Cybersécurité et interruption des activités : Les bases de la prévention et de l'atténuation

Introduction

L'écosystème de la sécurité moderne est diversifié et en constante évolution, un espace où le risque en cybersécurité est une priorité pour les dirigeants à tous les niveaux, alors que les menaces pour la sécurité et la confidentialité des informations et des données suivent le rythme des innovations techniques. Dans cet écosystème dynamique, nous sommes de plus en plus interconnectés à travers le monde, où les organisations (et les individus) doivent aussi affronter la menace toujours présente des cyberattaques. Personne n'est à l'abri et l'impact potentiel d'une attaque numérique réussie sur vos actifs peut affecter vos opérations, votre réputation et votre clientèle, et bien plus encore.

Nos données sont de plus en plus attaquées. L'information est l'élément vital de notre communauté mondiale en constante évolution et de plus en plus connectée. Le pouvoir des données est visible dans toutes les facettes de l'ère moderne, où la valeur de l'information n'a jamais été aussi précieuse, en favorisant un développement et un progrès avant-gardistes. Malheureusement, comme souvent, le risque pour l'objet de cette valeur est que celle-ci augmente à un rythme égal ou supérieur à celui de l'expansion de l'objet. L'information est devenue l'un des actifs incorporels les plus précieux du monde, tout en occupant simultanément la position de l'un des actifs les plus vulnérables du globe. Le risque inhérent est un résultat attendu de ce processus de transformation, ce qui suppose une lourde responsabilité dans la protection des informations qui sont le moteur de notre progrès.

L'article s'attache à l'expertise professionnelle, aux procédés et aux technologies nécessaires pour atténuer le risque toujours croissant de cyberattaques et d'interruptions potentielles des activités des entreprises, des organisations et des particuliers.

La menace qui pèse sur les informations peut être évaluée de plusieurs façons : de la manipulation négligente des données aux efforts continus des intervenants malintentionnés pour exploiter, modifier ou extraire des données. C'est souvent la prise de conscience de l'impact de ce risque qui est à l'origine des progrès en matière de cybersécurité. Cette ressource que nous appelons information a révolutionné la façon de penser du monde entier. Sa place dans la gestion de la sécurité est devenue incontournable et essentielle.

Vu ce contexte dynamique, la question de la cybersécurité et de l'impact des interruptions d'activité n'a jamais été aussi cruciale pour la gestion des risques et la prospérité de l'entreprise. Quelle que soit la taille de votre organisation, une cyberattaque peut vous coûter extrêmement cher et nuire à la survie de votre entreprise.

À cause de l'intensification des risques, les organisations doivent impérativement souscrire une cyberassurance, car les acteurs de la menace se perfectionnent de plus en plus. Dans le même temps, la couverture de l'assurance cyber-responsabilité est devenue plus chère et plus difficile à obtenir. Les primes de ces plans sont en hausse en raison de l'augmentation des pertes liées aux sinistres, de la demande croissante de couverture et des sommes conséquentes versées à la suite d'attaques par rançongiciel. Les primes de cyberassurance ont augmenté en moyenne de 28 % au premier trimestre 2022 par rapport au quatrième trimestre de 2021. L'évolution du marché des cyberassurances a vu le passage de polices globales avec de larges inclusions et des limites élevées à des polices avec une couverture détaillée, des exigences techniques et de sécurité claires, et des limites gérées en fonction des tendances des sinistres.

Le contexte complexe de l'assurance peut être considéré comme l'un des nombreux facteurs qui convergent pour créer un cadre propice aux turbulences. Voici les éléments qui pourraient être intégrés dans la tempête à venir :

• des attaques de plus en plus réussies contre des entreprises de toutes tailles exigent le paiement de rançons ;
• le dépôt de demandes d'indemnisation par les cyberassurances est en nombre record ;
• des pertes croissantes imputables aux cyberincidents, y compris les demandes d'indemnisation des cyberassurances et des versements croissants au titre des litiges civils ;

les autorités de régulation et les législateurs s'intéressent de plus en plus non seulement aux méthodes de prévention et de riposte, mais aussi à la volonté des organisations d'investir de manière adéquate dans la cybersécurité avant une attaque, comme le montrent les récentes recommandations en matière de cybersécurité de la Securities and Exchange Commission (SEC) des États-Unis.

La compréhension de la lutte contre les acteurs des cyber-menace

Bien que la situation actuelle semble désastreuse, jamais auparavant les outils et les ressources disponibles n'avaient été aussi nombreux, complets et variés pour relever le défi et réduire les risques.

La menace des cyberattaques ayant évolué, tout comme ceux qui contestent la prétendue invincibilité des acteurs de la menace. Ils semblent avoir toujours une longueur d'avance et être mieux préparés. Pourtant, si nous utilisons les ressources à notre disposition pour anticiper une potentielle attaque, nous pouvons nous préparer et réagir efficacement pour réduire l'impact de cet ennemi apparemment imbattable - « l'acteur de la cyberattaque ».

