un de nos conseillers juridiques externes m'a parlé et, conformément aux règles déontologiques, m'a dit : « Nous tenons simplement à vous rappeler que nous représentons l'entreprise. » « Nous ne vous représentons pas. »
«Nous tenons simplement à vous rappeler que nous représentons l'entreprise. » « Nous ne vous représentons pas. »Un avocat de SolarWinds s'est adressé au responsable de la sécurité des systèmes d'information (RSSI), Tim Brown, en 2020, un ou deux jours après la découverte de la cyberattaque
Je comprenais qu'ils devaient le dire, mais c'était une façon un peu gênante de commencer. Ils vous disent qu'ils veulent s'assurer de disposer de tous les éléments et de savoir ce qui s'est passé selon votre version des faits. Mais là encore, ils soulignent qu'ils représentent l'entreprise. Pas vous. J'ai fini par engager un avocat pour moi-même et j'avais également un avocat que je partageais avec l'entreprise. Heureusement, l'entreprise a pris en charge les honoraires de mon avocat. Au final, l'ensemble de la procédure liée à ma défense individuelle a coûté plus d'un million de dollars à SolarWinds.
Compte tenu de mon expérience, je recommande toujours aux RSSI d'avoir une conversation simple avec leurs employeurs. Allez les voir et dites-leur : « Tim a dû traverser cette épreuve. » Il a été poursuivi en justice. Il a dû faire appel à un avocat particulier. Ces honoraires d'avocat sont élevés. Heureusement pour lui, SolarWinds a accepté de prendre en charge les frais liés à l'engagement de son propre avocat. « Comment réagirions-nous si une telle situation venait à se produire ? »
[À lire également : 5 mythes — et réalités — sur la cyberassurance]
L'assurance responsabilité civile des dirigeants (D&O) peut couvrir certains risques, selon les modalités de la police. Mais ce n'est pas forcément le cas. Il est donc important d'avoir cette discussion et de déterminer ce qui se passera si vous vous retrouvez dans une situation délicate comme celle-ci. Dans mon cas, l'entreprise a été formidable. Nous étions parfaitement sur la même longueur d'onde tout au long du processus, je n'ai donc pas eu à me soucier de faire appel à mon propre avocat. Mais vous souhaitez vérifier.
Il n'en reste pas moins que le fait d'avoir été personnellement mis en cause par la SEC a dû avoir des répercussions. Comment avez-vous géré ce stress ?
Oui, je pensais que tout allait bien les premières années. Mais j'ai fini par avoir une crise cardiaque la semaine où j'ai appris que des poursuites étaient engagées contre moi. Je suppose donc que je ne m'en sortais pas aussi bien que je le pensais.
«J’ai fini par faire une crise cardiaque la semaine où j’ai appris que des poursuites étaient engagées contre moi. » « Je suppose donc que je ne m'en sortais pas aussi bien que je le pensais. »
La plupart d'entre nous avons nos propres façons d' de gérer le stress : certaines personnes aiment en parler. Certaines personnes sont éditeurs. D'autres, quant à eux, intériorisent ou compartimentent les choses. J'ai tendance à tout compartimenter. Je fais la distinction entre ma vie professionnelle et ma vie privée. Cela m'aide à me détendre. Je vis dans un ranch au Texas, avec des chevaux, des mini-ânes et tout ce qui va avec. Cela a toujours été mon exutoire pour évacuer le stress. Cela a toujours bien fonctionné pour moi, ou du moins c'est ce que je croyais.
J'étais à une conférence à Zurich, en septembre 2023 , lorsque j'ai appris que j'allais faire l'objet de poursuites. Je suis rentré chez moi en avion un samedi et j'ai compris que quelque chose n'allait pas lorsque, en marchant de l'aéroport jusqu'à ma voiture, j'ai dû m'arrêter pour me reposer. Une fois rentré chez moi, j'en ai parlé à ma femme, et elle a insisté pour que j'aille immédiatement à l'hôpital. Les médecins ont confirmé qu'il s'agissait d'une crise cardiaque.
Qu'est-ce que cette expérience vous a appris ?
Cela m'a permis de remettre les choses en perspective. Vous vous rendez compte que le travail n'est pas aussi important que votre santé. Le poste de RSSI est source de beaucoup de stress. La plupart d'entre nous s'épanouissent grâce à cela. Nous ne savons tout simplement pas où se situe ce point de rupture. Quant à moi, j'ai vraiment assuré ce jour-là. C'est à ce moment-là que j'ai atteint mon seuil de stress.
