Pour Sean Zadig, directeur de la sécurité de l’information chez Verizon Media, la COVID-19 a imposé toutes sortes de tâches urgentes de cybersécurité, de la défense des réseaux de l’entreprise contre les attaques accrues de pirates informatiques à l’éducation de la main-d’œuvre largement distante de l’entreprise sur les escroqueries par hameçonnage.
L’entreprise, qui supervise des marques telles que Yahoo, Engadget et TechCrunch, a constaté que le fait d’attirer des employés largement dispersés pour prêter une attention particulière à la sécurité nécessitait quelque chose de plus convaincant que les webinaires et FAQ habituels sur les pratiques sûres. Le personnel de sécurité, connu en interne sous le nom de « Les paranoïdes », a donc créé une rivalité à l’échelle de l’entreprise sur les meilleures habitudes de sécurité.
Le groupe a créé un tableau de bord que les responsables pourraient utiliser pour suivre l’utilisation des logiciels de gestion des mots de passe par les employés et pour comparer leurs performances à celles des autres groupes de responsables. L’intérêt pour la concurrence était si élevé que certains cadres ont recruté des membres du personnel de sécurité pour aider les membres de l’équipe à augmenter leur utilisation. L’attention supplémentaire était « inattendue », déclare Zadig.
Pour de nombreuses entreprises, faire face à la pandémie a payé des dividendes inattendus en matière de cybersécurité. La sécurisation des systèmes numériques a toujours été considérée comme importante, mais dans de nombreuses organisations, il s’agit d’une priorité parmi beaucoup, et pas toujours d’une priorité élevée. Les équipes de cybersécurité s’efforcent toujours d’attirer les ressources et l’attention des cadres, et les services informatiques et commerciaux considèrent souvent la sécurité comme un obstacle à la fluidité et à l’efficacité des opérations.
Urgence de toutes les mains pour la cybersécurité
Aujourd’hui, le personnel travaillant à distance et les pirates informatiques intensifiant les attaques, les entreprises s’attaquent aux problèmes de sécurité avec plus de gravité, d’un point de vue organisationnel et culturel. Les cadres supérieurs consacrent plus d’attention à s’assurer que les initiatives de sécurité sont accélérées, et les équipes de sécurité trouvent de nouvelles opportunités de collaborer avec d’autres services.
La COVID a même eu l’avantage inattendu d’aider à combler certaines des différences institutionnelles entre les équipes informatiques et de sécurité. Dans une juillet 2020 enquête de la Information Systems Security Association, un tiers des entreprises ont déclaré avoir connu une amélioration significative de la coordination entre les cadres de sécurité, l’informatique et d’autres dirigeants d’entreprise en raison de la pandémie.
« Les entreprises commencent à comprendre que la sécurité est un problème de gestion des risques à l’échelle de l’entreprise. »Larry Clinton, président de l’Alliance pour la sécurité Internet
« La façon dont les gens ont historiquement vu la cybersécurité est qu’il s’agit d’un problème technique : il y a quelque chose de mal avec un widget dans le système », déclare Larry Clinton, président de l’ Alliance de sécurité Internet, une organisation commerciale de Washington, D.C.. « Les entreprises commencent à comprendre que c’est quelque chose de beaucoup plus grand. C’est un problème de gestion des risques à l’échelle de l’entreprise. »
La pandémie a également persuadé certaines entreprises de donner aux RSSI un meilleur accès aux principaux dirigeants d’entreprise. Dans une grande compagnie d’assurance, selon Keri Pearlson, directeur exécutif d’un consortium de cybersécurité à la MIT Sloan School of Management, le RSSI est passé du rapport au directeur de l’information au directeur de l’exploitation. Cela a permis au responsable de la sécurité de travailler plus étroitement avec les responsables des RH pour promouvoir la sensibilisation à la cybersécurité plus largement auprès des employés. Elle a également permis au RSSI de collaborer avec le personnel des opérations et de renforcer les pratiques de sécurité avec les nombreux fournisseurs de l’entreprise.
[Lire également : Sécurité de la chaîne d’approvisionnement : à quoi ressemble le bien.]
À la banque numérique brésilienne C6 en pleine croissance, le RSSI a récemment obtenu un accès direct au PDG et n’est plus sous la responsabilité du directeur de la technologie de la société, Nelson Novaes. Selon Novaes, le changement a aidé le RSSI à s’assurer que le principal patron modélisait les bonnes pratiques, telles que l’utilisation de la biométrie faciale pour accéder aux systèmes de l’entreprise.
