Majeur, vaste, historique : ce sont les mots utilisés pour décrire la nouvelle législation du Sénat, adoptée le 2 mars, qui exige que les entreprises d’infrastructures critiques et les agences fédérales civiles signalent les cyberattaques et les paiements de rançongiciels et adoptent une approche basée sur les risques de la cybersécurité.
Qu’y a-t-il dans la loi américaine de renforcement de la cybersécurité de 2022 ?
Les trois projets de loi de la loi sur le renforcement de la cybersécurité américaine, que le Sénat a adopté à l’unanimité, attendent désormais le passage à la Chambre. Elles s’appliquent aux entreprises des secteurs critiques, notamment l’énergie, les services financiers, les soins de santé et les transports. La législation a échoué au Sénat l’année dernière.
Son passage récent souligne une nouvelle urgence ressentie par les partis politiques et les organisations à travers l’Ouest. « Ce projet de loi est particulièrement essentiel alors que nous continuons à soutenir l’Ukraine », a déclaré le sénateur Gary Peters, D-Mich., président du Comité de sécurité intérieure et des affaires gouvernementales du Sénat, dans un récent tweet. « Nous devons continuer à nous préparer à d’éventuelles cyberattaques de représailles de la part du gouvernement russe », a-t-il ajouté.
La dernière fois que le Congrès a adopté une loi aussi vaste qu’elle l’était en 2015, avec une législation qui encourageait les entreprises à se porter volontaires pour fournir des informations sur les piratages (et promettant une protection juridique s’ils le faisaient). La nouvelle loi exige que les banques, les centres médicaux, les services publics et d’autres organisations signalent un « cyber-incident substantiel » à la Cybersecurity and Infrastructure Security Agency (CISA) dans les 72 heures, et tous les paiements de ransomware qu’ils effectuent dans les 24 heures suivant leur réalisation.
L’objectif des rapports obligatoires est d’obtenir une meilleure compréhension du nombre et du type de cyberattaques qui frappent les organisations américaines chaque jour (quelque chose avec lequel les cyber leaders ont des difficultés depuis des années), et de pouvoir avertir d’autres entités qui peuvent être à risque lorsque ces pirates informatiques se produisent.
Cette nouvelle législation signale un changement crucial pour les grandes et petites organisations. Endpoint, qui rapporte régulièrement les stratégies, les compétences et les processus dont les entreprises ont besoin pour être cyber-résilientes, présente trois des plus importantes.
Améliorez votre score de cyber-risque
Outre son mandat de signalement, la toute dernière législation du Sénat exige que le gouvernement adopte une approche de la cybersécurité basée sur les risques . Cela signifie que les organisations ont besoin d’un score de cyber-risque précis. Ils doivent également prendre des mesures (et dépenser de l’argent pour adopter ces mesures) sur la base d’une évaluation claire des risques, y compris la probabilité d’une attaque et les conséquences après toute réponse spécifique. Les législateurs espèrent que cette tactique se répercutera sur les entreprises du secteur privé.
Jen Easterly, chef de la CISA, a qualifié cela d’« étape essentielle pour assurer la sécurité de notre pays ».
« Nous devons continuer à nous préparer à d’éventuelles cyberattaques de représailles de la part du gouvernement russe. »Sen. Gary Peters, D-Mich., président du Comité de sécurité intérieure et des affaires gouvernementales du Sénat
Prendre les rênes de votre stratégie de cybersécurité et réduire votre cyber-risque est un processus étape par étape, avec une variété de composants essentiels. L’évaluation du cyber-risque lui-même n’est qu’un de ces composants. Le score de risque d’une organisation est affecté par une multitude d’autres variables qui nécessitent une action, y compris les actifs globaux d’une entreprise (qui doivent être régulièrement inventoriés), les principes Zero Trust (régulièrement appliqués), la réponse aux incidents (examinée), les configurations (gérées) et les logiciels (mis à jour).
S’attaquer à autant de procédures d’exploitation à la fois peut sembler intimidant. Il est toujours judicieux de le faire étape par étape.
