Résumé
Dans le second volet de cette série en deux parties, nous explorons les réalités du paysage actuel de la confiance numérique, ainsi que les moyens dont disposent les leaders d'entreprise pour transformer une violation en opportunité de renforcement de l'engagement client.
Comme le révèle une enquête mondiale auprès de dirigeants d'entreprise et de professionnels de l'informatique, une cyberattaque à elle seule ne portera pas nécessairement atteinte à la confiance numérique. Mais la façon dont les dirigeants réagissent à cet événement pourrait l'affecter. Plongez avec nous au cœur de la question délicate de l'éthique (et d'autres préoccupations étonnamment — ou peut-être pas si étonnamment — liées à la cybersécurité) avec des experts de l'ISACA, l'Information Systems Audit and Control Association.
ANIMATRICE : Melissa Bischoping, directrice de la recherche en sécurité des endpoints, Tanium
INVITÉS : David Samuelson, [ancien] CEO, ISACA ; et Chris K. Dimitriadis, directeur général de la stratégie mondiale, ISACA
Note de production : Au moment de cet enregistrement, Samuelson occupait le poste de CEO d'ISACA. Il a depuis quitté l'organisation. Tracey Dedrick est l'actuelle CEO par intérim d'ISACA.
Notes de l'épisode
Découvrez l'enquête et les ressources d'ISACA sur la confiance numérique, ainsi que ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- Le rapport 2022 State of Digital Trust d'ISACA
- Ressources d'ISACA sur la confiance numérique
- Ce que le secteur technologique peut apprendre de TikTok : la confiance est primordiale
- Comme la « Protection de la vie privée dès la conception », instaurer une confiance numérique commence par la priorité accordée à la sécurité des données
- Comment communiquer avec clarté (et dans le respect des obligations légales) lors d'une crise de cybersécurité
Transcript
L'entretien suivant a été modifié pour plus de clarté.
David Samuelson: Nous parlons de confiance numérique, mais le mot confiance en est l'élément central. La confiance est une relation. Dans une relation, on met les choses à plat et on essaie d'être honnête l'un envers l'autre. Et je pense que c'est également vrai dans les relations avec les clients.[/pullQuote]
Melissa Bischoping: Bonjour, je suis Melissa Bischoping, et aujourd'hui dans Let's Converge, nous abordons le thème de la confiance numérique. Bienvenue dans le deuxième volet de notre série en deux parties, qui examine certaines des conclusions surprenantes d'une nouvelle enquête mondiale sur la confiance.
Considérez ces chiffres : parmi les plus de 2 700 professionnels de l'entreprise et de l'informatique interrogés à travers le monde, plus de la moitié (54%) ont déclaré avoir une confiance totale ou quasi totale dans la fiabilité numérique de leur organisation, alors qu'un quart seulement mesurait réellement la confiance numérique auprès de leurs clients. 36% supplémentaires ne la mesurent pas du tout, et 41% n'en étaient pas certains.
Mes invités aujourd'hui sont David Samuelson, CEO de l'ISACA, l'association professionnelle internationale spécialisée dans la gouvernance des systèmes d'information. Et Chris Dimitriadis, son directeur mondial de la stratégie. Nous avons discuté de l'enquête State of Digital Trust 2022 de l'ISACA.
Dans notre dernier épisode, nous avons abordé la façon dont la confiance numérique ne se limite pas à la confiance envers une marque, mais englobe également la confiance dans les transactions en ligne que nous effectuons avec cette marque. Nous avons passé en revue les points clés du rapport de l'ISACA, notamment la cohérence. La confiance se construit chaque jour, à chaque transaction. Ce qui m'a particulièrement frappé, c'est la dépendance de la confiance numérique à l'égard d'un plus grand nombre de domaines qu'on ne pourrait le croire. Nous associons généralement la confiance à la cybersécurité : une entreprise protège ses Assets numériques et les données de ses clients, qui se sentent ainsi en sécurité. Mais d'autres paramètres entrent en jeu dans la confiance — des éléments tels que la qualité, la confidentialité et l'éthique.
