Résumé
Les nouvelles règles proposées par la SEC encadreront la gestion des risques et la réponse aux cyberattaques au sein des entreprises. L'ancienne procureure fédérale Judith Germano aborde les enjeux cyber actuels catch-22—enterprises se montrer transparentes sur leurs politiques cyber (pour prouver, en somme, qu'elles ont des politiques cyber) sans pour autant en divulguer trop aux hackers.
ANIMATEUR : Doug Thompson, directeur des solutions d'ingénierie technique et architecte en chef de la formation, Tanium
INVITÉE : Judith Germano, chercheuse associée distinguée, NYU Center for Cybersecurity
Notes de l'épisode
Pour en savoir plus sur ce sujet, consultez ces articles dans Focal Point, le magazine d'actualité cyber en ligne de Tanium.
- Les nouvelles règles de la SEC en matière de cybersécurité mettent les conseils d'administration et les dirigeants en alerte
- Au cas où vous l'auriez manqué : les grandes entreprises débattent des nouvelles règles de la SEC en matière de cybersécurité
- Comment les conseils d'administration se préparent à un renforcement de la surveillance fédérale en matière de cybersécurité
Transcript
La transcription du podcast suivant a été modifiée pour plus de clarté.
Judith Germano : Les règles de la SEC établissent clairement, si ce n'était pas déjà le cas, que la cybersécurité doit être une priorité… aux plus hauts niveaux des organisations. Il arrive parfois qu'une entreprise se replie sur elle-même et se dise : tout va bien pour nous. Et c'est uniquement parce qu'elle n'a pas examiné tous les angles et réalisé qu'elle n'est pas à l'abri.
Doug Thompson : Bonjour, je suis Doug Thompson, et aujourd'hui dans Let's Converge, nous abordons la SEC — nouvelles règles en matière de cybersécurité et polémique.
Je dois vous avouer que je vis au Texas, ce qui explique peut-être pourquoi j'ai tendance à voir les choses comme un duel. Il est midi pile et quelqu'un doit l'emporter. Mais c'est l'impression que ça donne. Il existe parfois des tensions entre le gouvernement et le secteur privé, notamment en matière de cybersécurité. C'est comme une finale de championnat où les deux meilleures équipes s'affrontent pour décrocher le titre.
Le dernier point de friction entre les entreprises et les autorités fédérales porte sur un ensemble de nouvelles règles proposées cette année par la SEC. Si elles sont approuvées, ces règles encadreront la façon dont les entreprises gèrent les risques et répondent aux cyberattaques. Une règle controversée obligerait les entreprises à signaler les cyberattaques dans les quatre jours suivant leur qualification en tant qu'incident significatif. Une autre stipule que les entreprises doivent divulguer certaines procédures de cybersécurité en place afin de prouver qu'elles disposent bien de telles procédures.
Le gouvernement soutient que la seule façon de maîtriser l'explosion des cybermenaces est de savoir ce qui arrive aux entreprises et de les contraindre à prendre la cybersécurité au sérieux. Si cela peut sembler pertinent pour certains, mon invité d'aujourd'hui estime que ce n'est pas aussi simple que cela. Judith Germano est une ancienne procureure fédérale et chercheuse distinguée au Centre de cybersécurité de NYU, ainsi que professeure associée à la faculté de droit de l'université. Judi a récemment réuni un panel d'experts pour débattre des propositions de la SEC. Un panel d'expertes exclusivement féminin, soit dit en passant, et nous y reviendrons.
Comment allez-vous, Judi ?
Germano: Très bien, Doug. Merci de me recevoir.
Thompson: Merci d'être là. Je souhaite aborder le sujet sans détour. Votre cabinet conseille les entreprises et leurs conseils d'administration en matière de risques cybersécurité et de conformité réglementaire. Je sais donc que vous êtes au cœur du sujet et j'imagine que vous tenez le même discours à de nombreux membres de conseils d'administration préoccupés : si vous n'avez pas encore pris la cybersécurité au sérieux, il est grand temps de réagir, car le temps presse et vous accusez déjà un retard considérable. La SEC cherche vraiment à resserrer les rênes sur ces nouvelles propositions, n'est-ce pas ?
Germano: La SEC publie des directives sur les questions de cybersécurité depuis plusieurs années, mais les nouvelles directives qu'elle a proposées sont très importantes en ce qui concerne les exigences imposées aux entreprises.
