Alors que les attaques par ransomware et autres menaces de cybersécurité gagnent en sophistication, les entreprises sont confrontées à un nouveau problème préoccupant : la multiplication des recours collectifs à la suite d'une fuite de données.
Comme si les retards de production et l'atteinte à la réputation causés par de telles attaques ne suffisaient pas, les dirigeants doivent désormais également tenir compte du risque de se retrouver devant les tribunaux. Une récente enquête menée par l' auprès de responsables des services juridiques chargés des litiges au sein de multinationales a révélé que les questions de cybersécurité et de protection des données constitueront les principaux facteurs à l'origine de nouveaux litiges au cours des prochaines années.
Parallèlement à l'augmentation du nombre de recours collectifs, on observe une flambée du coût des accords à l'amiable. En 2020, l'une des affaires les plus médiatisées et les plus coûteuses — une cyberattaque contre l'agence de notation Equifax — a donné lieu à un recours collectif qui s'est soldé par un accord à l'amiable de 700 millions de dollars, dont 425 millions étaient destinés à indemniser les consommateurs.
D'autres recours collectifs liés à des fuites de données ont également donné lieu à des accords à l'amiable d'un montant considérable : Capital One a conclu un accord à l'amiable de 190 millions de dollars à la suite d'une fuite de données massive touchant 2019 personnes ; Uber a accepté de verser 148 millions de dollars pour régler un litige civil lié à une fuite de données touchant 2016 personnes ; et plus récemment, T-Mobile a accepté de verser 350 millions de dollars pour mettre fin aux poursuites selon lesquelles l'entreprise n'aurait pas su empêcher une fuite de données ayant touché 76 millions d'Américains. (La date limite fixée par l' pour le dépôt d'une demande par ces personnes était en janvier.)
Ces montants montrent clairement, si ce n'était pas déjà le cas, qu'il est plus crucial que jamais de donner la priorité à la cybersécurité, note Mike Morgan, associé et responsable américain du département mondial de la protection de la vie privée et de la cybersécurité au sein du cabinet d'avocats international McDermott Will & Emery. « Les failles de cybersécurité constituent un risque pour toutes les organisations, et c'est le cas depuis de nombreuses années », déclare-t-il. « Mais au fil du temps, l'ampleur du risque s'est considérablement accrue. »
Et les conseils d'administration avisés en prennent bonne note.
« Une conjoncture d’événements a placé la cybersécurité au cœur des préoccupations des conseils d’administration », explique Cynthia Clark, experte en gouvernance d’entreprise, autrice de * * , *Giving Voice to Values in the Boardroom* et professeure de gestion à l’université de Bentley. « On assiste à une convergence de domaines jusqu’alors très disparates qui se renforcent mutuellement — l’IA, l’ , l’apprentissage automatique, la robotique, la nanotechnologie, la biotechnologie —, ce qui a véritablement sensibilisé les conseils d’administration à la cybersécurité », explique-t-elle. « Mais je pense qu’il existe un certain écart entre la prise de conscience de cette question et la responsabilité qui en incombe au conseil d’administration. »
Les mesures suivantes peuvent aider les conseils d'administration à renforcer leur engagement en matière de cybersécurité, à se prémunir contre les recours collectifs et à se préparer à l'évolution du cadre juridique.
Mettre en place une solide expertise en matière de cybersécurité au sein du conseil d'administration
Dans le document « mars 2022 », la Commission américaine des opérations boursières (SEC) a proposé de nouvelles règles qui obligeraient les sociétés cotées à publier des informations standardisées concernant leur stratégie en matière de cybersécurité, la gestion des risques, le signalement des incidents, ainsi que la gouvernance. Ces règles obligeraient également les sociétés cotées à divulguer le nom des membres de leur conseil d'administration possédant une expertise en matière de sécurité, ainsi que la nature de cette expertise.
