De nombreuses organisations ont mis en place avec succès des plans extrêmement solides visant à mobiliser et à faire face aux menaces informatiques courantes telles que les attaques par ransomware, les fuites de données et les tentatives d'hameçonnage.
Mais que se passe-t-il lorsqu'une entreprise est confrontée à un événement si catastrophique qu'elle n'avait même pas envisagé de s'y préparer ?
Prenons, par exemple, une cyberguerre, une paralysie du système bancaire mondial ou un nouveau virus pour lequel il n'existe aucun remède. Enterprise concern for such black swan events—aka “unknown unknowns”—grew after former Wall Street options trader Nassim Nicholas Taleb published his 2007 bestseller, The Black Swan. Il y affirme que les scénarios les plus pessimistes sont, comme on peut s'y attendre, imprévisibles et peuvent entraîner une catastrophe pour l'entreprise.
Erin Bajema en a fait l'expérience de près.
« Il s’agit d’événements dont l’impact est très important, mais dont la probabilité de survenue est très faible », explique M. Bajema, associé gérant et responsable du secteur cyber chez Hagerty Consulting, un cabinet spécialisé dans la gestion des situations d’urgence.
« Elles sont pratiquement impossibles à prévoir », explique-t-elle, « et leur signification variera en fonction de l’organisation, de l’étendue de ses services et des éléments de son infrastructure concernés. »
Peu d'organisations tentent d'envisager de tels événements, et ce pour diverses raisons. Il arrive parfois que les dirigeants partent du principe, avec une confiance excessive, qu'un événement d'une telle ampleur ne pourrait jamais se produire. D'autres fois, elles ne disposent pas des ressources nécessaires pour se consacrer à la planification des scénarios les plus pessimistes.
De plus, imaginer une « inconnue inconnue » est accablant. Ainsi, de nombreuses organisations concentrent leurs efforts sur l'identification et la préparation aux risques les plus fréquents et les plus probables auxquels elles seront confrontées.
«Il s’agit d’événements dont l’impact est très important et dont la probabilité de survenue est très faible. »Erin Bajema, associée directrice et responsable du secteur de la cybersécurité chez Hagerty Consulting
« Lorsque vous êtes confronté quotidiennement aux mêmes risques de faible gravité, il devient facile d’axer l’ensemble de votre approche de gestion de crise sur ces éléments », explique M. Bajema. Mais les choses sont en train de changer : « Les organisations prennent conscience qu’elles doivent commencer à se préparer à des événements véritabl ment catastrophiques. » « S’ils ne le font pas, les conséquences pourraient être désastreuses. »
Au secours ! Au secours !
Envisager les « inconnues inconnues » — même si cela s’avère difficile et dérangeant — est un exercice essentiel que les conseils d’administration et les dirigeants doivent mener avant qu’il ne soit trop tard. Voici par où commencer.
1. Constituez votre équipe
Selon M. Bajema, la planification de la participation des parties prenantes constitue une première étape essentielle pour anticiper les « inconnues inconnues ». « Il faut réunir une équipe composée de personnes possédant le niveau d’expertise, de connaissances et de compétences requis afin d’élaborer un plan qui puisse réellement être mis en œuvre dans la pratique », explique-t-elle.
Les parties prenantes concernées devraient être représentatives de l'ensemble de l'organisation. « L' de la diversité permet de garantir une prise en compte approfondie de toutes les possibilités et une réponse globale », explique F. Charlene Watson, consultante senior en cybersécurité au sein de la société d'ingénierie multinationale AECOM. Parmi les parties prenantes peuvent figurer des membres des équipes chargées de la communication et des relations avec les médias, des ressources humaines, de la paie, de la cybersécurité et du service juridique, ainsi que des membres du conseil d'administration et de la direction générale.
2. Commencez modestement
Pour les petites organisations, ou celles dont les ressources sont limitées, envisager des « inconnues inconnues » peut s'avérer particulièrement intimidant. « Certains parviennent à peine à garder la tête hors de l'eau et à gérer leurs risques au quotidien », explique M. Bajema. « Si vous essayez de vous attaquer directement à un événement catastrophique sans avoir mis au point vos concepts de base en matière d’intervention en cas d’incident, vous vous exposez à un échec. »
«Personne ne veut admettre qu’il est vulnérable, et il n’est pas facile d’évoquer des événements qui pourraient littéralement anéantir son entreprise. »F. Charlene Watson, consultante senior en cybersécurité, AECOM
Pour ces organisations, elle recommande de commencer modestement par une planification de scénarios de base ou par des exercices de simulation sur table axés sur l' . Les équipes peuvent s'appuyer sur un événement passé ou une étude de cas pour élaborer un scénario de réponse, ce qui permet de vérifier certaines hypothèses, telles que le fonctionnement actuel des processus métier d'une organisation, et peut mettre en évidence les points de défaillance uniques de chacun de ses services critiques.