Thompson: Ces nouvelles règles ont mis tout le monde en émoi. En particulier l'obligation de signaler dans un délai de quatre jours, ce qui me semble être une bonne idée. La transparence est toujours préférable à la dissimulation. Certains estiment cependant que la SEC n'a pas à intervenir dans ce domaine et que cela constitue un abus de pouvoir. Qu'en pensez-vous ?
Germano: L'obligation de déclaration dans un délai de quatre jours est quelque peu préoccupante. Les entreprises doivent déclarer dans les quatre jours suivant la détermination qu'un incident est significatif, et la question porte sur les modalités et les destinataires de cette déclaration. Il s'agit d'un dépôt public, un rapport 8K, dont la préparation peut à elle seule représenter un effort considérable pour une entreprise. Et si elles s'inscrivent dans le cadre d'une réponse à un incident de cybersécurité dans les quatre jours suivant la prise de connaissance de son caractère significatif, il peut encore être nécessaire de disposer de ce délai pour notifier les autres parties touchées par la violation, telles que les clients, les partenaires ou d'autres acteurs de la chaîne d'approvisionnement—et également pour s'assurer que la violation est traitée et que la vulnérabilité a été comblée.
Devoir en parallèle mobiliser des ressources au sein d'une organisation pour effectuer des déclarations officielles auprès de la SEC et s'assurer que les investisseurs sont informés dans un délai aussi court peut, à certains égards, nuire à la cybersécurité. D'une part, parce que cela détourne des ressources du problème ; d'autre part, parce que certaines entreprises pourraient être tentées de retarder la qualification d'un événement comme significatif et de ne pas informer les clients potentiellement touchés dans les meilleurs délais. De cette façon, cela pourrait véritablement fragiliser la cybersécurité.
Thompson: Je comprends la frustration du gouvernement : trop souvent, les entreprises cherchent à étouffer ce type d'affaire. Mais la SEC est-elle l'organisation la mieux placée pour superviser ce domaine ?
Germano: Je ne dirais pas qu'elle est la mieux placée ; je dirais qu'elle fait partie des nombreuses entités gouvernementales qui cherchent à traiter la question de la cybersécurité. La SEC dispose d'un poids considérable et retient l'attention des sociétés cotées en bourse ainsi que des entités régulées par la SEC. Il est donc important qu'elle se positionne sur la cybersécurité, car les entreprises savent qu'elles doivent l'écouter, étant donné le pouvoir de contrainte dont elle dispose.
Thompson: Vous avez mentionné les sociétés cotées, mais les entreprises privées sont-elles également soumises à ces règles ?
Germano: Non—enfin, en grande partie non. Les règles s'appliquent aux entités réglementées par la SEC, c'est-à-dire les sociétés cotées en bourse ou les sociétés enregistrées auprès de la SEC, telles que les courtiers ou les conseillers financiers agréés. Ce qui est intéressant, c'est que face à la multiplication des réglementations, y compris ces règles proposées, elles peuvent servir de Benchmark et de référence pour d'autres entreprises qui ne sont pas spécifiquement réglementées par la SEC, mais qui, dans le cadre d'autres litiges, cherchent à comprendre quelles sont les bonnes pratiques et les délais appropriés pour la divulgation. S'appuyer sur ces éléments comme références est l'une des tendances que nous pouvons anticiper.
Thompson: Une autre règle proposée par la SEC obligerait les conseils d'administration à divulguer leurs politiques et procédures en matière de cybersécurité. Cela m'inquiète quelque peu. C'est un peu comme au baseball : si je peux déchiffrer les signes du lanceur adverse, je sais quel lancer arrive, ce qui me facilite la tâche pour obtenir un coup sûr. Si les pirates informatiques connaissent les politiques et procédures en place, ils sauront comment les contourner.