Pour relever ce défi croissant, les professionnels de la cybersécurité doivent faire appel aux personnes, aux processus et à la technologie dont ils disposent pour protéger la confidentialité, l'intégrité et la disponibilité des données et des informations dont ils sont responsables, garantissant ainsi la sécurité et la confidentialité.

Il existe des concepts fondamentaux qui sont essentiels à la réussite.

• La culture est importante. Une approche descendante pour aborder la sécurité au sein d'une organisation est essentielle pour obtenir une participation intégrale. La cybersécurité est un effort d'équipe qui requiert la participation de tous, du réceptionniste au PDG, pour obtenir les résultats les plus efficaces. S'il n'existe pas de culture de sécurité ni d'engagement appropriés au niveau de la direction, il peut être difficile d'inciter à l'adoption de pratiques qui favorisent une bonne cyberculture. L'engagement au plus haut niveau est indispensable et les récentes directives de la SEC concernant une meilleure transparence au niveau du conseil d'administration renforcent ce concept fondateur.
• La planification et lapréparation avant un incident sont aussis des éléments essentiels d'un programme de cybersécurité efficace. Compte tenu de l'augmentation des interruptions d'activité et des pertes liées aux intrusions, une stratégie est requise pour réduire le risque d'exposition majeure. Ce concept prend une importance croissante dans le cadre des efforts pour obtenir une cyber assurance couvrant efficacement le risque identifié avec des limites appropriées. Propres à chaque organisation, les considérations comprennent la stratégie de sécurité et de réponse, la réponse aux incidents (IRP), la continuité des activités (BCP), les stratégies de reprise après sinistre (DRP), les politique/les procédures, la gouvernance, le plan de recouvrement financier avant la catastrophe et la formation. Une réponse efficace à un cyberincident comprend la préparation de l'implantation de mesures techniques, ainsi que la préparation et la planification financières. L'atténuation de l'impact financier potentiel d'une intrusion comprend la bonne compréhension des impacts financiers d'une intrusion, de la couverture et des délais d'assurance, ainsi que des questions internes, notamment la paie et les périodes d'attente, pour n'en citer que quelques-unes.
• L'identification de l'univers technologique de votre organisation est souvent négligé par les professionnels de la sécurité. Les domaines à prendre en considération devraient comprendre l'inventaire et la cartographie des actifs (matériel, logiciels et données pour la confidentialité, y compris les actifs incorporels tels que les secrets commerciaux et la propriété intellectuelle), l'analyse des carences, la gestion des risques et des vulnérabilités, y compris les risques liés aux tiers. L'identification ne se limite pas à la technologie. Lors de l'évaluation des données critiques d'une organisation, il convient de prendre en considération les secrets commerciaux qui sont légalement protégeables lorsqu'ils sont sécurisés par des « mesures raisonnables ». Selon la Cour de district des États-Unis pour le district nord de New York, « afin d'évaluer les mesures de confidentialité raisonnables, les tribunaux examinent si... les informations sont protégées par la sécurité physique ou la cybersécurité ». [1] Les éléments relatifs aux personnes et aux processus à prendre en compte peuvent inclure les sauvegardes de documents essentiels pour les questions de ressources humaines, la paie, ainsi que l'analyse financière pour identifier les pertes de revenus et, éventuellement, les dépenses liées à l'atténuation des incidents.
• La protection et la défensedu réseau englobe des éléments tels que la sensibilisation et la formation, la gestion des correctifs, la gestion des accès, les technologies de protection et les opérations de sécurité. C'est au sein de ce domaine que nous discutons de l'importance des strates de défense et du fait que l'hygiène n'est pas réservée aux humains. Une bonne cyberhygiène implique l'utilisation d'un logiciel de détection des virus et des logiciels malveillants, l'installation de pare-feu sur le réseau, le changement régulier des mots de passe, la mise à jour régulière des applications et des systèmes d'exploitation sur tous les appareils, et bien plus encore.
• La détection en tant que concept nous apprend qu'une bonne défense est insuffisante. Les organisations bien préparées sont constamment à l'affût des anomalies grâce aux journaux, à l'analyse du réseau, à la surveillance des incidents et aux tests périodiques d'exploitation. Il est essentiel de ne pas oublier que la surveillance des enjeux de cybersécurité doit offrir une vue à la fois de l'extérieur vers l'intérieur (défense du périmètre) et de l'intérieur vers l'extérieur.
• La réponse aux incidents exige une réponse coordonnée, bien planifiée, formée et expérimentée. La planification anticipée est primordiale pour contrattaquer. La mise en application de ces planifications à tous les niveaux renforce la capacité de l'organisation à réagir efficacement en adoptant une approche stratégique proactive. L'IRP inclut souvent des mesures afin de contenir, d'enquêter et d'éradiquer les menaces, ainsi que pour identifier et éliminer les causes profondes des vulnérabilités tout en documentant les preuves à des fins diverses. Ces informations permettront également de répondre à des questions cruciales pour les assureurs qui devront acquérir une compréhension solide de ce qui s'est passé et des impacts physiques et financiers sur les opérations.
• Les opérations de récupérationinterviennent généralement plus tard dans l'effort d'intervention, mais elles n'en sont pas moins essentielles. Les sauvegardes sont souvent le point central de la discussion sur la récupération, mais la restauration des opérations est souvent beaucoup plus complexe et peut inclure la chasse permanente des responsables de la menace, des applications de sécurité supplémentaires et un devoir de diligence dans toute l'entreprise. Une préparation anticipée dans cette catégorie permet à l'organisation d'articuler clairement les coûts de reprise des opérations par opposition à la mise en place d'améliorations qui déclencheront la vérification de l'assureur et pourraient avoir un impact sur le recouvrement des recettes de votre entreprise
• Enfin, l'application des leçons tirées pour s'améliorer offre à l'organisation l'opportunité de se servir des événements les plus insignifiants pour améliorer la réponse aux futurs incidents.