David, revenons à ce que vous avez dit sur l'éthique et ce que cela peut signifier pour votre entreprise. Le rapport indique qu'un peu plus de la moitié des Américains font confiance aux entreprises technologiques pour agir de manière responsable, ce qui représente une baisse d'environ 19% par rapport à 2019—
Samuelson: Ce qui est stupéfiant. C'est vraiment stupéfiant.
Bischoping: Oui, c'est un changement considérable ! C'est significatif dans n'importe quelle enquête, de constater un changement de 20%. Quelle est selon vous la cause de ce déclin de confiance ? Est-ce lié au paysage des menaces ? Est-ce en lien avec les changements liés au télétravail et à la COVID, ou autre chose ?
Samuelson: Oui, tout à fait, et bien d'autres choses encore. Par exemple, le rythme des évolutions technologiques est, a été, et continuera d'être très soutenu. L'IA est aux portes, prête à prendre en charge des activités sur lesquelles nous devons réfléchir avec la plus grande attention — notamment sur le plan de l'éthique et du contrôle dans sa gestion. Et puis l'informatique quantique, également aux portes, ainsi que l'utilisation de nouvelles technologies comme la blockchain.
Tout cela nous arrive, arrive à tout le monde, à grande vitesse. Ainsi, même une épicerie de quartier à New York est sur internet, dans le cloud, et connectée d'une façon ou d'une autre aux vulnérabilités et au potentiel positif que la technologie peut offrir.
Je pense donc que le déclin de la confiance s'explique par le fait qu'il se passe beaucoup plus de choses…[Il marque une brève pause.]
Vous savez, j'ai une montre connectée au cloud, mon téléphone est connecté, il y a tellement de choses auxquelles je ne pense pas, mais auxquelles j'ai commencé à penser, et je crois que cela occupe davantage notre conscience. Plus on comprend les vulnérabilités, et plus on voit que ces grandes violations se produisent et que la vie privée — les données personnelles [informations personnelles identifiables] des individus — a été compromise, et ainsi de suite. Il existe donc une prise de conscience plus large du grand public, et en parallèle, un paysage technologique plus vaste, et ces éléments accélèrent l'ensemble du phénomène. Chris, avez-vous quelque chose à ajouter ?
Chris Dimitriadis: La complexité également. Je pense que nous voyons des écosystèmes numériques de plus en plus vastes et complexes se construire. Et avec cette complexité et cette taille, les menaces émergent et deviennent encore plus critiques, car la valeur que créent les technologies numériques, ainsi que la valeur issue des données et des informations, n'est pas seulement précieuse ou importante pour les parties prenantes de l'écosystème numérique, mais aussi pour les adversaires.
Samuelson: La technologie a décuplé la vitesse à laquelle la communication circule sur les réseaux sociaux. Ainsi, un simple détail peut faire le tour du monde en un rien de temps, et il est difficile d'y répondre. Je pense que c'est un facteur qui pèse de façon considérable dans ce baromètre de confiance. Vous savez, dans quelle mesure sommes-nous dignes de confiance dans le monde aujourd'hui, compte tenu de notre façon de faire des affaires ?
Je me souviens de mes débuts dans le secteur bancaire : avais-je confiance dans les informations que je saisissais dans un navigateur web, ce petit cadenas dans la barre d'URL, était-ce vraiment un verrou fiable ? Pouvais-je lui faire confiance ?
Mais l'ensemble du secteur bancaire a évolué rapidement, car les gens étaient prêts à y adhérer. Puis on a commencé à voir certaines de ces violations et les gens ont peut-être pris du recul. Je pense donc que ce sont tous les éléments dont nous parlions.
Bischoping: Cela mène en fait à ma prochaine question de façon idéale. Nous observons de plus en plus d'acteurs malveillants, de nombreux groupes de Ransomware-as-a-service, autant d'éléments sur lesquels une entreprise n'a aucun contrôle. La seule option est de se défendre, puis de tenter de détecter et de répondre à une violation, si et quand elle survient.
Alors, si une organisation est victime d'une violation, cela remet-il en cause le travail accompli en matière de confiance numérique ? Comment peut-elle traverser la période de violation et de réponse tout en continuant à renforcer la confiance de ses clients ?
