Un engagement soutenu nécessaire pour la cybersécurité

#KingstonCognate présente Bill Mew

Bill Mew est un principal leader d'opinion et un entrepreneur. Il mène également des campagnes pour l'éthique numérique.

Dans son rôle de leader d'opinion, Bill cherche à trouver l'équilibre adéquat entre une « protection sensée », ce qui lui a valu le titre de principal influenceur international pour la confidentialité des donnée, et la « maximisation de la valeur économique et sociale », domaine où il exerce également une grande influence sur les aspects les plus divers, allant de la cybersécurité et la transformation numérique jusqu'au GovTech et aux villes connectées. Il intervient également chaque semaine à la télévision ou à la radio (BBC, RT, etc.) en tant qu'expert dans ces différents domaines. Il est l'expert en technologies qui compte le plus de temps d'antenne au Royaume-Uni.

En tant qu'entrepreneur, Bill est le fondateur et le P.D.G. de CrisisTeam.co.uk. Il a constitué au sein de cette société une équipe élite d'experts en réaction aux incidents, en droit informatique, en gestion de la réputation et en influence sur les réseaux sociaux pour aider ses clients à minimiser l'impact des cyberattaques.

La cybersécurité n'est pas qu'une case à cocher

À bien des égards, le défi le plus immédiat que représente le Covid se révèle plus simple à relever que d’autres. Le défi climatique résistera à n’importe quel masque ou vaccin. Le Covid a certes connu quelques variants, mais sur le front de la cybersécurité, de nouveaux logiciels malveillants et de nouvelles vulnérabilités sont découverts quasi quotidiennement. Maintenir notre engagement et nous concentrer sur des défis aussi significatifs ne sera jamais une tâche aisée, mais cela n’en reste pas moins nécessaire.

Se contenter d'une checklist en matière de protection des données, de conformité et de cybersécurité est une solution de facilité qui n’est pas viable, tout comme déléguer la responsabilité de ces problèmes à des personnes au sein d'une organisation et s'attendre à ce qu'elles assument l'entière responsabilité. Il est tout aussi facile de souscrire une cyberassurance et la considérer comme un substitut à une cybersécurité adéquate. La cybersécurité est la responsabilité de tous et elle exige un engagement soutenu de notre part à tous.

Dans ce cas, qu’inclut cet « engagement soutenu envers la cybersécurité » ? Qu’exclut-il également, à contrario ?

Un engagement soutenu envers la cybersécurité ne doit pas correspondre pas à la simplicité d'une checklist à remplir... c'est une approche culturelle à l'échelle de l'organisation pour valoriser et protéger les données.

Un engagement soutenu envers la cybersécurité ne doit pas être simplement délégué non plus au service technique... c'est une responsabilité partagée et commune à l’ensemble de l'organisation, qu’il s’agisse des utilisateurs qui suivent une formation sur le phishing et utilisent l'authentification multifacteur (MFA), des cadres qui fournissent un financement adéquat pour la cybersécurité et qui participent activement à des exercices de simulation pour tester la préparation aux incidents, ou encore des équipes informatiques et de conformité.

Un engagement soutenu envers la cybersécurité n’a pas une solution unique et toute faite... c'est un élément appliqué de bout en bout dans l'ensemble de votre organisation. Des outils et des méthodologies d’antivirus existent. Nous pourrions citer Zero Trust, et c’est un bon début, mais ils doivent néanmoins être complétés par de la détection, des sauvegardes, du chiffrement et bien plus encore. Des communications chiffrées sont cruciales, mais le chiffrement de données au repos sur les serveurs, sur les périphériques de stockage et même sur les SSD et les clés USB l’est tout autant.

Un engagement soutenu en faveur de la cybersécurité passe également par l'investissement dans les compétences. Les compétences en cybersécurité sont rares. De fait, retenir un personnel disposant des bonnes compétences peut être un véritable défi pour les petites organisations. Certains fournisseurs apportent heureusement un soutien aux petites organisations qui n'ont pas les compétences spécialisées nécessaires. Le service Demandez à un expert Kingston Technology en est un exemple.

Un engagement soutenu envers la cybersécurité ne doit pas être considéré à court terme uniquement... Il n’a pas de limite dans le temps. Le paysage dans lequel il s’inscrit évolue constamment, après tout. De nouvelles vulnérabilités et menaces sont découvertes quasi quotidiennement. Il serait juste de dire que les cybercriminels sont des opportunistes implacables. Et les conséquences d'une erreur sont considérables.

Un engagement soutenu envers la cybersécurité n’est pas synonyme de cyberassurance... C’est une exigence absolue qui ne peut être remplacée. Les régulateurs ont bien averti qu'il ne fallait en aucun cas confondre cyberassurance et cybersécurité. La cyberassurance n'est qu'un complément à la cybersécurité et à la réponse aux incidents. L’une et l’autre ne peuvent se substituer.

L'engagement est la clé du succès en cybersécurité

Ce type d'approche globale et soutenue peut sembler intimidant, mais c’est essentiel. En effet, la cybersécurité est une menace asymétrique. Nous n'avons jamais été aussi dépendants de la technologie ou interconnectés. Cela nous rend aussi plus vulnérables. Vous devez adapter vos défenses en permanence pour vous assurer qu’elles restent adéquates, mais les attaquants sont des opportunistes : une seule réussite suffit. Il peut s'agir d'un unique e-mail de phishing ou d'une simple clé USB compromise pour ouvrir une brèche.

Selon le Baromètre des risques d'Allianz, la cybercriminalité mondiale pèse déjà 1 000 milliards de dollars sur l'économie, soit un bond de 50 % en deux ans. Et les choses empirent. Les récentes attaques de chaîne d'approvisionnement, telles que l'attaque Hafnium sur les serveurs Microsoft Exchange et le piratage Solarwinds, ont touché des dizaines de milliers d'organisations. Nous avons également constaté une augmentation du nombre d’attaques au ransomware et de leur gravité.

Si la préoccupation de la cybersécurité n’est pas inhérente au conseil d'administration de votre organisation, elle devrait l'être. De la même manière, s’il ne s’agit pas d’une approche soutenue vis-à-vis de ce défi, cela devrait être une priorité. Un nombre croissant d'organisations n'ont pas reconnu la menace pour finir par en subir les conséquences : ne laissez pas votre organisation devenir une énième victime.

#KingstonIsWithYou