Une « majeure, de grande envergure et historique » : tels sont les termes utilisés pour décrire le nouveau texte de loi du Sénat, adopté le 2 mars, qui impose aux entreprises gérant des infrastructures critiques et aux agences fédérales civiles de signaler les cyberattaques et les paiements versés aux auteurs de rançongiciels, ainsi que d’adopter une approche de la cybersécurité fondée sur les risques.
Que contient la loi de 2022 visant à renforcer la cybersécurité américaine ?
Les trois projets de loi regroupés sous le titre « : Strengthening American Cybersecurity Act » (), que le Sénat a adoptés à l'unanimité, attendent désormais d'être adoptés par la Chambre des députés. Elles s'appliquent aux entreprises des secteurs stratégiques, notamment l'énergie, les services financiers, la santé et les transports. Le projet de loi a été rejeté par le Sénat l'année dernière.
Son adoption récente met en évidence une nouvelle urgence qui se fait sentir au sein des partis politiques et des organisations de tout l'Occident. « Ce projet de loi revêt une importance particulière alors que nous continuons à soutenir l’Ukraine », a déclaré le sénateur Gary Peters, démocrate du Michigan et président de la commission sénatoriale de la sécurité intérieure et des affaires gouvernementales, dans un tweet récent. « Nous devons continuer à nous préparer à d’éventuelles cyberattaques de représailles de la part du gouvernement russe », a-t-il ajouté.
La dernière fois que le Congrès a adopté une loi d'une portée aussi vaste que celle-ci, c'était en 2015, avec une législation qui encourageait les entreprises à communiquer spontanément des informations sur les piratages (en leur promettant une protection juridique si elles le faisaient). La nouvelle loi impose aux banques, aux centres médicaux, aux services publics et à d’autres organismes de signaler tout « incident cybernétique majeur » à l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) dans un délai de 72 heures, ainsi que tout paiement versé à la suite d’une attaque par rançongiciel dans les 24 heures suivant ce versement.
L'objectif de cette obligation de signalement est de mieux cerner le nombre et la nature des cyberattaques qui frappent chaque jour les organisations américaines (une difficulté à laquelle les responsables de la cybersécurité sont confrontés depuis des années), et de pouvoir alerter les autres entités susceptibles d'être menacées lorsque ces piratages se produisent.
Cette nouvelle législation marque un tournant décisif tant pour les grandes que pour les petites organisations. Endpoint, qui publie régulièrement des articles sur les stratégies, les compétences et les processus dont les entreprises ont besoin pour assurer leur cyber-résilience, présente ici trois des éléments les plus importants.
Améliorez votre score de cyber-risque
Outre son mandat en matière de rapports, la toute dernière loi adoptée par le Sénat exige que le gouvernement adopte une approche de la cybersécurité fondée sur l’ et axée sur les risques . Cela signifie que les organisations ont besoin d'une évaluation précise des risques cybernétiques proposée par . Ils doivent également prendre des mesures (et engager des dépenses pour les mettre en œuvre) sur la base d'une évaluation claire des risques, notamment la probabilité d'une attaque et les conséquences de toute réponse spécifique qui serait mise en œuvre. Les législateurs espèrent que cette stratégie fera des émules dans les entreprises du secteur privé.
La directrice de la CISA, Jen Easterly, a qualifié cette mesure d’« avancée décisive pour garantir la sécurité de notre nation ».
«Nous devons continuer à nous préparer à d'éventuelles cyberattaques de représailles de la part du gouvernement russe. »Le sénateur Gary Peters, démocrate du Michigan, président de la commission sénatoriale de la sécurité intérieure et des affaires gouvernementales
Prendre en main votre stratégie de cybersécurité et réduire vos risques liés à la cybersécurité est un processus qui se déroule étape par étape et qui comporte divers éléments essentiels. L'évaluation du risque cyber n'est en soi qu'un de ces éléments. Le score de risque d’une organisation dépend d’une multitude d’autres variables qui nécessitent des mesures, notamment l’ensemble des actifs de l’entreprise (qui doivent faire l’objet d’un inventaire régulier ), les principes « zero-trust » (régulièrement appliqués), la réponse aux incidents (révisée), les configurations (gérées) et les logiciels (mis à jour).
S'attaquer à autant de procédures opérationnelles à la fois peut sembler intimidant. Il est toujours judicieux de procéder étape par étape.