Samuelson: La transparence est ici le maître mot : si vous reconnaissez les faits et y répondez de façon honnête et éthique, en montrant que vous travaillez à la résolution du problème et que vous agissez comme il se doit, cela protège au moins votre réputation, même si vous ne pouvez pas toujours réparer ce qui s'est passé.
Mais je pense que les répercussions pour les entreprises qui ne bénéficient pas de la confiance numérique seront à l'origine de bon nombre de ces situations. Ils s'appuient moins sur les données pour prendre des décisions. Ils perdent des clients. Il y a davantage d'incidents. Je pense que la transparence et l'honnêteté sont les fondements de la confiance — lorsque vous êtes direct sur ce qui se passe, que vous montrez que vous disposez d'un cadre de confiance établi et que vous avez fait le travail nécessaire, même si vous avez subi une violation, vous avez pris les mesures qui s'imposaient.
Il y a beaucoup à étudier sur ce sujet. Je ne pense pas que l'un d'entre nous ait la bonne réponse, mais je crois que c'en est une partie. Chris, qu'en pensez-vous ?
Dimitriadis: Je pense que vous avez tout à fait raison concernant la transparence, car au bout du compte, une violation ou un incident doit être anticipé.
Lorsque nous parlons de confiance numérique, cela ne signifie pas que la prévention sera efficace à 100% ou qu'elle répondra aux attentes des parties prenantes. Cela s'explique par la complexité, mais aussi par la sophistication des attaques.
Je pense que [les entreprises] devraient anticiper une violation [qui surviendra à un moment ou un autre] et chercher à y faire face [en conséquence] afin d'établir une confiance numérique fondée sur la transparence, comme David l'a mentionné, mais aussi à travers des processus et mécanismes de détection, de réponse et de récupération appropriés, pour démontrer en pratique que la confiance numérique représente un engagement de l'organisation.
Bischoping: Chris, vous avez lu dans mes pensées. Je crois que nous partageons une philosophie très similaire sur ce sujet.
Je dis souvent aux gens que je ne perds pas nécessairement confiance en une entreprise parce qu'elle a subi une violation ou une attaque—surtout dans un monde aussi connecté que le nôtre, où chaque entreprise est numérique d'une façon ou d'une autre. Je perds confiance en une entreprise lorsqu'elle tente de dissimuler l'incident, lorsqu'elle ne communique pas sur les mesures prises pour remédier à la situation, ou lorsqu'elle ne répond pas à ses clients ou ne fait pas preuve d'empathie face aux répercussions que cela a</img id="2"> sur sa clientèle. Cela peut affecter le quotidien des personnes. Je pense que c'est essentiel.
Samuelson: Oui, c'est très important. Nous parlons de confiance numérique, mais le mot confiance en est l'élément central. La confiance est une relation. Dans une relation, on met les choses à plat et on essaie d'être honnête l'un envers l'autre. Je pense que cela s'applique également aux relations avec les clients.
Bischoping: Revenons un instant à l'enquête. Y a-t-il des éléments qui vous ont particulièrement surpris ou qui étaient inattendus ? Nous avons déjà évoqué le changement majeur dans la perception de la confiance en Amérique, mais y avait-il autre chose ?
Dimitriadis: Un point surprenant de l'enquête est le manque de maturité dans la compréhension de la cible ou de l'objectif final de la confiance numérique. Il s'agit d'une première étape capitale pour la communauté mondiale de la confiance numérique. Ce que les gens souhaitent avant tout apprendre, c'est comment mettre en œuvre la confiance numérique, car celle-ci n'est pas encore en place.
C'est donc un résultat très positif : les gens reconnaissent l'importance de la confiance numérique et souhaitent faire passer ce message à travers le monde afin de faire avancer les choses.
Bischoping: Il semble donc que ce ne soit pas un manque de sensibilisation, ni même une réticence. C'est avant tout un manque de cadres de référence, d'outils et de compréhension, alors que le concept de confiance numérique se répand.