Lorsque la situation est revenue à une certaine normalité, cela m'a aidé à relativiser les choses. Cela m'a aidé de me demander : « Quel serait le pire scénario possible ? » Dans mon cas, j'ai compris que les accusations n'étaient pas d'ordre pénal. Je n'allais donc pas aller en prison. Dans le pire des cas, la sanction prévoyait une amende et une interdiction de cinq ans d'exercer les fonctions de dirigeant ou d'administrateur d'une société cotée en bourse. Et vous pouvez bien vous en sortir, n'est-ce pas ?
J'étais entouré de personnes formidables. Mes avocats ont été très compétents. Ils passaient tout en revue. Je leur faisais confiance et je savais que nous allions réussir à mener ce processus à bien. Lorsque vous prenez conscience de ces choses, votre niveau de stress diminue.
La communauté de la cybersécurité a été choquée d'apprendre que la SEC vous avait mis en accusation. Certains ont estimé que vous aviez été injustement pris pour cible. D'autres craignaient d'être les prochains sur la liste, et a envisagé de quitter. Qu'en pensez-vous ?
Le soutien de la communauté a été incroyable. Les gens ont fait preuve de compréhension à l'égard de ma situation et ont compris que les RSSI comme moi ne cherchent qu'à tout protéger. Nous faisons de notre mieux. Parfois, cela ne suffit pas pour lutter contre un État-nation.
«Les gens ont compris ma situation et ont pris conscience que les RSSI comme moi ne cherchent qu’à tout protéger. » « Nous faisons de notre mieux. »
Au cours des premiers jours, semaines ou mois suivant un incident, on ne vous dit pratiquement rien de positif. Vous voyez aussi des amis sortir de nulle part et vous dire : « Vous allez vous en sortir. » Réglez simplement le problème et passez à autre chose. « Contentez-vous de faire votre travail. » Et ce genre d'encouragement est d'une grande aide.
Mais cela vaut également dans l'autre sens. Racontez ce que vous avez vécu et faites preuve de transparence quant à ce que vous avez observé : cela aide la communauté à mieux résister à ce type d'attaques. À bien des égards, nous avons pris un concept théorique et l’avons rendu véritablement concret pour tout le monde. Oui, les Russes sont bien là. Oui, les Russes de l' e s'en prennent à des entreprises américaines. Oui, les Russes savent mener une mission efficace, tout comme d'autres États-nations. Voici à quoi cela pourrait ressembler, et voici ce à quoi vous devez faire attention.
Lorsque SolarWinds a présenté cela sous une forme claire, je pense que cela a beaucoup aidé de nombreuses personnes à travers le monde. Ainsi, plus vous parvenez à tirer quelque chose de positif d'un incident, plus vous en tirez de la valeur, et c'est ce qui fait que tout cela en vaut la peine.
Malgré tout ce qui s'est passé, vous êtes toujours le responsable de la sécurité des systèmes d'information chez SolarWinds et vous semblez adorer ce poste. Pourquoi vaut-il la peine de rester à ce poste malgré tout ce que vous avez traversé ?
Ce métier est l'un de ceux qui ont le plus d'impact que vous puissiez exercer. Imaginez simplement que vous soyez à la tête d'une entreprise et que vous soyez tenu pour responsable si un incident survient sous votre responsabilité.
«Après tout ce que j’ai traversé, je continue de croire que le rôle de RSSI est extrêmement important. » « Nous devons mettre en place des garanties suffisantes pour que la prochaine génération soit disposée à assumer cette mission et à en accepter la responsabilité. »
Lorsque vous assurez la sécurité d'une entreprise au niveau requis, que vous travaillez en coulisses, que vous repoussez les adversaires et que vous faites tout ce qui est en votre pouvoir pour garder une longueur d'avance, cela a son lot de sensations fortes. Cela a son rythme. On ne s'ennuie jamais. Vous ne venez pas ici pour faire la même chose tous les jours.
Ce poste reste l'un des plus exigeants et des plus gratifiants qui soient. Oui, vous entendrez d'autres personnes dire que c'est frustrant. Et, oui, c'est difficile. Mais vous pouvez vous rendre sur pour constituer de superbes équipes. Et vous éprouvez la satisfaction de voir votre équipe réussir. Le poste de RSSI offre de nombreuses opportunités intéressantes, et c'est un domaine en constante évolution.
Malgré tout ce que j'ai traversé, je continue de penser que le rôle de RSSI est extrêmement important. Nous devons mettre en place des garanties suffisantes pour que la prochaine génération soit disposée à assumer cette fonction, à en accepter la responsabilité et à s'acquitter de ses obligations. Nous ne disons pas que nous sommes à l'abri des responsabilités. Et il est également important que les gens comprennent que lorsque nous endossons ce rôle, nous en assumons la responsabilité. Et la responsabilité s'accompagne parfois d'une obligation de réponse.
Ce sur quoi nous devons nous attacher, c'est de veiller à ce que la responsabilité soit gérée de manière appropriée.