Germano: Oui, c'est un point pertinent que vous soulevez. Et la règle concernant la divulgation des politiques et procédures relatives à la gestion des risques de cybersécurité présente des avantages et des inconvénients, Doug. D'un côté, l'avantage ou l'intention est d'encourager les entreprises à mettre en place de bonnes pratiques de cybersécurité, car elles doivent divulguer ce qu'elles font. Et nous constatons, à notre grand regret, que trop d'entreprises ne font pas de la cybersécurité et des mesures proactives en la matière une priorité. D'un autre côté, il existe un risque réel d'exposer les failles les plus accessibles, ce qui facilite la tâche des attaquants pour identifier les entreprises à cibler si celles-ci n'ont pas les bons processus en place. Nous aurons donc besoin d'orientations claires et devrons faire preuve de prudence dans la communication des informations relatives aux mesures responsables prises par les entités pour gérer la cybersécurité. Et toutes devraient le faire à ce stade, mais beaucoup ne le font toujours pas. Mais en même temps, tout en présentant ces mesures et en décrivant le processus, il ne faut pas révéler le code du coffre-fort, ni donner trop d'informations permettant aux pirates de s'introduire dans les systèmes.
Thompson: Oui, c'est toujours un équilibre délicat. En supposant que ces mesures soient approuvées, ou qu'une version de celles-ci le soit, comment un membre du conseil d'administration devrait-il commencer à se préparer ? Que dois-je faire ? Parce qu'il faut une stratégie et mettre les bonnes personnes et les bonnes choses en place.
Germano: Oui. Pour un conseil d'administration, les règles de la SEC indiquent clairement, si ce n'était pas déjà le cas, que la cybersécurité doit être une priorité au sein des organisations et à leurs plus hauts niveaux. Nous sommes donc à un point où nous avons besoin de membres du conseil d'administration qui comprennent la cybersécurité, les bonnes questions à poser à ce sujet, et ce que la direction fait pour prendre en compte et gérer le risque cyber dans le cadre du risque global de l'entreprise.
En ce qui concerne les mesures concrètes que les entreprises et les conseils d'administration doivent prendre, il faut adopter une approche proactive : comprendre les menaces auxquelles l'entreprise ou l'organisation est exposée, identifier les systèmes en place pour des pratiques fondamentales telles que l'authentification multifacteur, les pare-feu, les mises à jour régulières et la Gestion du patching, et savoir qui compose l'équipe. Les ressources financières et humaines dédiées à la cybersécurité sont-elles suffisantes ? Et communiquent-elles toutes entre elles ? Pour répondre à ces questions, il est important de disposer de bons Assets internes et de faire appel à des conseillers externes pour des bilans et des mises à jour.
Car il arrive qu'une entreprise se replie sur elle-même et se dise qu'elle n'a aucun problème. Et c'est uniquement parce qu'elle n'a pas examiné tous les angles et réalisé qu'elle n'est pas à l'abri. Il est donc judicieux de recourir à des audits et des contrôles par des tiers pour s'assurer qu'il n'existe pas de failles en matière de cybersécurité qui nécessiteraient une intervention rapide.
Thompson: Je pense que vous soulevez un point essentiel, car il nous arrive de devoir nous auto-attester ou nous auto-déclarer : « Nous avons fait ceci, nous avons mis cela en place. » Mais le recours à un tiers, un tiers neutre pour ainsi dire, qui valide que vous faites bien ce que vous dites faire, me semble primordial.
Germano: Je pense que c'est très utile, et les entreprises se trouvent à des niveaux de maturité différents en matière de cybersécurité. Certaines disposent d'équipes solides et très compétentes, tandis que d'autres doivent davantage s'appuyer sur l'externalisation de la cybersécurité. Il existe également des solutions technologiques permettant de réduire leur exposition aux menaces, notamment en faisant appel à des fournisseurs de services cloud reconnus et en veillant à mettre en place des protocoles de cybersécurité fondamentaux, comme je l'ai mentionné : l'authentification multifacteur, une gestion rigoureuse des mots de passe et des pratiques associées (dans la mesure où ils utilisent des mots de passe), ainsi que d'autres options similaires.
Mais je pense qu'il est important, non pas nécessairement que ce soit une obligation, mais que les entreprises évaluent les ressources internes et externes dont elles disposent et se demandent si elles ne font pas que dépenser de l'argent en cybersécurité, mais si cela constitue une dépense pertinente qui protège au mieux l'entreprise. Et bien sûr, est-ce documenté ? Car lorsque des attaques surviennent, les entreprises peuvent être amenées à en rendre compte à la SEC, aux investisseurs, à des tiers, à des clients ou à des parties adverses dans le cadre de litiges. Il est donc essentiel de documenter les bonnes pratiques en matière de cybersécurité de façon proactive. Et également dans le cadre d'une réponse à incident.