Samuelson: J'aimerais ajouter que ce n'est pas tant une surprise qu'une confirmation que nous devons collaborer, agir ensemble, et que c'est une question d'ordre commercial. Ce n'est pas le domaine du spécialiste en cybersécurité de votre entreprise, même si vous en avez un. Beaucoup n'en ont pas. Il s'agit de travailler ensemble pour comprendre que nous sommes dans une nouvelle ère du commerce, une nouvelle ère des affaires, qui est numérique, et qui continuera d'être complexe et nouvelle pour beaucoup de personnes.
Nous devons donc être en apprentissage et en amélioration constants, et je pense que des éléments tels que les cadres de référence et les évaluations aideront les organisations à déterminer ce qu'elles peuvent faire dès aujourd'hui.
La situation semble insurmontable, sans savoir par où commencer. Je pense que de nombreuses organisations se posent ce type de questions lorsqu'elles lisent le journal et se demandent si cela pourrait leur arriver demain. Les professionnels que nous accompagnons nous indiquent que l'aide qu'ISACA doit apporter consiste à établir un niveau de bonnes pratiques dans ces domaines afin d'intégrer la solution dans une solution de confiance numérique. C'est là que se concentrent nos efforts.
Bischoping: Je souhaite revenir une fois de plus sur ce que vous avez dit concernant le développement de ces relations au sein de l'entreprise. Chaque fois que j'ai l'occasion de faire une présentation ou quoi que ce soit, je parle de la suppression des silos. En tant que professionnel de la sécurité, ou en tant que personne travaillant dans la conformité ou l'audit, vous avez une visibilité sur de nombreux aspects différents de l'entreprise.
Engagez-vous des conversations avec les responsables de ces processus métier pour comprendre comment ils utilisent la technologie et à quoi ressemble leur travail au quotidien ? Pensez-vous que cela contribue à instaurer la confiance, telle que vous la concevez ?
Samuelson: Tout à fait. Et c'est ce que révèle cette enquête. On constate que les personnes sont préoccupées par cette question, mais qu'elles ne perçoivent pas un leadership ou une collaboration suffisants. Pour avancer, il faut aller vers ses collègues et faire en sorte que les choses se concrétisent.
Toute organisation — et j'en ai connu plusieurs, mais je suis à l'ISACA depuis trois ans et demi — présente des vulnérabilités au sein même de sa structure, selon la façon dont les individus appréhendent la notion de confiance. C'est pourquoi j'ai mentionné les RH, le marketing ou même les développeurs : si vous souhaitez instaurer la confiance, vous devez l'intégrer dès le départ. Vous devez adopter la protection de la vie privée dès la conception, ainsi que la sécurité dès la conception. Ces concepts font leur chemin, et le DevSecOps s'impose de plus en plus comme la bonne approche, car il intègre ces principes en amont.
Je pense qu'au fur et à mesure que l'organisation comprend le fonctionnement d'une organisation numérique, elle commence à appliquer ces techniques et à collaborer.
Bischoping: Parfait. À l'approche de la fin de notre temps ensemble, y a-t-il quelque chose que je n'ai pas encore abordé et que vous pensez que nos auditeurs devraient savoir sur la confiance numérique, ou sur ce qu'ils devraient commencer à envisager pour prendre de l'avance dans leur organisation ?
Samuelson: Chris, je vous laisse commencer.
Dimitriadis: Un point que je souhaite souligner est que nous avons développé des approches, des technologies et des systèmes de cybersécurité très sophistiqués, et pourtant la majorité des incidents sont causés par des lacunes simples et fondamentales en matière de cybersécurité. Et cette notion de collaboration, telle que vous l'avez décrite, Melissa, et telle que David l'a également expliquée, est essentielle pour tenter une approche différente en matière de cybersécurité.
Nous ne pouvons pas résoudre avec les mêmes moyens un problème que nous n'avons pas réussi à résoudre par le passé. C'est pourquoi nous pensons que la confiance numérique est une approche novatrice, en ce sens qu'elle offre une alternative à un problème existant. Penser différemment.
Et encore une fois, c'est également primordial d'un point de vue commercial. Cela est également reconnu par plusieurs réglementations en cours d'élaboration à travers le monde, où l'on constate le besoin d'approches alternatives en matière de cybersécurité. Car quelle que soit l'étendue de notre expertise et de nos capacités en cybersécurité sur le plan vertical, si nous n'adoptons pas une approche horizontale, nous ne résoudrons pas le problème.
