La cybersécurité est une priorité pour le conseil d’administration, et non un problème informatique
La cybersécurité est devenue un risque majeur pour les entreprises. Il est temps que les PDG et les conseils d’administration se l’approprient, pleinement et de manière proactive. Jen Easterly, directrice de l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA), le dit clairement : la cybersécurité doit être traitée comme n’importe quel autre risque majeur de l’entreprise, au même titre que les préoccupations financières et opérationnelles. En d’autres termes, si la cybersécurité ne figure pas à l’ordre du jour de votre conseil d’administration, vous êtes déjà à la traîne.
Pendant trop longtemps, les entreprises ont délégué la cybersécurité aux départements informatiques ou aux RSSI, la considérant comme une réflexion technique après coup. C’est une erreur. Les cybermenaces sont désormais sophistiquées, persistantes et capables de paralyser des secteurs entiers. Nous parlons ici d’acteurs étatiques, La Chine, la Russie et d’autres pays s’en prennent aux infrastructures critiques, aux institutions financières et aux chaînes d’approvisionnement. Si vous pensez que votre organisation n’est pas une cible, détrompez-vous. Toutes les entreprises dépendent aujourd’hui d’une infrastructure numérique, et il est tout aussi important de la sécuriser que de protéger les actifs physiques.
Les dirigeants avisés l’ont compris. Ils intègrent la cybersécurité dans la stratégie de l’entreprise et en font un sujet de discussion au sein du conseil d’administration. La collaboration de la CISA avec la National Association of Corporate Directors et l’Internet Security Alliance en 2023 a débouché sur un manuel pratique destiné à aider les entreprises à prendre des mesures significatives. Qu’il s’agisse d’évaluer les cyberrisques lors des fusions-acquisitions ou de garantir la conformité à des réglementations en constante évolution, le message clé est clair : la cybersécurité est un catalyseur stratégique, et non un simple centre de coûts.
Le rôle clé du secteur privé dans la cyberdéfense nationale
La plupart des infrastructures critiques du pays sont gérées par des entreprises privées. Cela signifie que les entreprises, grandes et petites, doivent prendre la responsabilité de renforcer leurs défenses et d’échanger des informations.
« Lorsque les entreprises privées négligent la cybersécurité, elles mettent en péril des économies entières et la sécurité nationale.
Les cybermenaces évoluent rapidement, les adversaires cherchant en permanence les points faibles. Il ne suffit plus de réagir, les entreprises doivent être proactives. Cela signifie qu’il faut construire des systèmes résistants, investir dans des principes de sécurité dès la conception et, surtout, partager les informations sur les menaces entre les différents secteurs et avec les partenaires gouvernementaux. En matière de cybersécurité, aucune entreprise n’est isolée et la collaboration est essentielle pour garder une longueur d’avance sur les mauvais acteurs.
Il est encourageant de constater qu’environ 260 entreprises ont déjà signé l’engagement de la CISA en faveur de la sécurité dès la conception. Cette initiative volontaire vise à déplacer la cybersécurité vers la gauche, en intégrant la sécurité dans le développement des produits dès le premier jour, plutôt que de l’ajouter ultérieurement. C’est une démarche intelligente.
Le défi ? De nombreuses entreprises hésitent encore, craignant les charges réglementaires, les coûts et les risques concurrentiels. Mais en réalité, une cybersécurité solide peut être un facteur de différenciation commerciale. Les entreprises qui sont à la pointe de la cybersécurité attirent de meilleurs partenariats, protègent leur marque et, en fin de compte, prospèrent dans une économie de plus en plus numérique.
Ce que les conseils d’administration et les dirigeants doivent faire dès maintenant
La cybersécurité n’est pas quelque chose que vous pouvez déléguer et oublier. Elle nécessite un leadership, des investissements et, surtout, un changement culturel du haut en bas de l’échelle. Voici ce que les conseils d’administration et les dirigeants devraient faire dès maintenant pour que la cybersécurité devienne un avantage pour l’entreprise, et non un handicap.