«Je m’attends à ce qu’il y ait de nombreux litiges et mesures coercitives de la part des autorités de régulation, qui porteront sur la question de savoir si une entité donnée dispose ou non d’une cybersécurité adéquate. »Mike Morgan, associé et responsable américain du pôle « Confidentialité et cybersécurité à l'échelle mondiale » chez McDermott Will & Emery
Une récente enquête du Wall Street Journal intitulée « » ( ), menée auprès de 1 000 des 3000 entreprises de l'indice Russell 102, a révélé qu'un peu moins de 15 % d'entre elles ont indiqué compter parmi leurs administrateurs une personne possédant une expertise en cybersécurité. Selon M. Clark, cela illustre le décalage qui existe entre, d'une part, la prise de conscience du caractère crucial de la cybersécurité et, d'autre part, la responsabilité qui en incombe aux conseils d'administration.
« Les conseils d’administration peuvent combler ce fossé en prenant conscience de l’importance de la cybersécurité », déclare-t-elle. « Ils doivent rechercher activement des personnes possédant cette expérience, et celles-ci ne manquent pas. » Ces personnes doivent comprendre les exigences réglementaires de l' , la différence entre la confidentialité et la sécurité, et posséder d'excellentes compétences en communication, ajoute-t-elle. Il est aujourd’hui essentiel de pouvoir analyser l’impact de ces questions sur le modèle économique de l’organisation, tout comme il est indispensable de savoir synthétiser les informations relatives à la cybersécurité en situation de crise.
Le président de la SEC, Gary Gensler, affirme que les investisseurs souhaitent en savoir davantage sur la manière dont les émetteurs gèrent les risques croissants liés à la cybersécurité. « Je pense que tant les entreprises que les investisseurs y trouveraient leur compte si ces informations étaient exigées de manière cohérente, comparable et utile à la prise de décision », a fait remarquer M. Gensler dans un communiqué de presse de la SEC intitulé « » (L'importance de la transparence des informations financières). « Si [cette proposition] était adoptée, cela permettrait aux investisseurs de mieux évaluer les pratiques des sociétés cotées en matière de cybersécurité ainsi que la manière dont elles signalent les incidents. » La mise en avant de l’expertise en matière de cybersécurité pourrait avoir une incidence sur la décision d’intenter ou non un recours collectif à l’encontre d’une organisation : un conseil d’administration bien constitué, par exemple, pourrait réfuter les allégations de négligence en cas de violation de la sécurité, tandis que l’absence d’expertise en cybersécurité au sein d’un conseil d’administration pourrait constituer un facteur favorisant l’introduction d’un recours collectif.
Promouvoir une culture de la cybersécurité
« On ne saurait trop insister sur l'importance du conseil d'administration en matière de cybersécurité », déclare Morgan. Le conseil d'administration gère les ressources nécessaires pour garantir que son organisation dispose de fonctions informatiques et de sécurité de l'information adéquates ; c'est également lui qui encourage une culture d'ouverture et des discussions franches sur le niveau de maturité de son organisation en matière de cybersécurité, explique-t-il.
« La culture d'entreprise commence souvent par la volonté du conseil d'administration et des dirigeants de reconnaître que la cybersécurité revêt une importance capitale. » « Si cette volonté est répercutée à tous les niveaux de l’organisation — notamment au sein des services juridiques, de gestion des risques, des contrats et des opérations commerciales, par exemple —, elle permet à ces services de se montrer plus affirmés », explique-t-il. « Avec le temps, vous constaterez que les organisations gagnent en maturité. » Les prises de parole gagnent en assurance et vous réalisez des avancées décisives, comme la conclusion de ventes impliquant ces groupes à un stade plus précoce du processus. « Vous développez une sensibilité à ces questions qui n’existait pas auparavant, car il est clair que cela revêt une importance particulière pour la direction générale et le conseil d’administration. »
Animer des discussions sur les mesures de cybersécurité raisonnables
À mesure que les applications de l'IA dans le domaine de la cybersécurité et les avancées en matière de données gagnent en puissance, les conseils d'administration doivent s'attendre à mener davantage de discussions sur les dispositifs de contrôle qu'ils ont mis en place pour assurer la protection, explique M. Morgan. En vertu des nouvelles règles de la SEC, par exemple, les entreprises seront tenues de mettre en place et de maintenir des pratiques « raisonnables » en matière de cybersécurité — bien que la SEC ne précise pas ce qui est raisonnable ou non. Selon Morgan, cette zone d'ombre sera probablement au cœur des futurs litiges.
