Temps de lecture estimé : 12 minutes
La cybersécurité concerne toutes les entreprises et tous les secteurs d'activité. La gestion des cyberattaques est un problème « global » qui concerne toutes les équipes de l'entreprise. Il s’agit également d’une question humaine et opérationnelle, plutôt que simplement technique.
Aujourd'hui, chaque organisation dépend dans une certaine mesure de la technologie et des télécommunications. La question n'est plus de savoir "si" un cas de violation de la sécurité informatique se produit, mais plutôt de savoir "quand" cela arrivera.
👈 Les 6 étapes clefs pour répondre à une cyberattaque - Partie 1
Ce sera une exigence clé de l'équipe d'intervention en cas d'incident, en particulier lorsque l'organisation impliquée est tournée vers le consommateur.
Toutes les atteintes à la sécurité ne seront pas rendues publiques, mais pour beaucoup, elles sont inévitables. Par exemple, lorsque les données personnelles des clients ont été compromises et sont du domaine public, ou lorsque la législation applicable en matière de protection des données exige que les personnes concernées soient notifiées.
Il est essentiel de pouvoir gérer les annonces au public en temps voulu et d’être précis, ouvert et honnête dans les messages transmis.
Une législation spécifique peut contenir des obligations de notification réglementaires applicables en cas d'infraction. Bien que la plupart des juridictions ne disposent pas (encore) de lois spécifiques et globales en matière de cybersécurité, il existe souvent une mosaïque de lois et de réglementations élaborées en réponse à des menaces en constante évolution.
Certaines de ces lois s'appliqueront universellement à tous les secteurs, tandis que des législations sectorielles continueront de se développer pour cibler les secteurs les plus exposés aux risques. Par exemple, les services financiers, les infrastructures de services publics critiques et les télécommunications.
En France, les organisations doivent accorder une attention particulière à la législation sur la protection des données.
Le nouveau règlement proposé sur la protection des données en Europe impose aux organisations de tous les secteurs d’informer obligatoirement leurs autorités compétentes en matière de protection des données de toute atteinte à la sécurité, y compris des faits entourant la violation, de ses effets et des mesures correctives prises par l’organisation.
Certaines législations peuvent également exiger, en plus d'une notification réglementaire, la notification des personnes dont les données ont été compromises à la suite de la violation de la cybersécurité.
Décider qui notifier n'est pas facile... Il peut ne pas être possible d'identifier les données qui ont été affectées, par opposition à celles qui auraient pu être affectées. Si une organisation compte plusieurs millions de clients, la perspective de les notifier tous ne doit pas être prise à la légère.
Malheureusement, quelle que soit la préparation d'une organisation, celle-ci est néanmoins susceptible d'engager une forme de responsabilité en cas d'infraction à la cybersécurité.
Une organisation peut engager cette responsabilité de différentes manières. Une cyber-attaque pourrait entraîner une responsabilité directe non juridique. Cette responsabilité pourrait résulter, par exemple, de tentatives de chantage, de vols, de ransomwares et de paiements à titre gracieux qu'une organisation peut choisir d'effectuer dans une perspective de relations publiques et de relation client.
Cette dernière catégorie peut représenter un coût important pour les entreprises, mais peut réellement contribuer à limiter les dommages causés à la relation client. Par exemple, une organisation pour laquelle les informations de carte de crédit du client ont été compromises peut choisir de proposer un filtrage du crédit gratuit aux clients concernés pendant un certain temps.
Il y aura très souvent une responsabilité réglementaire résultant de violations de la cybersécurité. Du point de vue de la protection des données, la législation européenne en vigueur impose aux organisations de mettre en place des mesures de sécurité techniques et organisationnelles appropriées pour protéger les données à caractère personnel.
S'il s'avère qu'une organisation a échoué dans la mise en œuvre de cette exigence réglementaire, elle pourrait être passible d'une pénalité.
Dans le secteur des services financiers, le régulateur a toujours infligé des amendes plus lourdes pour les atteintes à la sécurité que le commissaire à l'information. Par exemple, en août 2010, la FSA a infligé une amende de 2,275 millions de livres à Zurich Insurance Plc pour la perte de 46 000 enregistrements de clients sur une bande de sauvegarde non cryptée, qui était en cours de traitement pour une filiale sud-africaine.
Bien que cet article se concentre sur ce qu’il faut faire en cas de violation, il est également important de garder à l’esprit que les organisations peuvent prendre un certain nombre de mesures proactives pour réduire le risque de cyber-attaque avant que ça n'arrive.
En particulier, les organisations doivent procéder à une évaluation complète de leurs processus et procédures existants, en identifiant les éléments à protéger et en évaluant les risques spécifiques et les impacts potentiels sur l'entreprise.
Par la suite, un plan d'intervention doit être mis en place, comprenant la désignation d'une équipe d'intervention appropriée et apportant les modifications nécessaires aux politiques et procédures afin de traiter les problèmes immédiatement apparents.
Enfin, étant donné que de nombreuses violations de la sécurité des données surviennent à la suite d'une action ou d'une inaction des employés, la formation et la sensibilisation des utilisateurs sont essentielles.