Lorsque la SEC ( ) a inculpé l'année dernière SolarWinds et son responsable de la sécurité des systèmes d'information (RSSI) et Tim Brown, pour fraude boursière intentionnelle pour ne pas avoir signalé des failles de cybersécurité, cela a provoqué un véritable tollé au sein du secteur. Tout à coup, les entreprises technologiques, et en particulier leurs responsables de la sécurité, semblaient être dans le collimateur juridique du gouvernement.
Mais la vérité, c'est que des organismes publics tels que la Commission des opérations de bourse ( Securities and Exchange Commission,), le ministère de la Justice et les procureurs généraux des États mènent sans cesse des enquêtes, assignent des dirigeants à comparaître et engagent des poursuites. Lorsque ces entreprises technologiques sont visées, bon nombre de leurs dirigeants font appel à Jessica Nall, associée au sein du cabinet d'avocats Baker McKenzie LLP, basé à Chicago.
Forte de 23 ans d'expérience, Mme Nall est considérée comme l'une des plus grandes spécialistes du pays en matière de responsabilité pénale et réglementaire fédérale pour les professionnels de la sécurité de l'information, en particulier les RSSI. En effet, elle affirme avoir personnellement représenté plus de responsables de la sécurité des systèmes d'information (RSSI), de responsables de la sécurité de l'information et de membres d'équipes dans le cadre d'enquêtes fédérales très médiatisées et d'actions civiles qui en ont découlé que peut-être n'importe quel autre avocat aux États-Unis.
Elle a également pris la défense de personnes interrogées dans le cadre d'enquêtes internes et a mené d'innombrables enquêtes internes.
Alors que de plus en plus de responsables de la sécurité des systèmes d’information (RSSI) se demandent s’ils risquent de se retrouver dans la même situation qu’ Brown – qui a bénéficié d’un sursis la semaine dernière lorsqu’un juge américain de la a rejeté la plupart des chefs d’accusation de la SEC tout en confirmant le chef d’accusation principal de fraude boursière intentionnelle retenu contre lui – , Focal Point a jugé utile de solliciter l’avis de M. Nall sur les moyens d’éviter les ennuis en cas de violation de sécurité. Elle s'exprimera également sur ce sujet lors d'une session du Black Hat USA 2024 intitulée « 7 août » (La cybercriminalité en tant que force de travail : les cybercriminels, les entreprises et les gouvernements), dont le titre est «Skirting the Tornado: Essential Strategies for CISOs to Sidestep Government Fallout in the Wake of Major Cyberattacks » (La cybercriminalité en tant que force de travail : comment les responsables de la sécurité des systèmes d'information peuvent contourner la tornade : stratégies essentielles pour éviter les répercussions gouvernementales à la suite de cyberattaques majeures).
Voici notre entretien avec Nall :
(Cet entretien a été modifié pour plus de clarté et de concision.)
À quel moment avez-vous décidé de passer de la défense juridique générale des entreprises au domaine de la cybersécurité ?
Il y a environ 10 ans, nous avons assisté à l'une des premières affaires ou enquêtes fédérales impliquant des professionnels de la cybersécurité, dans le cadre desquelles les autorités ont examiné ce que des particuliers et des entreprises avaient fait ou n'avaient pas fait face à des cyberattaques de grande ampleur. Cela occupe depuis lors une place importante dans ma pratique.
«. Mon principal domaine de compétence, c’est le combat. » Alors que mes clients du secteur de la sécurité de l’information luttent contre les malfaiteurs et les auteurs de menaces, je me bats contre le gouvernement. »
Même si je peux vous conseiller sur les meilleures pratiques à adopter pour éviter une intervention de l' , c'est généralement à moi qu'on fait appel une fois que le bâtiment est déjà en feu. En général, cela se présente ainsi : « Nous avons reçu une assignation en justice importante, ou bien une enquête est menée avec détermination, ou encore un signalement d’un lanceur d’alerte doit faire l’objet d’une enquête et pourrait éventuellement déboucher sur une intervention des pouvoirs publics à terme. » Mon domaine de compétence principal est le combat. Alors que mes clients du secteur de la sécurité de l'information luttent contre les malfaiteurs et les auteurs de menaces, je me bats contre le gouvernement.
Vous discutez avec de nombreux responsables de la sécurité des systèmes d'information. De quelle humeur sont-ils en ce moment ?
Il est évident que l'inquiétude ne cesse de croître. Le rôle du RSSI est devenu de plus en plus complexe à mesure que nous intégrons de nouvelles technologies telles que l' la gouvernance de l'IA, et tous ceux que je rencontre se précipitent pour adopter ces dernières innovations. Ce travail devient de plus en plus difficile. Et je pense sincèrement qu’il y a une pénurie de responsables de la sécurité des systèmes d’information (RSSI) vraiment compétents qui soient prêts à assumer cette responsabilité. Et vous pouvez comprendre pourquoi il en est ainsi : alors qu’ils assument des risques considérables, ils ne bénéficient pas toujours du soutien de la direction ou ne disposent pas d’un budget suffisant.