Thompson: Vous avez mentionné que les conseils d'administration — et je l'ai souvent constaté — n'ont généralement pas beaucoup d'expertise technique, parfois parce qu'ils n'ont pas pu ou n'ont pas réussi à l'attirer par le passé. Pourquoi pensez-vous que c'est le cas ?
Germano: La cybersécurité est un enjeu croissant et complexe, et je pense que certains conseils d'administration disposent d'une solide expertise en cybersécurité, tandis que d'autres ont des progrès à faire dans ce domaine. Et je pense qu'une partie du problème, Doug, réside dans la pénurie de talents en cybersécurité — pas seulement des personnes qui prétendent maîtriser la cybersécurité, mais celles qui ont réellement travaillé sur le terrain et qui comprennent les menaces. Et pas toujours sous un angle technologique, même si c'en est un élément essentiel — il s'agit d'un défi pluridisciplinaire.
Il faut donc comprendre la gouvernance, les procédures et les protocoles de cybersécurité, ainsi que les mesures technologiques nécessaires ou les questions à poser pour garantissez qu'ils sont bien pris en compte. Disposer de solides compétences en leadership et en gestion de crise est également important pour les professionnels de la cybersécurité. C'est un domaine où la demande est très forte et où l'on observe un certain manque de talents.
Thompson: Vous avez évoqué le manque de talents. Il est difficile pour les entreprises de pourvoir les jobs en cybersécurité en général, et il est particulièrement complexe de trouver des femmes pour ces postes. C'est important pour moi. J'ai des filles et des petites-filles, et je les ai toujours encouragées à poursuivre la carrière de leur choix, même si celle-ci n'était pas traditionnellement considérée comme destinée aux femmes. Je remarque que votre cabinet juridique est détenu et géré par des femmes, et que vous présidez un panel de cybersécurité exclusivement féminin. Ce n'est donc pas impossible. Mais comment attirer davantage de femmes dans ce domaine ?
Germano: Je pense que beaucoup d'efforts sont déployés, et qu'il reste encore beaucoup à faire pour développer le vivier de talents en cybersécurité, notamment en ce qui concerne les femmes et les personnes sous-représentées dans ce secteur.
L'une des initiatives que je mène depuis 2016 est la création et la gestion du programme Women Leaders in Cybersecurity à NYU, qui réunit des leaders d'opinion et des cadres dirigeants issus du monde des affaires, du gouvernement et du milieu académique pour des tables rondes de fond. C'est une façon de montrer qu'il existe de nombreuses femmes remarquables, compétentes et expérimentées dans ce domaine. Car trop souvent, les gens se tournent vers les personnes qu'ils connaissent déjà, et ce sont ces mêmes personnes qui se retrouvent sur des panels ou prises en considération pour des postes. Il est essentiel d'élargir son regard et de reconnaître qu'un grand nombre de femmes et de personnes ou groupes sous-représentés sont également impliqués, et de faire cet effort supplémentaire.
De plus, nous devons nous concentrer sur la formation de la prochaine génération de leaders, et les entreprises peuvent le faire au sein de leur organisation, même si une personne n'a pas l'expérience exacte en cybersécurité, mais qu'elle est intelligente, talentueuse et un bon joueur d'équipe, en lui offrant la formation, les compétences et le soutien nécessaires pour évoluer vers ces rôles. Je pense que c'est également important. C'est un autre aspect de mon travail à NYU, où j'enseigne dans des programmes de formation pour cadres, notamment le programme de master en Risque et Stratégie en Cybersécurité, qui est une collaboration entre la faculté de droit et l'école d'ingénierie pour aider à former la prochaine génération de leaders et de cadres en cybersécurité, qui exercent déjà dans ce domaine mais cherchent à accéder à des rôles de leadership.
Thompson: Comment amener les employés à penser différemment à la [cybersécurité] s'ils n'en font pas leur carrière — je ne travaille pas dans ce domaine, je n'aime pas coder, je ne me vois pas en hoodie… Comment encourager ces personnes à s'y intéresser ?
Germano: C'est une excellente question, Doug, car l'une des choses vraiment importantes est de reconnaître que la cybersécurité est un défi interdisciplinaire qui nécessite des perspectives et des expériences variées. Il existe de nombreuses compétences différentes qui entrent dans la composition d'un bon professionnel de la cybersécurité, et nous avons besoin de personnes aux parcours très divers pour réfléchir à la façon dont elles peuvent contribuer à cette cause et à ce domaine. Et aussi pour apprécier les belles opportunités de job qui s'y trouvent. Nous avons besoin de personnes qui sont de bons leaders, capables de garder la tête froide en situation de crise, de gérer une équipe et de comprendre la stratégie d'entreprise et la gouvernance.