Samuelson: Je voulais approfondir un point que vous avez soulevé concernant les réglementations. Comme je l'ai mentionné, toute entreprise est une entreprise numérique. Et chaque pays y réfléchit en ce moment. Si vous parvenez à élever le débat au niveau de la confiance numérique, plutôt que de le limiter à une simple question de contrôle, je pense que les réglementations nous aideront dans cette collaboration.
C'est plus facile à dire qu'à faire, mais Chris et moi consacrons beaucoup de temps, notamment avec des organismes gouvernementaux et des instances de réglementation, pour tenter de comprendre ce qui est nécessaire pour porter le débat à ce niveau de confiance numérique. Et je pense que cela peut avoir un Impact réel et être couronné de succès.
Bischoping: Je suis tout à fait d'accord. Il y a des sujets qui me tiennent à cœur, mais jusqu'à récemment, je n'utilisais pas l'expression « confiance numérique » pour désigner cet état d'esprit qui consiste à bâtir des relations et à instaurer une culture de la sécurité depuis les fondations. Et cela commence dès le développement, lors de l'intégration des nouveaux collaborateurs — la culture de la sécurité et de la confiance doit traverser chaque composante de votre environnement et être perçue comme une priorité.
Je viens du secteur de la fabrication et du pétrole et du gaz, où la sécurité est primordiale, où les manquements à la sécurité sont absolument inacceptables — on ne peut pas mettre en danger la sécurité et la vie de quelqu'un. Et quand vous commencez à parler de confiance et de sécurité comme étant aussi essentielles que la sûreté pour la longévité de votre entreprise, je pense que les gens comprennent vraiment. Tout comme la sûreté était pour nous quelque chose qui existait dans chaque action que nous prenions, je pense que la confiance doit exister dans chaque action que vous prenez.
Samuelson: Oui. Je pense que ça fonctionne. Et cela amène la conversation au bon niveau et commence à aborder certaines de ces choses plus subtiles, non définies, qui sont si importantes pour des personnes comme vous qui ont dû faire ce travail et se sont débattues avec. Nous espérons donc pouvoir être utiles.
Nous disposons de nombreuses ressources sur notre site web autour de la confiance numérique que les gens peuvent consulter. Et au moment du lancement du cadre plus tard cette année, lorsque nous commencerons à examiner comment mesurer la maturité, nous souhaitons être une ressource pour ceux d'entre vous qui sont des professionnels de la confiance numérique et qui cherchent à faire de ce monde un endroit plus sûr pour les activités liées à la confiance numérique.
Bischoping: Parfait. Je vais récupérer l'adresse et tout ce que nous pourrons publier avec les notes de l'émission. C'était justement ma prochaine question : où peuvent-ils trouver des ressources et des informations supplémentaires ? Vous y avez répondu immédiatement, alors merci. Chris et David, je pense que nous allons conclure, mais je vous remercie tous les deux pour le temps que vous m'avez accordé aujourd'hui et pour cette conversation sur la confiance numérique.
Samuelson: Tout le plaisir était pour nous. C'est avec grand plaisir. Merci beaucoup.
Dimitriadis: Un vrai plaisir. Merci. Merci pour cette opportunité.
Bischoping: Je me suis entretenu avec David Samuelson, CEO de l'ISACA, et Chris Dimitriadis, son directeur mondial de la stratégie.
Si vous souhaitez en savoir plus sur leur 2022 enquête mondiale sur la confiance numérique, consultez le lien dans les notes de l'émission. Vous pouvez également approfondir le sujet sur le nouveau magazine d'actualité cyber en ligne de Tanium sur Tanium.com. Pour découvrir d'autres conversations avec les leaders de la sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée, comme Apple Podcasts et Spotify. Si cet épisode vous a plu, merci de nous attribuer une note de cinq étoiles.
Merci de votre écoute, et nous avons hâte de partager de nouvelles perspectives en matière de cybersécurité lors du prochain épisode de Let's Converge.