« Je m’attends à ce qu’il y ait de nombreux litiges et mesures coercitives de la part des autorités de régulation, qui porteront sur la question de savoir si une entité donnée dispose d’une cybersécurité adéquate », déclare-t-il. « Au cours de ces discussions, des débats auront lieu sur les critères d’ à appliquer pour déterminer ce qui est raisonnable ou non, et dans quelle mesure la question du caractère raisonnable dépend de la méthode d’attaque plutôt que de la cybersécurité globale d’une organisation. »
Alors que les cas de fuites de données se multiplient — et que le nombre de règlements à l'amiable dans le cadre de recours collectifs liés à des fuites de données de grande ampleur ne cesse d'augmenter —, le risque lié à une sécurité insuffisante deviendra de plus en plus évident pour les décideurs, affirme-t-il. « Cela signifie qu’il faudra approfondir la réflexion sur ces questions. »
Procédez à une analyse autocritique
Une analyse autocritique consiste à examiner le programme de cybersécurité d'une organisation afin d'identifier ses points faibles et de déterminer les moyens d'améliorer sa maturité en matière de cybersécurité. Selon M. Morgan, une grande partie de l'analyse autocritique porte sur les mesures à prendre pour mettre fin à une attaque, ce qui revêt une importance particulière dans le cadre des litiges liés à la cybersécurité.
«Alors que les Equifax, T-Mobile et autres géants du secteur font la une des journaux, les petites et moyennes entreprises sont elles aussi exposées à des risques. »
« L’une des questions qui se posent dans le cadre des procédures judiciaires est de savoir dans quelle mesure la partie adverse de votre organisation — qu’il s’agisse d’un plaignant, de l’avocat du plaignant ou d’une autorité de régulation — peut avoir accès à l’analyse autocritique que votre organisation a réalisée de son propre programme de cybersécurité », explique-t-il. « Il est très important, d’un point de vue juridique, de mettre l’accent sur la prévention des attaques, car cela permet d’écarter d’emblée d’éventuelles demandes de mesures injonctives visant à obtenir des ordonnances destinées à résoudre le problème ou à améliorer la cybersécurité. »
Selon Morgan, la mise en œuvre d'une analyse autocritique constitue une bonne pratique que les organisations devraient envisager.
Et ce ne sont pas seulement les grandes entreprises qui doivent redoubler d'efforts pour prévenir les litiges ou s'y préparer. Si les Equifax, T-Mobile et autres géants du secteur font la une des journaux, les petites et moyennes entreprises sont elles aussi exposées à des risques.
Un exemple concret : le Hope College, un petit établissement chrétien d'arts libéraux proposant un cursus de quatre ans, situé à Holland, dans le Michigan, qui fait désormais l'objet de deux recours collectifs distincts, intentés au cours de la dernière semaine de 2022. Ces actions en justice, qui reprochent à l'établissement d'avoir fait preuve de négligence et de ne pas avoir informé les victimes assez rapidement — ce qui a ainsi permis « à leurs blessures de s'aggraver et aux dommages de s'étendre » —, font suite à une fuite de données survenue en septembre qui aurait pu compromettre les informations confidentielles de plus de 155 000 personnes. Encore un exemple édifiant qui montre à quel point il est important de renforcer les mesures de sécurité.
En dotant leurs conseils d'administration d'une expertise en matière de cybersécurité, en instaurant une culture de la cybersécurité au plus haut niveau, en discutant de mesures de sécurité raisonnables et en portant un regard critique et introspectif sur les processus de cybersécurité de l'organisation, les entreprises peuvent renforcer la sensibilisation, ancrer les meilleures pratiques et établir des fondements de sécurité plus solides afin de faire face à d'éventuels litiges.
