Vous avez manqué la première partie? Découvrez la partie 1 →
Connaître ses données, ses systèmes et ses dépendances permet de mieux les protéger. Mais peut-on éliminer complètement le risque? Probablement pas.
Une organisation doit donc non seulement chercher à prévenir les incidents, mais aussi se préparer à y faire face. Cela signifie limiter leurs conséquences, maintenir les activités essentielles et apprendre de ce qui s’est produit. Autrement dit, une bonne posture de cybersécurité ne se mesure pas uniquement à sa capacité à éviter les incidents, mais aussi à sa capacité à s’en remettre.
Et si l'incident pouvait vous rendre plus fort?
Peut-on éliminer complètement le risque de cyberattaque?
Certainement pas.
Comme les menaces et les technologies évoluent constamment, le risque zéro demeure un objectif difficilement atteignable. L’enjeu consiste plutôt à limiter les conséquences d’un incident et à empêcher qu’une défaillance isolée paralyse l’ensemble de l’organisation.
François Tremblay utilise une image particulièrement parlante :
« L’objectif est de renforcer les organisations pour qu’une cyberattaque soit considérée comme un rhume et non comme un cancer. »
Une organisation résiliente peut subir un ralentissement ou une perte temporaire d’efficacité sans interrompre complètement ses activités. Pour y arriver, elle doit concevoir ses systèmes et ses processus de manière à réduire le rayon d’impact d’un incident.
Par exemple, des systèmes suffisamment découplés peuvent éviter qu’une défaillance se propage automatiquement à l’ensemble de l’environnement technologique.
Il faut donc penser à la résilience dès la conception, et non uniquement après un incident. Cela s’applique aux grandes plateformes, mais aussi aux plus petites composantes et aux interfaces de programmation qui permettent aux systèmes de communiquer entre eux.
Une organisation résiliente doit également être capable d’apprendre. Les constats tirés d’un incident, d’un exercice ou d’une évaluation ne devraient pas rester dans un rapport que l’on consulte une fois par année. Ils doivent être transformés en améliorations concrètes dans les opérations.
La cybersécurité n’est pas seulement l’affaire des TI.
Qui est responsable de protéger les données? Les équipes de cybersécurité? Les TI? La direction? Les employés?
La réponse est probablement : un peu tout le monde, mais pas de la même manière.
Une bonne gouvernance repose sur plusieurs rôles :
- les propriétaires de données sont responsables des données d’affaires de leur domaine
- les intendants de données veillent à leur qualité, à leur définition et à leur cohérence
- les équipes de cybersécurité définissent les mécanismes de protection et de réduction des risques
- les équipes technologiques administrent les plateformes
- les responsables de la conformité et de la protection des renseignements personnels veillent au respect des obligations
- la haute direction donne les orientations et soutient les investissements nécessaires.
Attribuer ces rôles représente toutefois seulement le début du travail.
Dans plusieurs organisations, les responsabilités de propriétaire ou d’intendant des données viennent s’ajouter aux fonctions habituelles des personnes désignées. Si celles-ci ne reçoivent ni formation, ni outils, ni temps pour exercer leur rôle, la gouvernance risque de demeurer une belle structure sur papier.
« Nommer un Data Owner ou un Data Steward est une première étape; lui donner les moyens d’exercer son rôle est ce qui fait réellement la différence. » Nicolas Gidas
La gouvernance des données est donc autant une question humaine qu’une question de processus ou de technologie.
Et vos données, où habitent-elles?
Les préoccupations ne s’arrêtent pas à la protection contre les cyberattaques. Le contexte géopolitique amène aussi les organisations à s’interroger sur la localisation de leurs données et sur leur dépendance envers certains fournisseurs étrangers.
Dans quelle juridiction vos données sont-elles hébergées, quelles lois peuvent s’appliquer, qui peut y accéder et pouvez-vous continuer à les contrôler lorsqu’elles circulent entre plusieurs plateformes?
Bienvenue dans le sujet de la souveraineté numérique.
La souveraineté ne signifie pas nécessairement que toutes les technologies doivent être développées ou hébergées localement. Les organisations doivent aussi tenir compte de la qualité des solutions, de leur capacité d’innovation et des investissements nécessaires pour les maintenir.
Elles doivent donc trouver un équilibre entre le contrôle recherché et la qualité des services dont elles ont besoin.