On ressent clairement de la frustration, de l'inquiétude et de la crainte, notamment depuis la mesure coercitive prise par la SEC à l'encontre de SolarWinds. Lorsque les autorités vous poursuivent, cela peut ressembler à une bombe nucléaire de type « » qui tombe du ciel. Au final, vous ne pouvez pas faire grand-chose pour l'empêcher. C'est simplement le genre de chose qui peut arriver à tout moment à la suite d'un événement négatif très médiatisé. Et c’est justement ce qui est le plus terrifiant pour les personnes qui travaillent dans le secteur des technologies, où les étapes s’enchaînent généralement les unes après les autres : le fait qu’il existe ce danger imprévisible et existentiel si vous avez la malchance d’être victime d’une attaque réussie.
Selon vous, pourquoi le gouvernement renforce-t-il la surveillance dont font l'objet les responsables de la sécurité des systèmes d'information (RSSI) ?
Eh bien, ils ont un compte à régler. Leur objectif est de dissuader certains comportements. Et face à des incidents de sécurité majeurs, en particulier lorsqu'il s'agit d'attaques de type « » menées par des États, le gouvernement américain ne dispose pas de beaucoup de moyens d'action. Ils ne peuvent pas faire grand-chose pour poursuivre les cybercriminels en Russie, en Chine ou dans d'autres pays où il n'existe aucune voie viable d'extradition ou de coopération avec les forces de l'ordre étrangères.
«[Après] une faille de sécurité majeure, le public attend des mesures de la part des forces de l'ordre et souhaite que des changements soient mis en place pour éviter que cela ne se reproduise. »
Lorsqu'un cybercrime majeur se produit, comme une fuite de données à grande échelle, le public attend des mesures de la part des forces de l'ordre et souhaite que des changements soient mis en place pour éviter que cela ne se reproduise à l'avenir. Ainsi, comme notre gouvernement ne peut pas s'en prendre au FSB (Service fédéral de sécurité de la Fédération de Russie, anciennement le KGB), il doit trouver une solution. Et comme le RSSI est considéré comme le fer de lance de la réponse en matière de cybersécurité, il constitue souvent une cible de choix lorsque le gouvernement souhaite faire tomber des têtes.
Je trouve cela tout à fait inacceptable, injuste et inéquitable, et c'est pourquoi je m'oppose au gouvernement avec tant de ferveur, car je suis convaincu que ce n'est pas la bonne manière de procéder. Mais c'est trop souvent ainsi que les choses se passent.
Si nous ne pouvons pas recourir à la législation pour tenir les entreprises responsables en matière de cybersécurité et que vous estimez qu'il est injuste d'utiliser la manière forte à l'encontre des RSSI, comment devons-nous procéder ?
C'est un domaine dans lequel je pense que la responsabilité collective et d'entreprise est la voie à suivre. On peut citer à titre d'exemple la décision n° 2018 de la SEC dans l'affaire « SEC v. Altaba » (), qui a mis en évidence certaines défaillances collectives concernant la divulgation d'incidents cybernétiques et a infligé une amende importante (35 millions de dollars) à la charge de la société, sans toutefois poursuivre aucune personne à titre individuel. Elle a plutôt publié des recommandations que d’autres entreprises peuvent suivre pour éviter de lourdes amendes qui pèsent sur les actionnaires et le cours de l’action, ce qui permet ainsi – pourrait-on dire – d’apporter des changements positifs sans mettre en avant les mauvaises personnes.
Malheureusement, les systèmes pénaux et réglementaires fédéraux ont considérablement évolué au cours des quelque 10 dernières années, au point d'exiger du gouvernement qu'il recherche activement les personnes à tenir pour responsables dans le cadre des mesures d'application de la loi et des poursuites pénales. Cette exigence s'est imposée de plus en plus comme une nécessité pour les pouvoirs publics depuis la publication, en 2015, de la note de service de M. Yates du ministère de la Justice intitulée «» (). Le ministère américain de la Justice a publié cette note à la suite du tollé général suscité par le fait que l'effondrement du marché 2008 n'ait donné lieu à aucune poursuite à l'encontre de particuliers. Mais c'est un domaine où cela n'a vraiment pas sa place.
Le gouvernement doit vraiment vous adorer, n'est-ce pas ?
J'aime à penser que c'est le cas. Pour être tout à fait franc, il existe une grande fluidité entre les parquets fédéraux, les avocats spécialisés dans les affaires de mise en application de la SEC et les avocats spécialisés dans la défense des auteurs de délits en col blanc. La crédibilité est primordiale, et le fait de travailler avec des avocats de la défense hautement qualifiés et compétents ne peut généralement qu'être bénéfique. Alors, bien sûr, oui, ils m'aiment. Et je les adore, surtout quand ils libèrent mon peuple.
