La cybersécurité est devenue une priorité absolue pour les organisations du monde entier, mais cela n'a pas toujours été le cas.
Il y a quelques années encore, de nombreuses entreprises n'étaient pas préparées à faire face à des cybermenaces majeures. L'un des incidents les plus marquants s'est produit en 2017 avec l'attaque du ransomware WannaCry, qui s'est rapidement propagé à travers le monde, exploitant les vulnérabilités et prenant les données en otage. Il a touché plus de 200 000 systèmes dans tous les secteurs d'activité, utilisant des exploits initialement développés par l'Agence nationale de sécurité américaine (NSA).
Peu après, l'attaque NotPetya a frappé, effaçant les données des machines et laissant de nombreuses organisations mal préparées malgré le récent signal d'alarme.
Trois méthodes pour protéger la technologie et les données
Les cyberattaques, notamment le phishing, les logiciels malveillants et les ransomwares, continuent de se multiplier en 2024. En effet, selon une étude récente menée par Keeper Security, 92 % des responsables informatiques déclarent que les cyberattaques sont désormais plus fréquentes qu'en 2023. Cette augmentation souligne l'intensification des menaces et la nécessité urgente pour les entreprises de renforcer leurs défenses en matière de cybersécurité.
1. Quantifier les risques cybernétiquesQuantifier les risques cybernétiques
Traduire le risque en termes financiers peut aider les dirigeants à comprendre son impact potentiel. Comme nous l'avons vu, les cybermenaces ne cessent d'augmenter. Un rapport IBM de 2024 estime que le coût moyen d'une violation de données s'élève désormais à 4,88 millions de dollars.
Les organisations ne peuvent plus se permettre d'adopter une approche réactive en matière de cybersécurité. Le calcul des pertes potentielles permet de déterminer clairement l'impact d'une violation sur vos résultats financiers et incite à investir dans des défenses plus solides.
2. Aligner les risques cybernétiques sur la stratégie organisationnelle
Une stratégie de gestion des cyberrisques doit être intégrée au cadre global de gestion des risques de votre organisation. L'Institute of Risk Managementdéfinit l'appétit pour le risquecomme « le montant et le type de risque qu'une organisation est prête à prendre pour atteindre ses objectifs stratégiques ». Définir l'« appétit pour le risque » de votre entreprise garantit que vos défenses sont alignées sur vos objectifs stratégiques.
Les organismes de réglementation incitent désormais les entreprises à mettre en place officiellement une stratégie en matière de cyberrisques, qui aide les dirigeants à évaluer si leur entreprise est suffisamment protégée contre les cybermenaces en constante évolution.
Aborder la gestion des cyberrisques de cette manière permet de l'intégrer dans le cadre global de gestion des risques de l'entreprise, ce qui permet de déterminer si l'exposition est abordable ou acceptable.
3. Évaluer régulièrement les cyberdéfenses et les risques liés aux fournisseurs
Les évaluations des risques cybernétiques doivent être un processus continu dans tous les services, y compris chez les fournisseurs tiers. Cela comprend le test de la sécurité du réseau, la recherche de vulnérabilités et l'évaluation de l'efficacité des contrôles de sécurité. Les risques liés aux tiers doivent être surveillés de près, car les attaques visant la chaîne d'approvisionnement sont de plus en plus courantes. Des audits internes et externes fréquents, associés à des exercices de simulation, aideront votre équipe à réagir rapidement et efficacement en cas d'incident.
Comme décrit dans le «Guide de déploiement d'une stratégie de gestion des cyberrisques»,il est dans l'intérêt des entreprises de surveiller attentivement leurs cyberrisques dans tous leurs services.
Source : Oliver Wyman
Tout d'abord, identifiez les risques à l'aide d'une évaluation des risques cybernétiques et d'une évaluation globale de la sécurité. Ensuite, procédez à des examens par des tiers ; évaluez la fonctionnalité des contrôles de sécurité par rapport aux exigences de sécurité et évaluez l'impact interne et externe sur la sécurité. Enfin, évaluez l'efficacité globale de votre plan BCDR et le degré de finalisation de votre stratégie si des mesures correctives s'avèrent nécessaires.
4. Tester en permanence la réponse aux incidents cybernétiques
Votre plan d'intervention en cas d'incident doit être complet et fréquemment testé pour être véritablement résilient. Cela implique de simuler divers scénarios d'attaque, de définir clairement les rôles des différents services et de mettre régulièrement en pratique les protocoles de communication de crise. Les exercices sur table aident les parties prenantes à comprendre les nuances du cyber-risque et à améliorer leur état de préparation. Cependant, à mesure que les cybermenaces évoluent, votre plan doit être régulièrement mis à jour et amélioré afin de garantir son efficacité.
Dans le contexte actuel, les cyberattaques ne sont pas seulement un problème informatique, elles constituent également un problème commercial. En quantifiant les risques, en alignant la cybersécurité sur la stratégie et en testant rigoureusement les plans d'intervention, les organisations peuvent mieux se défendre contre les perturbations potentielles et atténuer les conséquences graves d'une violation.
Note de l'éditeur : Cet article a été publié à l'origine sur Preparis Business Continuity Software. En octobre 2024, Mitratech a acquis Preparis, un fournisseur de premier plan de solutions de planification de la continuité des activités et d'intervention d'urgence. Le contenu a été mis à jour pour refléter les offres de produits élargies de Mitratech, les progrès de l'industrie et les développements réglementaires.
