Pour Sean Zadig, responsable de la sécurité informatique chez Verizon Media, la pandémie de COVID-19 a rendu indispensables toutes sortes de mesures urgentes en matière de cybersécurité, qu’il s’agisse de protéger les réseaux de l’entreprise contre la recrudescence des attaques de pirates informatiques ou de sensibiliser le personnel, travaillant en grande partie à distance, aux tentatives d’hameçonnage liées à l’ .
L'entreprise, qui gère des marques telles que Yahoo, Engadget et TechCrunch, a constaté que pour amener des collaborateurs dispersés aux quatre coins du monde à accorder davantage d'attention à la sécurité, il fallait quelque chose de plus convaincant que les webinaires et les FAQ habituels sur les bonnes pratiques en matière de sécurité. C'est ainsi que l'équipe de sécurité, surnommée en interne « Les Paranoïaques », a lancé un concours à l'échelle de l'entreprise pour récompenser les meilleures pratiques en matière de sécurité.
Le groupe a mis au point un tableau de bord permettant aux responsables de suivre l'utilisation par les employés des logiciels de gestion des mots de passe et de comparer leurs performances à celles des équipes dirigées par d'autres responsables. L'intérêt suscité par ce concours était si grand que certains dirigeants ont fait appel à des agents de sécurité pour aider les membres des équipes à accroître leur utilisation. Cette attention particulière était « inattendue », déclare Zadig.
Pour de nombreuses entreprises, la gestion de la pandémie a eu des retombées positives inattendues en matière de cybersécurité. La sécurisation des systèmes numériques a toujours été considérée comme importante, mais dans de nombreuses organisations, elle ne constitue qu'une priorité parmi d'autres — et pas toujours une priorité majeure. Les équipes chargées de la cybersécurité peinent toujours à obtenir des ressources et à retenir l'attention de la direction, tandis que les services informatiques et les départements opérationnels ont souvent considéré la sécurité comme un frein au bon déroulement et à l'efficacité des opérations.
Une mobilisation générale s'impose en matière de cybersécurité
Aujourd’hui, alors que les collaborateurs travaillent à distance et que les pirates informatiques de type « » multiplient leurs attaques, les entreprises abordent les questions de sécurité avec davantage de sérieux, tant sur le plan organisationnel que culturel. Les dirigeants accordent davantage d'attention à la mise en œuvre accélérée des initiatives de sécurité de l' , et les équipes de sécurité trouvent de nouvelles occasions de collaborer avec d'autres services.
La COVID a même eu pour effet inattendu de contribuer à combler certaines des divergences institutionnelles entre les équipes informatiques et celles chargées de la sécurité. Dans une enquête intitulée « juillet 2020 » () menée par l’Information Systems Security Association (ISSA), un tiers des entreprises ont déclaré avoir constaté une amélioration significative de la coordination entre les responsables de la sécurité, les services informatiques et les autres dirigeants de l’entreprise en raison de la pandémie.
«Les entreprises commencent à comprendre que la sécurité relève de la gestion des risques à l’échelle de l’entreprise. »Larry Clinton, président de l'Internet Security Alliance
« Historiquement, la cybersécurité a toujours été perçue comme un problème technique : il y a un dysfonctionnement au niveau d’un composant du système », explique Larry Clinton, président de l’ Internet Security Alliance, une organisation professionnelle basée à Washington, D.C. « Les entreprises commencent à comprendre qu’il s’agit d’un enjeu bien plus vaste. » « Il s’agit d’un enjeu de gestion des risques à l’échelle de l’entreprise. »
La pandémie a également incité certaines entreprises à accorder aux responsables de la sécurité des systèmes d'information (RSSI) un accès plus large aux dirigeants de l'entreprise. Au sein d'une grande compagnie d'assurance, selon Keri Pearlson, directrice exécutive d'un consortium dédié à la cybersécurité à la MIT Sloan School of Management, le RSSI est passé d'une relation hiérarchique avec le directeur des systèmes d'information à une relation avec le directeur des opérations. Cela a permis au responsable de la sécurité de collaborer plus étroitement avec les responsables des ressources humaines afin de sensibiliser davantage l'ensemble du personnel à la cybersécurité. Cela a également permis au responsable de la sécurité des systèmes d'information (RSSI) de collaborer avec le personnel opérationnel et de renforcer les mesures de sécurité mises en place avec les nombreux fournisseurs de l'entreprise.
Au sein de la banque numérique brésilienne C6, qui connaît une croissance fulgurante, le responsable de la sécurité des systèmes d'information (RSSI) a récemment obtenu un accès direct au PDG et ne rend désormais plus compte au directeur technique de l'entreprise, Nelson Novaes. Selon M. Novaes, ce changement a permis au responsable de la sécurité des systèmes d'information (RSSI) de s'assurer que le grand patron donnait l'exemple en adoptant de bonnes pratiques, telles que l'utilisation de la biométrie faciale pour accéder aux systèmes de l'entreprise.