Pourriez-vous nous donner quelques conseils que les RSSI peuvent suivre pour éviter les ennuis ?
Tout d'abord, il est important de comprendre les mécanismes qui régissent ce fonctionnement. Pourquoi les différents partis agissent-ils ainsi ? Demandez-vous : « Quelles sont les motivations de l'entreprise lorsqu'un incident de sécurité majeur se produit et que les pouvoirs publics s'y intéressent, et comment pouvez-vous anticiper cette situation afin de vous assurer d'exercer le plus grand contrôle possible sur cette communication ? »
«Quelles sont les motivations de l’entreprise lorsqu’un incident de sécurité majeur se produit et que le gouvernement s’y intéresse, et comment pouvez-vous anticiper cela ? »
Par ailleurs, vous devriez examiner attentivement vos canaux de communication au sein de l'entreprise. Avant d'accepter un poste de RSSI, assurez-vous de savoir à qui vous rendrez compte. La situation varie considérablement d'une entreprise à l'autre. Mais si j’étais une personne qui envisage d’accepter une promotion à ce poste ou de rejoindre une nouvelle entreprise, je voudrais en être pleinement conscient et m’assurer que cette protection s’étendra à moi-même en cas de violation, et pas seulement à l’entreprise elle-même.
Vous devez également être capable de repérer les signaux d'alerte. Si un incident s'est produit, qu'on vous demande de venir témoigner dans le cadre d'une enquête interne, que la pression s'intensifie et que vous vous présentez sans votre propre avocat, c'est l'un des nombreux signaux d'alerte possibles.
Les problèmes juridiques ne proviennent pas toujours des administrations publiques. Il arrive parfois que des assureurs spécialisés dans la cyberassurance poursuivent en justice des responsables de la sécurité des systèmes d'information (RSSI) ou des équipes chargées de la sécurité informatique. Que conseillez-vous à vos clients pour éviter ces difficultés ?
Au cours de mes décennies d'exercice, j'ai souvent eu affaire à des compagnies d'assurance « ». Et j’ai constaté à maintes reprises toutes les stratégies auxquelles ils ont recours pour tenter d’échapper au paiement par tous les moyens possibles, qu’il s’agisse de résilier un contrat en invoquant des informations qui n’avaient pas été communiquées ou qui n’avaient pas été communiquées de manière suffisamment détaillée, ou encore une clause d’exclusion. Même les plafonds d'indemnisation peuvent poser problème.
«Si un incident s’est produit et qu’on vous demande de venir vous exprimer dans le cadre d’une enquête interne… et que vous le faites sans être accompagné de votre propre avocat, c’est l’un des nombreux signaux d’alerte possibles. »
Ainsi, lors de ma session au Black Hat, j'aborderai le thème de l'assurance et les questions essentielles que vous devez vous poser si vous occupez un poste dans le domaine de la sécurité. Je vais vous expliquer ce que vous devez savoir sur la couverture d'assurance et ce qui pourrait constituer un niveau d'assurance adéquat afin que vous disposiez d'un solide filet de sécurité.
Nous avons entendu des assureurs affirmer que le meilleur moyen d'éviter les problèmes est de collaborer avec eux. Êtes-vous d'accord ?
Dans une certaine mesure, c'est vrai. J'ai passé de nombreuses heures à informer les assureurs de l'état d'avancement de diverses enquêtes menées par les pouvoirs publics. Mais ce n'est pas toujours le cas : les intérêts de chacun ne coïncident pas forcément.
Je dirais qu’il y a toujours un risque de difficultés lorsque vous traitez avec votre assureur, car celui-ci a tendance à se montrer très amical lorsqu’il s’agit d’encaisser vos primes, mais beaucoup moins lorsqu’il vient à l’heure de vous indemniser. Il s'agit donc d'un exercice délicat qui doit être mené de manière stratégique. Je comprends leur point de vue, mais c'est un argument qu'ils invoquent très souvent pour refuser de payer. Il ne faut pas voir la vie en rose à ce sujet.
Y a-t-il autre chose que vous aimeriez nous dévoiler en avant-première concernant votre prochaine intervention à Black Hat ?
L'objectif est de fournir au public une boîte à outils contenant des stratégies à méditer, afin qu'il n'ait jamais à faire face aux situations horribles que Tim Brown et d'autres ont vécues. Le gouvernement fédéral dispose d'un pouvoir considérable. Quelle puissance ! Et cela peut vraiment bouleverser la vie des gens. Ce que je souhaite, c'est aider tout le monde à éviter de se retrouver dans cette situation, et si cela devait tout de même arriver, à savoir qui appeler.
