Les organisations sont aujourd’hui vulnérables aux incidents informatiques.
Peu importe la nature de ces incidents, le contexte actuel qui a permis une forte numérisation des services, en passant par une digitalisation poussée des organisations et un basculement précipité vers le télétravail, à ajouter à cela une explosion de l’utilisation de cloud computing, cause énormément de souci quand il s’agit de gérer de manière efficace l’ensemble du parc informatique d’une organisation.
D’un autre côté, le fait d’avoir basculé vers cette numérisation a donné plus de force d’attaque au pirates informatiques. Ces derniers sont devenus plus virulents, plus persistants et beaucoup plus organisés qu’avant. À l’instar du covid-19 qui cesse de muter avec différentes variantes, la cybermalveillance continue de s’adapter et devient beaucoup plus sophistiquée. C’est pour cela qu’il est normal pour chaque organisation d’envisager, les incidents cyber comme étant des choses qui sont beaucoup plus susceptibles d’arriver.
En effet, l’enjeu que représente la cybersécurité dans le développement des organisations ou dans leur fonctionnement correct au quotidien est plus à nier. Tout le monde sait que la sécurité informatique est devenue l’un des piliers d’un fonctionnement correct pour chaque infrastructure. La sécurité informatique ne se limite plus à la simple protection d’un ordinateur. Elle concerne l’espionnage, le sabotage, le vol de données sensibles et le détournement de secret commerciaux. Pour toute personne qui suit constamment l’actualité, il est facile de comprendre que la menace informatique pèse beaucoup trop. Les conséquences pouvant détruire partiellement ou totalement une organisation.
Comment être prêt ?
Tout commence d’abord par l’adoption d’une culture. Une culture poussée vers l’appréhension de la sécurité informatique comme un comportement au quotidien.
« Pour en arriver là, nous avons dû développer à l’interne une culture de cybersécurité pour mieux faire les liens entre nos différents secteurs de droit afin de mieux jouer notre rôle-conseil et de faire le pont entre la gouvernance et le langage des informaticiens qui assurent le déploiement de mesures techniques. C’était la clé pour être en mesure d’offrir une solution complète aux entreprises », note Éric Lavallée, associé et directeur du laboratoire d’intelligence artificielle chez Lavery.
« Pour une PME, lorsqu’on pense au droit des technologies, on ne se sent pas toujours interpellé. Pourtant, ça touche l’ensemble [de l’écosystème d’affaires]. C’est pourquoi, dans nos initiatives de cybersécurité, on insiste sur le fait que ça nous concerne tous. Dès qu’une entreprise utilise Internet, le risque de cyberincidents existe », ajoute de sa part Selena Lu, avocate au cabinet Lavery.
La vulnérabilité face au cyber incident ne se limite pas seulement aux entreprises qui n’ont pas investi suffisamment dans la sécurité informatique. Elle peut concerner aussi les grosses entreprises qui ont déboursé énormément de moyens. Car la technologie ne fait pas tout. L’être humain dans sa manière d’agir et d’utiliser cette technologie peut aussi constituer une vulnérabilité non négligeable.
« L’humain est souvent derrière un cyberincident, poursuit l’avocate. La technologie ne protège pas contre l’ingénierie sociale. On n’a qu’à penser au courriel qui annonce le changement de compte bancaire d’un fournisseur. La cybersécurité est une combinaison de facteurs technologiques, physiques et de gouvernance. », déclare Éric Lavallée.
La sécurité informatique s’adapte aussi au contexte et ou législation. Elle évolue selon la nature la gouvernance et bien évidemment la relation conventionnelle qui existe entre les différentes personnes impliquées
« En matière de droit commercial, il y a aussi tout le volet contractuel : comment adapter les contrats avec les fournisseurs et partenaires, les communications et tout le système décisionnel. Est-ce que le fournisseur va protéger adéquatement l’information que je partage avec lui ? » avance Éric Lavallée.
En se penchant du côté de la gouvernance, on se penche très certainement sur l’obligation qui pèse sur les chefs d’entreprise, les administrateurs ou les dirigeants tout court. Ces derniers ont un rôle important à jouer dans la cybersécurité. Étant souvent considérés comme des vecteurs d’attaques non négligeables.
« On doit faire preuve de prudence et de diligence et s’assurer de protéger les actifs de l’entreprise. Si ce n’est pas fait, l’entreprise peut faire face à des actions en justice et les administrateurs pourraient engager leur responsabilité personnelle », a voulu signifier Selena Lu.
Sur ce point, la législation en vigueur en France offre une pause à toute personne ayant l’autorité la plus élevée dans une entreprise ou peu importe d’organisation, de déployer tous types de ressources nécessaires pour assurer la sécurité des données sous la responsabilité de l’organisation. Au-delà de cette obligation, il y a aussi celle qui astreint les dirigeants à publier tout incident informatique pouvant porter atteinte aux données en question.
« C’est important de se doter de politiques qui ne sont pas uniquement axées sur des aspects très techniques, comme les méthodes de cryptage ou les processus de transfert de données, suggère M. Lavallée. Il faut aborder le risque sous l’angle de la vigilance tout en se rappelant qu’il faudra l’adapter et la mettre à jour en suivant les tendances en matière de cybersécurité. », déclare Eric Lavallée.
On peut prendre un titre d’exemple, la nécessité ou l’obligation pour votre entreprise de mettre en place une politique qui permet d’encadrer le comportement de son personnel. Que ce soit dans la manière d’utiliser le matériel informatique ou d’accéder tout simplement à des ressources plus ou moins sensibles, comme des données personnelles.
