De nombreuses organisations ont élaboré avec succès des plans solides pour mobiliser et répondre aux cyber-attaques courantes telles que les attaques de ransomware, les violations de données et les escroqueries par hameçonnage.
Mais que se passe-t-il lorsqu’une entreprise est touchée par un événement si désastreux qu’elle n’a même jamais pensé à le planifier ?
Prenez, par exemple, la cyberguerre, l’arrêt du système bancaire mondial ou un nouveau virus sans remède. La préoccupation des entreprises pour ces événements de cygne noir, c’est-à-dire les « inconnues inconnues », s’est développée après que l’ancien négociant d’options de Wall Street, Nassim Nicholas Taleb, a publié son 2007 best-seller, The Black Swan. Il soutient que les pires scénarios sont prévisibles et peuvent épeler une catastrophe d’entreprise.
Erin Bajema a vu cela de près.
« Il s’agit d’événements qui ont un impact très élevé et une probabilité très faible de se produire », déclare Bajema, responsable de la gestion des associés et du cybersecteur chez Hagerty Consulting, une société de gestion des urgences.
« Ils sont presque impossibles à prédire », déclare-t-elle, « et signifieront quelque chose de différent en fonction de l’organisation, de son champ d’application des services et des parties de son infrastructure impliquées. »
Peu d’organisations tentent d’imaginer de tels événements, et pour diverses raisons. Parfois, les dirigeants supposent avec trop de confiance que quelque chose de cette ampleur ne pourrait jamais se produire. D’autres fois, ils n’ont pas les ressources nécessaires pour se consacrer à la planification des scénarios les plus défavorables.
De plus, imaginer une inconnue est accablant. Ainsi, de nombreuses organisations dirigent leurs efforts vers l’identification et la planification des risques les plus fréquents et les plus probables auxquels elles seront confrontées.
« Il s’agit d’événements qui ont un impact très élevé et une très faible probabilité de se produire. »Erin Bajema, responsable de la gestion des associés et du secteur cybernétique, Hagerty Consulting
« Lorsque vous faites face aux mêmes risques de faible niveau au quotidien, il devient facile de centrer l’ensemble de votre approche de gestion de crise sur ces éléments », déclare Bajema. Cela change : « Les organisations réalisent qu’elles doivent commencer à se préparer à des événements vraiment catastrophiques. Si ce n’est pas le cas, les conséquences peuvent être désastreuses. »
Mai ! Mai !
L’imagination des inconnues, bien que difficile et inconfortable, est un exercice essentiel que les conseils d’administration et les dirigeants doivent effectuer avant qu’il ne soit trop tard. Voici par où commencer.
1. Rassemblez votre équipe
La planification de l’engagement des parties prenantes est une première étape essentielle pour imaginer les inconnues, explique Bajema. « Vous devez réunir une équipe de personnes ayant le bon niveau d’expertise, de connaissances et de compétences afin d’informer le plan afin qu’il puisse réellement être utilisé dans le monde réel », dit-elle.
Les parties prenantes impliquées doivent être représentatives de l’ensemble de l’organisation. La diversité contribue à garantir une prise en compte approfondie de toutes les possibilités et une réponse complète, déclare F. Charlene Watson, consultant principal en cybersécurité chez la société d’ingénierie multinationale AECOM. Les parties prenantes peuvent inclure des membres des équipes de communication et de relations avec les médias, des ressources humaines, de la paie, de la cybersécurité et du service juridique, ainsi que des membres du conseil d’administration et de la direction.
2. Commencer petit
Pour les petites organisations ou celles dont les ressources sont limitées, imaginer des inconnues peut être particulièrement intimidant. « Certains peuvent à peine garder la tête au-dessus de l’eau et gérer à peine leurs risques quotidiens », déclare Bajema. « Si vous essayez d’aller directement à un événement catastrophique sans avoir vos concepts de base [réponse aux incidents], vous vous préparez à l’échec. »
« Personne ne veut croire qu’ils sont vulnérables, et parler d’événements qui pourraient littéralement détruire leur entreprise n’est pas à l’aise. »F. Charlene Watson, consultante en cybersécurité senior, AECOM
Pour ces organisations, elle recommande de commencer petit avec une planification de scénario de base ou des exercices de table basés sur un scénario. Les équipes peuvent utiliser un événement ou une étude de cas passée pour modéliser une réponse, ce qui aide à tester des hypothèses, telles que la manière dont les processus commerciaux d’une organisation fonctionnent actuellement, et peut révéler des points de défaillance uniques pour chacun de ses services critiques.