1. Soutenez votre RSSI (responsable de la sécurité de l’information)
Votre RSSI a besoin de plus qu’un simple siège à la table, il a besoin d’une influence réelle, de ressources et d’un accès direct à la direction. Un RSSI bien soutenu veille à ce que la cybersécurité soit intégrée dans les activités de l’entreprise, et non pas mise de côté après coup. Lorsque les responsables de la sécurité sont soutenus, ils peuvent renforcer la résilience de votre infrastructure et répondre rapidement et efficacement aux menaces.
2. Intégrer le cyberrisque dans toutes les décisions de l’entreprise
La cybersécurité doit être prise en compte dans tous les domaines, qu’il s’agisse de l’expansion d’une entreprise ou de l’acquisition d’un logiciel. Une faille ou une vulnérabilité peut faire échouer les plans les mieux préparés. Veillez à ce que vos cadres soient informés des cyberrisques et à ce que la cybersécurité fasse partie des discussions sur les stratégies de croissance, le développement de produits et la gestion de la chaîne d’approvisionnement.
3. Normaliser et renforcer les cadres de gestion des cyberrisques
Chaque entreprise a besoin d’un cadre solide pour mesurer et gérer les cyberrisques. Que vous utilisiez des modèles standard tels que le cadre de cybersécurité du NIST ou que vous développiez une approche personnalisée, la cohérence est essentielle. Des révisions et des mises à jour régulières permettent à votre organisation de garder une longueur d’avance sur l’évolution des menaces et des exigences de conformité.
En bref, la cybersécurité est un catalyseur pour les entreprises. Les entreprises qui lui accordent la priorité seront les leaders de demain. Celles qui ne le font pas ? Elles risquent d’être distancées, ou pire, d’être compromises.
En définitive, la cybersécurité n’est pas facultative. C’est un élément fondamental de la conduite des affaires dans le monde moderne. Plus tôt les dirigeants accepteront cette réalité, mieux ils seront positionnés pour faire face à l’avenir.
Principaux enseignements pour les dirigeants
- La cybersécurité, un impératif pour l’entreprise : Le risque cybernétique n’est plus seulement une préoccupation informatique ; il doit être une priorité stratégique au niveau du conseil d’administration afin de protéger les opérations commerciales, les clients et les parties prenantes. Les dirigeants doivent intégrer la cybersécurité dans la gouvernance de l’entreprise et la traiter avec la même urgence que les risques financiers et opérationnels.
- Responsabilité des dirigeants et habilitation des RSSI : Les conseils d’administration et les dirigeants doivent donner aux RSSI l’autorité, les ressources et l’influence directe nécessaires pour mener des initiatives efficaces en matière de cybersécurité dans l’ensemble de l’organisation. En sensibilisant les dirigeants aux cyberrisques, on s’assure que les considérations de sécurité sont prises en compte dans les décisions de l’entreprise, qu’il s’agisse d’investissements technologiques ou de fusions et d’acquisitions.
- Renforcer la collaboration avec le secteur privé : Les entreprises qui gèrent des infrastructures critiques doivent collaborer de manière proactive avec les agences gouvernementales afin d’améliorer l’échange de renseignements sur les menaces et de renforcer la résilience nationale en matière de cybersécurité. La participation à des initiatives telles que le programme Secure by Design de la CISA aide les entreprises à adopter des pratiques de développement sécurisées et à créer des produits numériques plus sûrs.
- Une gestion proactive des risques pour une résilience à long terme : Les organisations devraient continuellement revoir et affiner leurs cadres de risques cybernétiques, en s’alignant sur les normes industrielles telles que le NIST, afin de garder une longueur d’avance sur les menaces croissantes. Des évaluations régulières et une culture de sensibilisation à la sécurité à tous les niveaux de l’organisation sont essentielles pour maintenir une résilience à long terme face aux cybermenaces.