Rattraper son retard en période de crise
Au fil des ans, de nombreuses données ont mis en évidence l'augmentation constante du coût des risques liés à la cybersécurité : selon un rapport de McAfee intitulé « » (), les pertes mondiales subies par les entreprises en raison de la cybercriminalité ont dépassé 1 000 milliards de dollars en 2020. Voici l'ironie cruelle : la plupart de ces coûts pourraient être considérablement réduits grâce à des mesures simples et efficaces, comme le fait de veiller à appliquer régulièrement les correctifs de sécurité. Par exemple, selon une enquête de l'Institut Ponemon intitulée « » (), quatre entreprises sur 10 ayant subi une violation de données en 2019 avaient déjà connaissance de la vulnérabilité avant qu'elle ne se concrétise ; 60 % disposaient déjà des correctifs nécessaires, mais n'ont pas pu les installer à temps.
Avec la pandémie, ces risques n’ont fait que se multiplier, et il est devenu de plus en plus difficile de repousser à plus tard des questions longtemps négligées, telles que la nécessité de garantir aux télétravailleurs un accès sécurisé aux réseaux d’entreprise via .
Au cours des six premiers mois de l'année 2020, les pirates informatiques ont lancé davantage de tentatives d'intrusion dans les réseaux d'entreprise que pendant toute l'année 2019, selon un rapport sur les menaces publié par CrowdStrike. Les menaces sont également beaucoup plus dispersées qu'auparavant. Des pirates informatiques ont pris pour cible tant les employés que les partenaires de la chaîne d'approvisionnement d' au moyen d'e-mails de hameçonnage sophistiqués liés au COVID-19 et d'attaques par logiciels malveillants. Il s’agit notamment de fausses listes de cas d’infection dans le quartier d’une personne, prétendument envoyées par les Centres pour le contrôle et la prévention des maladies, de sites web contenant des logiciels malveillants et proposant à la vente de fausses cartes d’exemption du port du masque, ainsi que d’appels lancés par un supérieur hiérarchique pour venir en aide à une personne dans le besoin, pour n’en citer que quelques-uns.
« La sécurité touche désormais un nombre bien plus grand de domaines », déclare Mme Clinton. « Votre service juridique doit intégrer les procédures de sécurité appropriées dans les contrats afin de garantir que vos partenaires ne soient pas exposés à des risques. » « Vos auditeurs doivent se renseigner auprès de leurs auditeurs, et ainsi de suite. »
Préparer l'avenir
La pandémie a également contribué à accélérer le déploiement de nouveaux outils de sécurité, tels que les systèmes « zero trust » qui exigent généralement des employés qu’ils utilisent deux types d’authentification (par exemple, un mot de passe et un code mobile unique) pour accéder aux systèmes de l’entreprise. Un rapport de Forrester intitulé « » ( ), disponible sur octobre 2020 , a révélé que 75 % des décideurs informatiques prévoyaient d’accélérer ou d’entamer leur transition vers un modèle de sécurité « zero trust » en raison de la pandémie, et près de 40 % ont déclaré avoir lancé un projet pilote « zero trust » en 2020.
« Si vous m’aviez demandé il y a un an : “Seriez-vous capable de mettre en place un réseau « zero trust » si une pandémie venait à se déclarer et que l’entreprise devait s’y adapter en l’espace de quelques semaines ?” » « J’aurais répondu : “Non, c’est impossible” », déclare Kevin Curran, professeur de cybersécurité à l’université d’Ulster, en Irlande du Nord.
Une collaboration plus étroite entre les équipes informatiques, métier et de sécurité a également permis à des profils atypiques de s'orienter vers le domaine de la sécurité. Une grande entreprise du secteur des services financiers a pris la décision inhabituelle de recruter un expert en marketing sans aucune expérience dans le domaine technologique pour occuper le nouveau poste d’« évangéliste de la cybersécurité », explique M. Pearlson, du MIT Sloan. Sa mission : trouver des moyens plus efficaces d'expliquer pourquoi la cybersécurité est un sujet qui concerne tout le monde, en particulier lorsque l'on travaille à domicile en période de pandémie.
[À lire également : Comment faire de vos télétravailleurs des ambassadeurs de la sécurité]
D'un simple changement, la responsable marketing a rebaptisé le terme « cybersécurité » en « protection des données » dans ses présentations, ses vidéos et ses e-mails, afin de le présenter comme un élément apportant une valeur ajoutée évidente à l'entreprise, et non plus comme un simple concept abstrait.
« La pandémie a mis en lumière la nécessité pour chacun de jouer un rôle dans la cybersécurité et d’avoir le sentiment de pouvoir agir », déclare M. Pearlson. « Il s’agit de faire évoluer les mentalités. »