Conclusion

Regrouper ces composantes dans un programme de cybersécurité efficace requiert un leader proactif et visionnaire qui accepte la collaboration. Comme indiqué, la cybersécurité est un sport d'équipe qui exige la connaissance des meilleures pratiques du secteur, la capacité d'établir la meilleure compilation de services et de capacités pour l'organisation afin de fournir la posture de gestion des risques attendue, et la détermination à poursuivre l'effort jusqu'à une implantation complète.

Le bon leader de la sécurité de l'information et de la protection de la vie privée doit habiliter, protéger et permettre à l'entreprise, aux opérations et à la commercialisation, en fournissant le meilleur programme opérationnel de sécurité disponible. Si l'entreprise l'exige, le responsable devra veiller à la conformité des programmes réglementaires, juridiques et de gouvernance, tout en instaurant une culture de la sécurité et de l'initiative.

Les ressources nécessaires pour remplir cette mission ne sont pas toujours disponibles au sein de l'organisation. Le partenariat avec un prestataire de services capable de réagir en cas de besoin pour améliorer les capacités est vital pour les meilleurs leaders de la cybersécurité. Certains des meilleurs fournisseurs de services proposent des services sur mesure pour combler les manques lorsque cela est nécessaire. Les organisations doivent rechercher des prestataires offrant des services personnalisés pour chaque client dans le cadre de leurs efforts pour mettre en place ou améliorer leur programme de cybersécurité. En fin de compte, les meilleurs fournisseurs doivent mettre à disposition une équipe d'experts qui apportent des décennies d'expérience à chaque mission, en se spécialisant dans la réponse aux incidents et dans la récupération, le renforcement proactif de la résilience, la planification financière pré-incident et l'analyse des pertes financières.

Remerciements

Nous tenons à remercier Jessica Eldridge, Robert McSorley, et Ron J. Yearwood, Jr., CISSP, CISM, CIPM,, dont les connaissances et l'expertise ont grandement contribué à cette recherche.

En savoir plus sur les contributeurs de J.S. Held

Jessica Eldridge est vice-présidente des services d'assurance et de comptabilité judiciaire de J.S. Held. Elle possède à son actif plus de 19 ans d'expérience dans les enquêtes et la comptabilité judiciaires à travers la quantification des dommages financiers impliquant une interruption d'activité, la cybernétique, les dépenses supplémentaires, le stock, l'assurance chantier, la déloyauté/loyauté des employés, les blessures personnelles, la subrogation et les services d'assistance en cas de conflit. Jessica a aussi une solide expérience dans les domaines de l'administration de fonds de frais communs et de la supervision des réclamations pour dommages matériels liés à de grands projets de construction.

Jessica peut être contactée à l'adresse [e-mail protégé] ou au +1 401-301-8565.

Robert McSorley est le directeur général de la pratique de la propriété intellectuelle de J.S. Held. Travaillant au bureau de Chicago d'Ocean Tomo, qui fait partie de J.S. Held, Robert possède 30 ans d'expérience dans le traitement des questions économiques, financières et comptables concernant les litiges commerciaux. Robert s'attache aux les litiges en matière de propriété intellectuelle depuis 1998 et il évalue régulièrement les quantifications et les montants de recouvrement monétaire en cas de violation/d'appropriation illicite. Il a apporté son un témoignage d'expert devant des tribunaux fédéraux et dans des dépositions à des dizaines d'occasions, et les tribunaux et les jurys ont adopté ses opinions et ses conclusions. Expert-comptable et avocat diplômé, Robert est membre de la Licensing Executive Society, de l'American Institute of Certified Public Accountants et de la Federal Circuit Bar Association.

Vous pouvez contacter Robert à l'adresse [e-mail protégé] ou au +1 312 327 4412.

Références

[1] Executive Trim Construction, Inc. v. Gross, 525 F.Supp.3d 357 (N.D.N.Y, 2021).