Certaines de ces personnes peuvent ou non maîtriser les aspects techniques de la cybersécurité ou ses composantes d'ingénierie. Et puis il y a des personnes qui sont des ingénieurs d'une grande expertise, qui ne se voient pas nécessairement dans des rôles de leadership, de gestion ou de conseil d'administration, et qui ont également besoin de comprendre quels sont les outils et les éléments importants qu'elles peuvent apporter.
Je pense donc que, quelle que soit leur formation, de nombreuses personnes ont de réelles opportunités de travailler dans le domaine de la cybersécurité, d'apporter leur contribution aux organisations et aux gouvernements, de siéger dans des conseils d'administration et de traiter les questions de cybersécurité. Cela concerne particulièrement ceux qui comprennent cette approche interdisciplinaire, qui peuvent apporter des perspectives variées, tout en étant suffisamment à l'aise pour identifier les aspects qu'ils ne maîtrisent pas. Où ont-ils besoin de formation complémentaire, ou à quel moment feraient-ils appel à un conseiller ou à un expert externe pour combler certaines lacunes ?
Thompson: C'est un point essentiel. C'est un travail d'équipe, un véritable travail d'équipe.
Germano: Ce qui a également évolué au fil des années, c'est que les entreprises sont souvent jugées et font l'objet de mesures de mise en application ou de poursuites civiles, non pas tant parce qu'elles ont subi une violation, mais en raison de la façon dont elles ont géré l'incident : ont-elles mis en place la bonne stratégie de communication en interne et en externe ? Ont-elles eu une conscience suffisante des personnes à notifier et des délais à respecter ? Ont-elles suivi les étapes nécessaires ?
Par exemple, il peut s'agir de contacter les forces de l'ordre, de se coordonner avec elles, de travailler avec les partenaires et les clients de manière à faire preuve d'une transparence suffisante sur ce qui s'est passé et sur les événements survenus. C'est un élément clé. Mais dans le même temps, il est nécessaire de protéger l'organisation et d'agir de façon responsable dans la gestion des vulnérabilités, afin de ne pas aggraver la situation. Cela exige un bon jugement et un bon leadership.
Thompson: Il semble que vous disiez que tout le monde devrait partir du principe qu'une violation va se produire et planifier en conséquence : Que feriez-vous ? Et réaliser ces exercices, plutôt que de simplement dire que nous avons de bonnes mesures en place et que cela n'arrivera jamais.
Germano: Tout à fait, tout à fait. Nous le disons depuis longtemps, et nous espérons que les entreprises comprennent que c'est une question de temps. Accepter cela sera une aide en cas de crise. Nous pouvons consacrer moins de temps aux reproches et à la peur, et simplement dire : Voilà où nous en sommes ; que faisons-nous maintenant ? Dans quel délai pouvons-nous redresser la situation, répondre à l'incident et nous concentrer sur la protection de nos clients, de nos parties prenantes et de notre organisation — en particulier les données et les systèmes susceptibles d'être impliqués.
Thompson: Je pense que c'est une bonne façon de conclure. Judi, merci pour votre temps et vos éclairages.
Germano: Avec plaisir. Merci beaucoup, Doug. Ravi d'avoir parlé avec vous.
Thompson: Je me suis entretenu avec Judith Germano du Centre de cybersécurité de la NYU.
Si vous êtes membre du conseil d'administration ou cadre dirigeant, vous pouvez en savoir plus sur les nouvelles règles proposées par la SEC dans le nouveau magazine d'information en ligne sur la cybersécurité de Tanium. Vous pouvez également consulter une série d'articles sur la façon dont les conseils d'administration font face à la montée des cybermenaces et à un contrôle fédéral accru. Rendez-vous sur tanium.com.
Pour découvrir d'autres conversations avec les leaders de la sécurité d'aujourd'hui, abonnez-vous à Let's Converge sur vos applications de podcast préférées, telles qu'Apple Podcasts et Spotify. Si vous appréciez ce podcast, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives cyber dans le prochain épisode de Let's Converge.