Faites de la sécurité une priorité absolue dans la stratégie de transformation numérique de votre entreprise
Si vous considérez la cybersécurité comme faisant partie intégrante de la chaîne de valeur de toute entreprise, cela devrait aller de soi : La sécurité et la transformation numérique vont de pair, ce qui signifie que les équipes de sécurité doivent être associées dès le début à toute initiative numérique.
Cela va sans dire. Mais les PDG d' s et leurs conseils d'administration doivent en prendre connaissance.
«La réglementation évolue, le comportement des consommateurs évolue et, surtout, les éditeurs de logiciels évoluent. »Eric Kimberling, PDG et fondateur de Third Stage Consulting Group
La transformation numérique permet aux entreprises de mener leurs activités avec les consommateurs de manière sûre et prévisible. De plus en plus, les entreprises se tournent vers la transformation numérique, y voyant non seulement un moyen de protéger leurs clients, mais aussi de leur insuffler un sentiment de confiance envers l'entreprise elle-même.
Si certains s’engagent dans cette transformation par choix, dans l’espoir d’obtenir un avantage concurrentiel sur leurs rivaux sur le marché, beaucoup y sont contraints, comme le souligne Eric Kimberling, PDG et fondateur de Third Stage Consulting Group et animateur du podcast « Transformation Ground Control » de l’ , disponible sur .
« La plupart des entreprises sont contraintes d’évoluer, que ce soit en raison de l’évolution de la conjoncture économique mondiale, de l’évolution des réglementations gouvernementales, de l’évolution du comportement des consommateurs et/ou — surtout — de l’évolution des éditeurs de logiciels », explique Kimberling, . Dans de nombreux cas, explique-t-il, les éditeurs de logiciels imposent l'arrêt progressif de leurs anciens produits, ce qui contraint à son tour de nombreuses organisations à entreprendre une transformation numérique pour laquelle elles n'étaient pas prêtes.
Étant donné que les entreprises consacrent désormais chaque année quelque 700 milliards de dollars à des projets de transformation numérique, il s'agit là sans aucun doute d'un domaine dans lequel les parties prenantes souhaitent réussir. Voici comment.
[En savoir plus : La sécurité au rythme de la transformation numérique]
Suivre l'évolution de la « prolifération réglementaire » et s'y préparer
La nouvelle loi du Sénat n'est que la dernière d'une série de réglementations relatives à l'intégrité des données qui voient le jour aux États-Unis et dans le monde entier. L'évolution de la mentalité réglementaire au Capitole, de 2015 à aujourd'hui , est un bon indicateur de la direction que prennent les choses. Ce qui avait commencé par une demande polie d'informations fournies à titre volontaire s'est transformé en une exigence incontestable.
«C’est un véritable casse-tête que de mettre au point un programme qui soit conforme aux normes internationales. »Kenneth Citarella, directeur général senior chargé des enquêtes chez Guidepost Solutions LLC
La réalité pour les multinationales est la suivante : elles font aujourd'hui l'objet d'une surveillance plus étroite que jamais en matière de respect des lois relatives à la sécurité numérique et à la protection de la vie privée. Et l'invasion de l'Ukraine a mis le monde sur le qui-vive. La réglementation, du moins dans un avenir prévisible, ne fera que se durcir. Et multipliez-vous.
« Mettre au point un programme conforme aux normes internationales relève véritablement du casse-tête », a déclaré Kenneth Citarella à lors de la conférence « Endpoint » l’année dernière. En tant que directeur général senior chargé des enquêtes chez Guidepost Solutions LLC, M. Citarella résout les problèmes de conformité et aide ses clients à comprendre les juridictions dans lesquelles ils exercent leurs activités, les données qu’ils sont autorisés à collecter, ainsi que les modalités selon lesquelles ils peuvent ou ne peuvent pas les partager.
« Il faut entrer dans les moindres détails », dit-il.
Il n'existe aucun logiciel prêt à l'emploi pour vous aider à faire cela. Pour l'instant, les organisations doivent trouver des moyens fiables d'évaluer efficacement leur niveau de risque en matière d' et de se conformer aux nouvelles réglementations, tant en France qu'à l'étranger.
La multiplication des nouvelles règles et réglementations est vertigineuse… et coûteuse. Si une marque franchit la ligne à ne pas franchir, elle risque de perdre des revenus et de ternir sa réputation. La conformité devient ainsi la toute dernière menace cybernétique — et les professionnels de la sécurité constituent la meilleure ligne de défense dans un monde de plus en plus complexe.
