Six stratégies pour remédier aux lacunes dans les connaissances en cybersécurité des membres du conseil d’administration

De telles séances d’information sont rarissimes. Pourtant, elles permettent aux responsables des TI d’informer les membres du conseil d'administration des principales menaces à la cybersécurité pesant sur leur secteur et leur entreprise. Les lacunes de l’entreprise en matière de sécurité et les atteintes qui ont été prévenues peuvent aussi y être abordées. Ces séances donnent également aux administrateurs l’occasion d’en apprendre davantage sur le paysage de la cybersécurité et de poser des questions aux responsables des TI sur les risques d’entreprise dans le but de déterminer ce qui doit être fait pour minimiser les menaces et contrer les atteintes potentielles.

Le conseil d'administration devrait se poser les questions suivantes : Quels sont les trois principaux incidents de sécurité à survenir dans le secteur? Sommes-nous protégés contre ceux-ci? Quelles mesures avons-nous mises en place pour atténuer les risques? Une communication solide et un partage des connaissances permettront d’adopter des mesures de cybersécurité rigoureuses qui protégeront l’entreprise contre les nouvelles menaces.

Pour que les membres du conseil d'administration saisissent pleinement ce qu’est la cybersécurité, utilisez des données concrètes axées sur les risques qui leur permettront de prendre des décisions pragmatiques en la matière. Plutôt que d’utiliser des tableaux comprenant des douzaines d’indicateurs de rendement clés, présentez-leur :

• les sommes que l’entreprise consacre à la cybersécurité par employé et une comparaison avec des données de référence sectorielles;
• le nombre d’atteintes à la cybersécurité qui ont été prévenues;
• les leçons tirées de telles situations;
• une comparaison entre le nombre d’atteintes à la cybersécurité subies par l’entreprise par rapport au nombre moyen survenues dans le secteur;
• le nombre d’incidents de cybersécurité récurrents;
• la vitesse à laquelle l’entreprise a repris ses activités après un problème de sécurité;
• le nombre d’heures consacrées à corriger une faille de sécurité;
• les répartitions des dépenses pour contrer les principales menaces du secteur;
• la posture de sécurité de l’entreprise et ses changements à la lumière des initiatives à venir.

Ces indicateurs permettent aux responsables des TI de dresser un tableau réaliste de la posture de sécurité de l’entreprise et des menaces actuelles. En outre, les comparaisons avec les moyennes du secteur sont essentielles pour comprendre où se situe l’entreprise par rapport aux autres.

Vu le nombre ingérable de menaces, les équipes des TI doivent pouvoir faire part de leur expérience et décrire fidèlement la situation actuelle. Pour ce faire, elles ont besoin d’un espace sécuritaire propice à une discussion ouverte sur les risques.  

Il s’agit d’un changement de culture instauré par la direction, puis propagé aux autres échelons de l’entreprise. Il est important que les problèmes de cybersécurité urgents puissent être abordés de façon transparente, que les risques soient reconnus de bonne foi et que des solutions soient élaborées de manière collaborative pour améliorer la posture de sécurité. Sans ces échanges francs, les administrateurs ne pourront pas déterminer si les ressources sont adéquatement réparties.

En conclusion, la perfection n’existe pas, et les risques sont inévitables dans le domaine de la cybersécurité. Si tout semble parfait, il faut se poser les questions suivantes : Quelle est la zone la plus vulnérable de l’entreprise? Avons-nous pris des mesures pour y remédier?

Les entreprises doivent comparer leurs dépenses en cybersécurité avec des données de référence sectorielles pour déterminer si elles sont en phase avec leurs concurrents et si elles investissent suffisamment dans la sécurité. Elles n’ont pas à augmenter ces investissements en fonction de leur expansion, mais elles doivent les ajuster lorsqu’elles effectuent des changements majeurs comme l’embauche de nouveaux employés ou la conquête de nouveaux marchés. Pour assurer une protection optimale, des investissements stratégiques doivent avant tout viser les actifs les plus précieux et les plus susceptibles d’être la cible des cyberattaques.

Il importe également de discuter avec le conseil d'administration des coûts engendrés par une atteinte à la cybersécurité. Une comparaison entre les coûts d’une violation et les investissements en sécurité est à envisager. Pour prendre des décisions éclairées en matière de dépenses en cybersécurité, il faut notamment tenir compte des atteintes à la réputation, des coûts liés au retour à la normale et des pertes de ventes potentielles.

Le conseil devrait fournir un soutien lors des incidents de cybersécurité, être informé fréquemment des changements dans la situation et bien comprendre les principales décisions  qui sont prises. Dans de tels cas, il peut fournir des conseils très utiles concernant l’appétence au risque de l’entreprise. En l’incluant dans les discussions sur les répercussions financières, la disponibilité des systèmes, le paiement de rançons, l’embauche d’autres employés en TI ou l’achat de produits de cybersécurité supplémentaires, les entreprises tirent grandement parti des compétences en affaires de ses membres.

Cet ajout peut transformer le déroulement des discussions sur les mesures de cybersécurité avec le conseil. Comme la plupart des administrateurs possèdent peu de connaissances techniques, nous recommandons aux entreprises d’accorder la priorité à un spécialiste en TI lors de la sélection d’un nouveau membre. Ainsi, tant les risques que les aspects techniques peuvent être abordés.