Dirigeant(e) d’organisation : voici le TOP 6 des actions que vous devez prendre en cybersécurité
Vous êtes un(e) dirigeant(e) et à force de voir les cas de piratages dans les médias, vous vous demandez ce que vous pouvez faire pour mettre votre organisation à l’abri des piratages?
Voici les 6 actions que vous devez prendre en cybersécurité:
1- Prendre du leadership sur votre cybersécurité
Que vous soyez une PME ou une grande organisation, en tant que dirigeant(e), c’est vous qui serez en première ligne si un incident majeur impacte votre organisation.
Il est donc important de prendre les devants et de vous assurer que votre organisation est bien sécurisée. L’organisation d’une rencontre avec votre responsable TI ou cybersécurité pour discuter de votre cybersécurité est primordiale.
2- Demander à votre Directeur(trice) TI ou votre Chef de la cybersécurité de vous présenter vos risques de cybersécurité
Vous devez absolument avoir une idée précise des principaux risques de cybersécurité qui peuvent impacter votre organisation. Il y a des cyber-risques qui sont évidents comme les rançongiciels et les cas d’hameçonnage et d’autres qui sont liés à votre secteur d’activités. Par exemple:
- Un pirate pourrait être intéressé à voler votre propriété intellectuelle si vous êtes actifs en R&D. Il pourra s’appuyer sur un rançongiciel ou de l’espionnage industriel.
- Une personne malicieuse pourrait être intéressée à arrêter vos lignes de production dans l’intention de vous nuire ou de demander une rançon dans les cas de manufacturiers.
Pour chacun des risques identifiés, votre responsable TI ou cybersécurité doit indiquer l’impact sur votre organisation (ex: arrêt de ligne de production pendant 72h, vol de 100 000 données de cartes de crédit, etc.). Idéalement, les risques devront être chiffrés pour faciliter la prise de détection. Par exemple, l’arrêt d’une ligne de production pour une durée de 72h suite à un rançongiciel pourrait coûter 300 000$ à une organisation.
Important: demandez à votre responsable TI ou cybersécurité si il/elle a l’expertise pour faire cette analyse de cyber-risques. Si ce n’est pas le cas, il est important de se faire aider par une firme de cybersécurité externe. On ne devrait jamais bricoler lors d’une analyse de risques.
Si vous n’avez pas d’équipe TI interne, demandez à une firme externe de vous faire une évaluation de risques.
3- Demander la confirmation de l'existence de mesures pour mitiger vos principaux cyber risques
Demandez à votre responsable TI ou Cybersécurité de vous confirmer si des mesures sont mises en place pour mitiger vos principaux cyber-risques. Vous allez découvrir (souvent avec stupéfaction) votre niveau d’exposition réelle. Vous pourrez être rassurés ou choqués, mais plus vite vous le saurez, mieux ce sera.
Il faut savoir qu’il y’a plusieurs manière de traiter un risque:
- L’accepter: vous décidez de vivre avec le risque et d’assumer les conséquences en cas de piratage.
- Transférer le risque: prendre une assurance cybersécurité pour couvrir un risque donné (ex: les cas de rançongiciels).
- Éliminer ou minimiser le risque en instaurant des mesures de mitigation.
Chose importante, vous ne devez jamais accepter les risques liés à des obligations légales (ex: Loi 25 sur la protection des renseignements personnels au Québec), réglementaires ou contractuelles. En effet, votre responsabilité est directement engagée et vous pourrez personnellement faire face à la justice si lors d’un incident, il s’avère que vous avez été négligent.
4- Évaluer le niveau d’expertise en cybersécurité de votre équipe TI
Plusieurs hauts dirigeants présupposent que leur personnel TI est spécialisé en cybersécurité parce qu'il sait installer des antivirus ou un coupe-feu (firewall). Ceci est une grosse erreur.
Vous devez avoir une discussion franche et honnête avec votre responsable TI ou cybersécurité autour de l’expertise interne en cybersécurité. Les responsables TI ne demandent d’ailleurs que ça. Il se feront le plaisir de vous exposer l’état exact de la situation, si vous le demandez.
Si vous avez des doutes sur l'existence d’une expertise interne en cybersécurité, vous devez prendre des actions:
- Former votre personnel TI en cybersécurité
- Embaucher un spécialiste en cybersécurité à temps plein ou à temps partiel
- Collaborer avec une firme de cybersécurité qui pourra vous appuyer en agissant comme une extension de votre équipe TI interne
5- Confirmer l’existence d’un plan de réponse aux incidents
Considérez qu’un jour ou l’autre vous allez subir une cyberattaque. Dans plusieurs cas d’incidents, les impacts augmentent tout simplement parce que les équipes de réponse sont mal formées ou préparées, ce qui conduit à des tâtonnements ou à de mauvaises décisions. Cela fait que l’incident est mal géré et les impacts explosent.
Demandez à votre responsable TI ou cybersécurité si l’organisation dispose d’un plan de réponse aux incidents solide et régulièrement testé. Si la réponse est non, c’est car votre équipe TI n’a pas l’expertise nécessaire. Dans ce cas, vous devez solliciter une firme de cybersécurité pour vous aider à définir votre plan de réponse aux incidents.
Assurez-vous personnellement que le plan de réponse aux incidents soit testé au moins une fois par année.
6- Confirmer l’existence d’un plan d’actions en matière de cybersécurité
Vérifiez avec votre responsable TI ou cybersécurité si vous disposez d’un plan d’actions en cybersécurité. Le plan doit indiquer clairement et minimalement les actions prévues dans les 24 prochains mois afin de vous mettre à l'abri des cyberattaques.
Si vous n’avez pas de plan d’actions, il est fort probable que votre équipe TI n’ait pas l’expertise requise. Dans ce cas, nous vous suggérons fortement de vous faire aider par une firme de cybersécurité externe.
Comment Streamscan peut vous aider?
L’expertise de Streamscan couvre le développement de technologies de détection de cybermenaces, la surveillance à distance de la sécurité des organisations, la réponse aux cyberattaques, etc.
Nous accompagnons aussi continuellement des organisations à rehausser leur niveau de cybersécurité pour faire face à l'évolution des cyberattaques (analyses de risques, diagnostic de cybersécurité, plan de réponse aux incidents, etc.).
Nous pouvons vous aider à mieux comprendre les problématiques et défis de la cybersécurité qui peuvent impacter votre organisation. Parlez à l'un de nos experts.