[En savoir plus : 6 conseils pour protéger votre organisation contre la cybercriminalité croissante]
Faites de la sécurité une priorité absolue dans la stratégie de transformation numérique de votre entreprise
Si vous considérez la cybersécurité comme une partie intégrante de la chaîne de valeur d’une entreprise, cela ne devrait pas vous inquiéter : la sécurité et la transformation numérique vont de pair, ce qui signifie que les équipes de sécurité doivent être impliquées tôt dans toutes les initiatives numériques.
Cela devrait aller sans dire. Mais les PDG et leurs conseils d’administration doivent l’entendre.
« Les réglementations gouvernementales changent, le comportement des consommateurs change et, plus important encore, les fournisseurs de logiciels changent. »Eric Kimberling, PDG et fondateur du Third Stage Consulting Group
La transformation numérique permet aux entreprises de faire des affaires avec les consommateurs de manière sûre et prévisible. De plus en plus, les entreprises sautent sur l’idée de la transformation numérique comme moyen non seulement de protéger leurs clients, mais également de leur inculquer un sentiment de confiance en l’entreprise elle-même.
Alors que certains se transforment par choix, dans l’espoir d’obtenir un avantage concurrentiel sur leurs concurrents sur le marché, beaucoup sont traînés sur la table, note Eric Kimberling, PDG et fondateur du Third Stage Consulting Group et hôte du podcast Transformation Ground Control .
« La majorité des organisations sont forcées, soit parce que l’économie mondiale change, soit parce que les réglementations gouvernementales changent, soit parce que le comportement des consommateurs change et/ou, plus important encore, parce que les fournisseurs de logiciels changent », déclare Kimberling. Dans de nombreux cas, explique-t-il, les fournisseurs de logiciels forcent un coucher de soleil de leurs produits existants, ce qui, à son tour, force beaucoup d’organisations à une transformation numérique pour laquelle elles n’étaient pas prêtes.
Étant donné que les organisations dépensent désormais environ 700 milliards de dollars par an pour des projets de transformation numérique, c’est certainement quelque chose que les parties prenantes veulent faire correctement. Voici comment.
[En savoir plus : La sécurité au rythme de la transformation numérique]
Surveiller et se préparer à la « prolifération de la réglementation »
La nouvelle législation du Sénat n’est que la dernière d’une série de réglementations sur l’intégrité des données qui émergent aux États-Unis et dans le monde entier. L’évolution de l’état d’esprit réglementaire sur Capitol Hill de 2015 à aujourd’hui est un bon indicateur de la direction à prendre. Ce qui a commencé comme une demande polie d’informations volontaires s’est transformé en une demande incontestable.
« C’est un véritable puzzle de trouver un programme qui sera conforme à l’échelle mondiale. »Kenneth Citarella, directeur général principal des enquêtes, Guidepost Solutions LLC
La réalité pour les multinationales est la suivante : elles font désormais l’objet d’un examen plus approfondi pour se conformer aux lois sur la sécurité numérique et la confidentialité des données personnelles que jamais auparavant. Et l’invasion de l’Ukraine a mis le monde à la pointe. Les réglementations, au moins dans un avenir prévisible, ne feront que devenir plus strictes. Et multipliez.
« C’est un véritable puzzle de trouver un programme qui sera conforme à l’échelle mondiale », a déclaré Kenneth Citarella à Endpoint l’année dernière. En tant que directeur général principal des enquêtes chez Guidepost Solutions LLC, Citarella résout les problèmes de conformité, aidant les clients à comprendre les juridictions légales dans lesquelles ils opèrent, les données qu’ils peuvent collecter et les façons dont ils peuvent ou ne peuvent pas les partager.
« Vous devez devenir incroyablement granulaire », dit-il.
Il n’existe pas de logiciel prêt à l’emploi pour vous aider à le faire. Pour l’instant, les organisations doivent trouver des moyens robustes d’évaluer efficacement leur posture de risque et de maintenir la conformité aux nouvelles règles, ici et à l’étranger.
La prolifération de nouvelles règles et réglementations est vertigineuse et coûteuse. Traversez la mauvaise ligne et une marque risque de perdre des revenus et de ternir sa réputation. Cela fait de la conformité la toute dernière cybermenace, et les praticiens de la sécurité la meilleure ligne de défense dans un monde de plus en plus complexe.