Peter Schwartz, pionnier de la planification de scénarios, désormais futuriste en chef de Salesforce, a conçu des scénarios comme des histoires riches et axées sur les données sur l’avenir qui peuvent prendre de meilleures décisions aujourd’hui. L’objectif n’est pas de trouver la certitude, mais plutôt de créer une « carte d’incertitude » ; il ne s’agit pas de renforcer ce que vous savez déjà, mais plutôt de « rendre visible ce que vous ne voyez pas ».
4. Formaliser les processus et combler les lacunes
À mesure que les organisations effectuent des exercices de scénario dans le pire des cas, une image plus claire de la manière dont les équipes travaillent ensemble et de la clarté de leurs rôles et responsabilités émergera. Les processus et les procédures doivent être documentés, et toute lacune ou tous les efforts qui se chevauchent doivent être traités, explique Bajema.
« Les conseils d’administration doivent être disposés à se mettre dans cette situation de pire scénario. »F. Charlene Watson
Par exemple, les organisations peuvent découvrir que les RH et l’équipe de communication sont responsables de la sensibilisation à la suite d’un événement d’urgence et doivent se coordonner, ou qu’un devoir de réponse aux incidents n’a pas été attribué à une personne ou une équipe particulière. La formalisation des processus permet d’identifier si les rôles et responsabilités ont été correctement attribués.
« Cela vous permet d’avoir un plan et un processus unifiés, de sorte que lorsqu’un événement se produit, vous n’avez pas de voies d’action contradictoires entre les services », ajoute Bajema.
5. Tenez compte de l’évolutivité et de l’adaptabilité
De nombreuses organisations ont mis en place des plans d’intervention pour répondre aux menaces de cybersécurité et aux perturbations commerciales quotidiennes. Dans ces cas, l’adaptation des plans à appliquer aux pires scénarios peut être une autre façon d’approcher les inconnues. Bajema appelle cela une « matrice d’escalade », qui prend les procédures déjà en place et les étend aux événements catastrophiques.
« Si vous êtes en mesure de réviser l’un de ces plans, de le mettre à jour ou de le renforcer pour évoluer et vous adapter à une catastrophe plus importante, c’est une façon de prendre ce que vous avez déjà et de le rendre plus utilisable pour un événement de cygne noir », dit-elle.
6. Investir dans la formation
Les organisations doivent envisager de former les membres de leur conseil d’administration, les cadres supérieurs et d’autres groupes responsables à imaginer et à se préparer à l’inconnu, explique Bajema. Il peut s’agir de quelque chose d’aussi simple que la formation de sensibilisation de base, en fonction du niveau d’éducation en cybersécurité du conseil d’administration, ou d’initiatives plus avancées, telles que les communications de
crise.
L’imagerie des inconnues est un élément essentiel du programme de cybersécurité de chaque organisation, déclare Watson. Elle dit que le processus revient beaucoup à payer votre facture d’électricité. Vous payez votre facture tous les mois, et sans défaillance, votre alimentation s’allume lorsque vous en avez besoin. Mais il peut y avoir un jour où vous négligez de payer une facture et où votre alimentation est coupée.
« En d’autres termes, vous investissez dans votre organisation grâce à des mesures de cybersécurité pour assurer la sécurité de votre entreprise », dit-elle. « Si vous ne hiérarchisez pas la planification d’un événement de cygne noir et que votre organisation connaît un pire scénario, vous n’êtes pas préparé, car vous n’avez pas fait ce que vous auriez dû faire. Que se passe-t-il ensuite ? »