Accédez maintenant à un nombre illimité de mot de passe :
Comment réagir à un incident de sécurité informatique
Les organisations sont aujourd’hui vulnérables aux incidents informatiques.
Peu importe la nature de ces incidents, le contexte actuel qui a permis une forte numérisation des services, en passant par une digitalisation poussée des organisations et un basculement précipité vers le télétravail, à ajouter à cela une explosion de l’utilisation de cloud computing, cause énormément de souci quand il s’agit de gérer de manière efficace l’ensemble du parc informatique d’une organisation.
D’un autre côté, le fait d’avoir basculé vers cette numérisation a donné plus de force d’attaque au pirates informatiques. Ces derniers sont devenus plus virulents, plus persistants et beaucoup plus organisés qu’avant. À l’instar du covid-19 qui cesse de muter avec différentes variantes, la cybermalveillance continue de s’adapter et devient beaucoup plus sophistiquée. C’est pour cela qu’il est normal pour chaque organisation d’envisager, les incidents cyber comme étant des choses qui sont beaucoup plus susceptibles d’arriver.
En effet, l’enjeu que représente la cybersécurité dans le développement des organisations ou dans leur fonctionnement correct au quotidien est plus à nier. Tout le monde sait que la sécurité informatique est devenue l’un des piliers d’un fonctionnement correct pour chaque infrastructure. La sécurité informatique ne se limite plus à la simple protection d’un ordinateur. Elle concerne l’espionnage, le sabotage, le vol de données sensibles et le détournement de secret commerciaux. Pour toute personne qui suit constamment l’actualité, il est facile de comprendre que la menace informatique pèse beaucoup trop. Les conséquences pouvant détruire partiellement ou totalement une organisation.
Comment être prêt ?
Tout commence d’abord par l’adoption d’une culture. Une culture poussée vers l’appréhension de la sécurité informatique comme un comportement au quotidien.
« Pour en arriver là, nous avons dû développer à l’interne une culture de cybersécurité pour mieux faire les liens entre nos différents secteurs de droit afin de mieux jouer notre rôle-conseil et de faire le pont entre la gouvernance et le langage des informaticiens qui assurent le déploiement de mesures techniques. C’était la clé pour être en mesure d’offrir une solution complète aux entreprises », note Éric Lavallée, associé et directeur du laboratoire d’intelligence artificielle chez Lavery.
« Pour une PME, lorsqu’on pense au droit des technologies, on ne se sent pas toujours interpellé. Pourtant, ça touche l’ensemble [de l’écosystème d’affaires]. C’est pourquoi, dans nos initiatives de cybersécurité, on insiste sur le fait que ça nous concerne tous. Dès qu’une entreprise utilise Internet, le risque de cyberincidents existe », ajoute de sa part Selena Lu, avocate au cabinet Lavery.
La vulnérabilité face au cyber incident ne se limite pas seulement aux entreprises qui n’ont pas investi suffisamment dans la sécurité informatique. Elle peut concerner aussi les grosses entreprises qui ont déboursé énormément de moyens. Car la technologie ne fait pas tout. L’être humain dans sa manière d’agir et d’utiliser cette technologie peut aussi constituer une vulnérabilité non négligeable.
« L’humain est souvent derrière un cyberincident, poursuit l’avocate. La technologie ne protège pas contre l’ingénierie sociale. On n’a qu’à penser au courriel qui annonce le changement de compte bancaire d’un fournisseur. La cybersécurité est une combinaison de facteurs technologiques, physiques et de gouvernance. », déclare Éric Lavallée.
La sécurité informatique s’adapte aussi au contexte et ou législation. Elle évolue selon la nature la gouvernance et bien évidemment la relation conventionnelle qui existe entre les différentes personnes impliquées
« En matière de droit commercial, il y a aussi tout le volet contractuel : comment adapter les contrats avec les fournisseurs et partenaires, les communications et tout le système décisionnel. Est-ce que le fournisseur va protéger adéquatement l’information que je partage avec lui ? » avance Éric Lavallée.
En se penchant du côté de la gouvernance, on se penche très certainement sur l’obligation qui pèse sur les chefs d’entreprise, les administrateurs ou les dirigeants tout court. Ces derniers ont un rôle important à jouer dans la cybersécurité. Étant souvent considérés comme des vecteurs d’attaques non négligeables.
« On doit faire preuve de prudence et de diligence et s’assurer de protéger les actifs de l’entreprise. Si ce n’est pas fait, l’entreprise peut faire face à des actions en justice et les administrateurs pourraient engager leur responsabilité personnelle », a voulu signifier Selena Lu.
Sur ce point, la législation en vigueur en France offre une pause à toute personne ayant l’autorité la plus élevée dans une entreprise ou peu importe d’organisation, de déployer tous types de ressources nécessaires pour assurer la sécurité des données sous la responsabilité de l’organisation. Au-delà de cette obligation, il y a aussi celle qui astreint les dirigeants à publier tout incident informatique pouvant porter atteinte aux données en question.
« C’est important de se doter de politiques qui ne sont pas uniquement axées sur des aspects très techniques, comme les méthodes de cryptage ou les processus de transfert de données, suggère M. Lavallée. Il faut aborder le risque sous l’angle de la vigilance tout en se rappelant qu’il faudra l’adapter et la mettre à jour en suivant les tendances en matière de cybersécurité. », déclare Eric Lavallée.
On peut prendre un titre d’exemple, la nécessité ou l’obligation pour votre entreprise de mettre en place une politique qui permet d’encadrer le comportement de son personnel. Que ce soit dans la manière d’utiliser le matériel informatique ou d’accéder tout simplement à des ressources plus ou moins sensibles, comme des données personnelles.
Accédez maintenant à un nombre illimité de mot de passe :