Jouer au rattrapage en situation de crise
De nombreuses preuves au fil des ans ont montré l’augmentation du coût des risques de cybersécurité : les pertes mondiales des entreprises dues à la cybercriminalité ont dépassé les 1 000 milliards USD en 2020, selon un rapport McAfee. Voici l’ironie cruelle : la plupart de ces coûts pourraient être considérablement réduits grâce à de simples tactiques de blocage et d’attaque, telles que le contrôle des correctifs de sécurité. Quatre entreprises sur 10 ayant subi une violation en 2019, par exemple, étaient déjà conscientes de la vulnérabilité avant qu’elle ne se produise, selon une enquête du Ponemon Institute ; 60 % disposaient déjà des correctifs disponibles, mais ne pouvaient pas les installer à temps.
Avec la pandémie, ces dangers ne se sont que multipliés, et les problèmes négligés depuis longtemps, tels que s’assurer que les travailleurs à distance peuvent accéder en toute sécurité aux réseaux d’entreprise, sont devenus plus difficiles à repousser.
Au cours des six premiers mois de 2020, les pirates informatiques ont lancé plus de tentatives d’intrusion sur les réseaux d’entreprise que sur l’ensemble des 2019, selon un rapport sur les menaces de CrowdStrike. Les menaces sont également beaucoup plus distribuées qu’auparavant. Les pirates informatiques ont ciblé à la fois les employés et les partenaires de la chaîne d ’approvisionnement avec des e-mails d’hameçonnage sophistiqués liés à la COVID et des attaques de logiciels malveillants. Il s’agit notamment de fausses listes d’infections dans le voisinage d’une personne prétendument envoyées par les Centers for Disease Control and Prevention, de sites Web avec des logiciels malveillants intégrés vendant de fausses cartes d’exemption de masque facial, et d’appels du patron pour aider quelqu’un dans le besoin, pour n’en citer que quelques-unes.
« La sécurité implique désormais beaucoup plus de domaines », déclare Clinton. « Votre service juridique doit mettre les bonnes procédures de sécurité dans les contrats pour s’assurer que vos partenaires ne sont pas vulnérables. Vos auditeurs doivent vérifier auprès de leurs auditeurs, etc. »
Planification pour l’avenir
La pandémie a également contribué à accélérer le déploiement de nouveaux outils de sécurité, tels que les systèmes Zero Trust qui exigent généralement que les employés utilisent deux types d’authentification (comme un mot de passe et un code mobile unique) lors de l’accès aux systèmes de l’entreprise. Un rapport Forrester de a octobre 2020 révélé que 75 % des décideurs informatiques prévoyaient d’accélérer ou de commencer un passage à une sécurité Zero Trust en raison de la pandémie, et près de 40 % ont déclaré avoir lancé un pilote Zero Trust en 2020.
« Si vous m’aviez demandé il y a un an : « Pourriez-vous déployer un réseau Zero Trust si une pandémie se produisait et que l’entreprise devait changer de réseau en quelques semaines ? » J’aurais dit : « Non, c’est impossible », déclare Kevin Curran, professeur de cybersécurité à l’Ulster University en Irlande du Nord.
Une collaboration plus étroite entre les équipes informatiques, commerciales et de sécurité a également apporté des talents non traditionnels dans le domaine de la sécurité. Une grande société de services financiers a pris l’étape inhabituelle d’embaucher un expert en marketing sans expérience technologique pour le nouveau rôle d’« évangéliste de la cybersécurité », déclare Pearlson de MIT Sloan. Sa mission : trouver des moyens plus efficaces de communiquer les raisons pour lesquelles tout le monde devrait se soucier de la cybersécurité, en particulier lorsqu’il travaille à domicile pendant une pandémie.
[Lire également : Comment transformer vos télétravailleurs en défenseurs de la sécurité]
Dans un simple changement, la directrice du marketing a rebaptisé la « cybersécurité » dans ses présentations, vidéos et e-mails comme « protection des données » pour la redéfinir comme quelque chose qui transmet une valeur claire à l’entreprise, pas seulement comme un concept abstrait.
« La pandémie a mis en lumière la nécessité pour tout le monde d’avoir un rôle dans la cybersécurité et de se sentir habilité à faire quelque chose », déclare Pearlson. « Il s’agit de changer les cœurs et les esprits. »