Ces décisions ne se prennent pas du jour au lendemain. Pour reprendre l’image de François Tremblay :
« Un paquebot, ça ne tourne pas vite. »
Vous pouvez toutefois commencer dès maintenant à documenter la localisation de vos données, les juridictions applicables, vos dépendances technologiques et les conditions d’utilisation imposées par vos fournisseurs. Vous saurez ainsi un peu mieux dans quel océan navigue votre paquebot.
Connaissez-vous réellement votre posture?
Lorsqu’une organisation affirme qu’elle contrôle entièrement ses risques de cybersécurité, François Tremblay devient prudent.
Et pour cause : le profil de risque évolue constamment. Une nouvelle vulnérabilité peut être découverte, un système peut vieillir, un fournisseur peut modifier ses services, un nouvel usage de l’intelligence artificielle peut donner accès à des informations qui étaient auparavant difficiles à trouver.
Être en sécurité aujourd’hui ne garantit donc pas que vous le serez demain.
La priorité des dirigeants devrait être de connaître la posture réelle de l’organisation en matière de cybersécurité et de technologies de l’information. Cette évaluation peut ensuite être mise en relation avec les risques propres au secteur et avec les pratiques cybercriminelles observées.
Vous pourrez alors investir aux bons endroits, plutôt que d’essayer de tout corriger en même temps.
Parce que votre budget n’est probablement pas infini et vos ressources non plus.
Par où commencer?
Vous n’avez pas besoin de revoir l’ensemble de votre environnement technologique dès demain matin.
Il vaut mieux avancer progressivement, en ciblant d’abord les risques les plus importants pour votre mission et les cas d’usage qui permettent de démontrer rapidement la valeur de la démarche.
Commencez par vous poser les questions suivantes :
- Quelles activités sont essentielles au fonctionnement de notre organisation?
- Quelles données soutiennent ces activités?
- Où ces données sont-elles conservées?
- Qui peut y accéder?
- Certaines données sont-elles sensibles, confidentielles ou critiques?
- Qui est responsable de leur qualité et de leur protection?
- De quels systèmes et fournisseurs dépendons-nous?
- Que se passe-t-il si l’un de ces systèmes devient indisponible?
- Nos initiatives d’IA utilisent-elles des données correctement gouvernées?
- Quels risques devraient être traités en priorité?
Vos réponses vous aideront à déterminer si vous devez commencer par classifier vos données, clarifier certains rôles, évaluer votre posture, revoir un système vieillissant ou améliorer votre plan de continuité.
Votre première initiative n’a pas besoin d’être gigantesque. Elle doit surtout répondre à un besoin réel et produire une amélioration visible.
Ces premiers succès vous permettront de mobiliser les parties prenantes, de démontrer la valeur de la gouvernance et de développer progressivement votre maturité.
Protéger, mais aussi continuer à avancer.
La cybersécurité ne devrait pas être perçue uniquement comme une contrainte, un centre de coûts ou un problème réservé aux équipes techniques.
Lorsqu’elle est alignée avec la gouvernance des données, l’intelligence artificielle, l’architecture technologique et la continuité des activités, elle devient une véritable capacité d’affaires.
Les organisations les mieux préparées ne seront pas nécessairement celles qui possèdent le plus grand nombre d’outils. Ce seront celles qui comprennent leurs données, leurs systèmes, leurs dépendances et leurs risques réels.
Elles sauront ce qu’elles doivent protéger, pourquoi elles doivent le protéger et qui doit en prendre soin. Elles auront également prévu comment poursuivre leur mission lorsqu’un incident surviendra.
Parce qu’on ne peut pas protéger ce qu’on ne connaît pas, et qu’en cette ère de l’intelligence artificielle, ce que vous ne connaissez pas risque de devenir beaucoup plus visible.
Entourez-vous des bonnes personnes.
Revoir sa posture de cybersécurité, gouverner ses données et préparer son organisation aux nouveaux risques peut sembler être un projet imposant.
Vous n’avez toutefois pas à tout faire en même temps ni à avancer seul.
L’important est de réunir les bonnes expertises autour de la table : des personnes qui comprennent la technologie, mais aussi votre réalité d’affaires, vos contraintes et les activités essentielles à votre mission.
Chez COFOMO, nous accompagnons les organisations dans l’évaluation de leur posture, la gouvernance et la protection de leurs données ainsi que l’élaboration de feuilles de route alignées sur leurs priorités d’affaires.
Parce qu’une cybersécurité efficace ne commence pas par l’achat d’un nouvel outil, mais par une bonne compréhension de ce que vous cherchez réellement à protéger.