Peter Schwartz, pionnier de la planification par scénarios et aujourd'hui futuriste en chef chez Salesforce, a conçu les scénarios comme des récits riches et fondés sur des données concernant l'avenir, capables de guider de meilleures décisions dès aujourd'hui. L'objectif n'est pas de trouver la certitude, mais plutôt de créer une « carte de l'incertitude» () ; il ne s'agit pas de renforcer ce que vous savez déjà, mais bien de « rendre visible ce que vous ne voyez pas ».
[À lire également : Qu'est-ce que la recherche de menaces et pourquoi est-ce important ?
M. Watson, d'AECOM, recommande aux entreprises d'organiser des exercices de simulation tous les six mois. « De nombreuses entreprises ne le font pas car elles ne considèrent pas que cela leur permette d’augmenter leur marge bénéficiaire », explique-t-elle. « Ils n’en perçoivent pas l’intérêt avant qu’il ne soit trop tard et qu’ils se retrouvent confrontés à une situation critique d’
. »
3. Apprenez à vous sentir à l'aise dans des situations inconfortables
Watson reconnaît qu’il n’est pas facile, pour de nombreux membres de conseils d’administration et dirigeants, d’envisager les « inconnues inconnues ». « Personne ne veut admettre qu’il est vulnérable, et il n’est pas facile d’évoquer des événements qui pourraient littéralement anéantir son entreprise », explique-t-elle.
Il est toutefois essentiel de surmonter ce sentiment de malaise. M. Bajema, qui organise des exercices sur table avec les hauts responsables, explique qu’il arrive toujours un moment où le scénario met le système à rude épreuve — souvent de manière intentionnelle.
« Lorsque les parties prenantes en arrivent là, elles se disent : “Bon, ça ne fonctionne plus, et c’est tout.” » Pour les encourager à dépasser ce stade, nous leur disons : « Bon, maintenant que votre réseau électrique d' s est en panne, qu'allez-vous faire ? » « Les conseils d'administration doivent être prêts à envisager ce scénario catastrophe. »
4. Formaliser les processus et combler les lacunes
À mesure que les organisations mènent des exercices de simulation de scénarios catastrophe, une image plus précise se dessinera quant à la qualité de la collaboration au sein des équipes et à la clarté de leurs rôles et responsabilités. « Les processus et les procédures doivent être documentés, et il convient de remédier à toute lacune ou à tout chevauchement des tâches », explique M. Bajema.
«Les conseils d’administration doivent être prêts à envisager ce scénario catastrophe. »F. Charlene Watson
Par exemple, les organisations peuvent constater que le service des ressources humaines et l'équipe de communication sont tous deux chargés de la communication à la suite d'un événement d'urgence et doivent donc se coordonner, ou encore qu'aucune mission d'intervention en cas d'incident n'a été attribuée à une personne ou à une équipe en particulier. La formalisation des processus permet de vérifier si les rôles et les responsabilités ont été correctement attribués.
« Cela vous permet de disposer d’un plan et d’un processus harmonisés, de sorte que, lorsqu’un incident survient, il n’y ait pas de divergences entre les lignes d’action des différents services », ajoute M. Bajema.
5. Tenez compte de l'évolutivité et de l'adaptabilité
De nombreuses organisations ont mis en place des plans d'intervention en cas d' afin de faire face aux menaces quotidiennes en matière de cybersécurité et aux perturbations de leurs activités. Dans ces cas-là, adapter les plans pour qu'ils s'appliquent aux scénarios les plus pessimistes peut constituer une autre façon d'aborder les « inconnues inconnues ». M. Bajema appelle cela une « matrice d'escalade », qui reprend les procédures déjà en place et les étend aux événements catastrophiques.
« Si vous êtes en mesure de réviser l’un de ces plans, ou de le mettre à jour ou de le renforcer afin de l’adapter à une catastrophe de plus grande ampleur, c’est une façon de tirer parti de ce dont vous disposez déjà pour le rendre plus efficace face à un événement « cygne noir » », explique-t-elle.
6. Investissez dans la formation
Selon M. Bajema, les organisations devraient envisager de former les membres de leur conseil d'administration, leurs cadres supérieurs et les autres groupes responsables à anticiper l'inconnu et à s'y préparer. Il peut s'agir d'une simple formation de sensibilisation, en fonction du niveau de connaissance du conseil d'administration en matière de cybersécurité, ou d'initiatives plus avancées, telles que la gestion de
s de crise.
« Anticiper les inconnues inconnues est un élément essentiel du programme de cybersécurité de toute organisation », affirme M. Watson. Elle explique que cette procédure ressemble beaucoup au paiement de votre facture d'électricité. Vous réglez votre facture chaque mois, et, sans faute, vous disposez de l'électricité lorsque vous en avez besoin. Mais il se peut qu'un jour, vous oubliez de payer une facture et que votre électricité soit coupée.
« En d’autres termes, vous investissez dans votre organisation en mettant en place des mesures de cybersécurité afin d’assurer la sécurité de votre entreprise », explique-t-elle. « Si vous ne donnez pas la priorité à la préparation face à un événement « cygne noir » et que votre organisation est confrontée au pire des scénarios, vous ne serez pas prêt, car vous n’aurez pas fait ce que vous auriez dû faire. » « Que va-t-il se passer ensuite ? »
