Cyber Storytelling : Communiquer les risques au conseil d’administration et au-delà

Les conseils d’administration évaluent les risques sous l’angle financier et opérationnel. Un langage axé sur les activités permet de clarifier les conséquences et favorise la prise de décisions éclairées. 

Qui sont les auteurs des attaques, quelles sont leurs cibles, quelle est la probabilité que des incidents se produisent, et quel est l’impact potentiel sur le compte de résultat, l’image de marque et les opérations ? 

En s’appuyant sur des exemples concrets de ransomware, en chiffrant les coûts liés aux temps d’arrêt et en identifiant les risques pour chaque unité opérationnelle. 

Les incidents cybernétiques ont des répercussions sur les chaînes d’approvisionnement, les clients, la conformité et le chiffre d’affaires, ce qui rend indispensable le partage des responsabilités. 

Mesures de contrôle actuelles, plans de Recovery, lacunes et Readiness: tout cela expliqué dans un langage simple et accessible afin de renforcer la confiance. 

Veuillez regarder la vidéoicipour obtenir une transcription avec indication des temps

Bonjour, bienvenue dans le podcast « Shift ».

Je m’appelle Melissa Hathaway et je suis accompagnée ici de mes amis, John Zangardi et Shawn Henry.

Nous sommes ici pour discuter de la manière dont les risques sont communiqués au conseil d’administration.

Nous aborderons également quelques cas très intéressants liés à la cybersécurité.

Merci beaucoup d’être là, j’ai hâte d’entamer cette conversation.

Que souhaitent entendre les conseils d’administration lors de leurs réunions ?

Qu’attendent-ils du RSSI et quelles informations souhaitent-ils obtenir concernant les risques numériques ?

Vous savez, chaque fois que j’envisage de m’adresser au conseil d’administration,

Je commence toujours par aborder les risques d’un point de vue global.

Je pense que le conseil d’administration entend souvent dire qu’il y a beaucoup de problèmes.

Ils en parlent avec des amis pendant le dîner.

Ils entendent d’autres conseils d’administration dont ils font partie dire que c’est un problème, mais ils n’ont pas
nécessitent pas forcément une compréhension approfondie et ne nécessitent pas une

.

Je pense qu’ils ont simplement besoin de comprendre qui sont les acteurs, ce qu’ils
qui l’exploite et, surtout, quel en est l’impact.

Et s’ils parviennent à cerner tout cela,

alors ils pourront commencer à comprendre comment l’entreprise se prépare au mieux, comment le RSSI
protège réellement l’entreprise afin de réduire les risques.

Les membres du conseil d’administration savent ce qu’est le risque, qu’ils évoluent dans le secteur des services financiers ou
même s’ils ont été exposés à ce risque toute leur vie : ce sont des professionnels.

Et si vous leur présentez les choses ainsi, c’est un excellent moyen de mettre tout le monde sur la même longueur d’onde et
de fournir un cadre permettant d’avoir des discussions bien plus approfondies sur la manière dont l’

entreprise s’améliore pour garantir sa sécurité.

Je siège donc à plusieurs conseils d’administration et je pense que tout ce dont Shawn vient de parler est
Tout à fait logique.

Du point de vue de la personne qui reçoit ces informations, ce que j’apprécie particulièrement, c’est que, dans le cadre du comité d’audit et des risques
, que le RSSI intervienne lors de cette réunion et présente les éléments dont

Shawn en parle, à l’intention du conseil d’administration, dans le cadre de cette réunion du comité
d’audit et des risques.

Il est vraiment important qu’il aborde la question des risques.

Il aborde les questions suivantes : quelle est la probabilité que cela se produise ?

qu’un événement grave se produise et quelles en seraient les conséquences, n’est-ce pas ?

En termes commerciaux simples, cela a-t-il un impact sur notre marque, sur notre réputation ? Mais cela doit également
expliquer à l’ensemble du conseil d’administration comment il pourrait gérer ces situations.

Il s’agit donc de sensibiliser le conseil d’administration aux risques auxquels
il est présenté dans un langage qu’ils comprennent, car on ne peut pas s’attendre à ce que chaque membre du conseil soit un expert en informatique.

N’est-ce pas ?

Il y a donc des angles morts et je pense que c’est au RSSI de commencer à mettre en place
mettre en lumière ces angles morts.

Je siège à plusieurs conseils d’administration et j’interviens régulièrement devant de nombreux conseils.

Je continue de penser que ce n’est pas un problème informatique.

C’est une question de risque d’entreprise.

Et nous devons garder à l’esprit que toutes les entreprises sont désormais des entreprises numériques.

Et comment ça va ? Comment se porte l’entreprise aujourd’hui ?

Et en réfléchissant à ces termes clés du monde des affaires :

Comment communiquer concrètement sur ce qui est menacé en termes de résultat net ?

Et je pense que bon nombre de nos professionnels dans ce domaine considèrent cela comme un
Il s’agit d’un simple problème technologique qui ne traduit pas réellement, en termes commerciaux, ce que cela signifie pour ce système essentiel à l’entreprise.

Si le système tombe en panne alors qu’il se trouve précisément dans ce PNL, cela va nous coûter tant
« d’argent par jour », et d’en arriver à ces conditions commerciales.

Avez-vous constaté des progrès encourageants à ce sujet, Shawn ?

Je pense que c’est devenu beaucoup plus facile ces dernières années.

Les ransomwares ont rendu cela

accessible à tous.

Lorsqu’un rançongiciel frappe une entreprise en particulier, on constate que celle-ci est à l’arrêt pendant
deux jours, deux semaines ou deux mois, et quel en est le coût, ce qui est souvent

rendus publics.

Nous avons vu des exemples récents avec Jaguar au Royaume-Uni, aux États-Unis, et de très
de nombreuses autres entreprises qui ont été touchées de cette manière.

Je pense que le rôle du RSSI est de soutenir l’activité de l’entreprise.

On y parvient avant tout en la sécurisant,

mais il faut également veiller à ne pas restreindre ni entraver ses activités.

Je pense que lorsque le risque dont nous parlons ici est communiqué de manière efficace, le conseil d’administration et les autres dirigeants,
qui font partie intégrante des opérations, en ont une bien meilleure

une meilleure compréhension et une prise de conscience accrue, et qu’ils sont prêts à procéder à des ajustements s’ils constatent
en ayant conscience des répercussions à long terme.

Sa quantification devient donc plus aisée, car les données sont aujourd’hui beaucoup plus répandues.

Alors Shawn, permettez-moi d’ajouter quelque chose à ce sujet.

La confiance, c’est quelque chose de difficile à gagner, mais facile à perdre, n’est-ce pas ?

Et dès qu’un incident se produit, lorsque ce « ciseau » apparaît et commence à parler
du problème et du Risk, c’est déjà trop tard.

Il n’y a pas de confiance.

La confiance se construit au fil des interactions, n’est-ce pas ?

Lorsqu’il intervient, les membres du conseil d’administration le connaissent bien, ils connaissent son approche, ils
ont l’habitude de traiter avec cette personne, ils ont observé le comportement qui en découle.

Ainsi, lorsque ce problème survient – ce qui arrivera à tout le monde, car l’informatique
est omniprésente, on la retrouve aujourd’hui dans toutes les entreprises –, il faut s’assurer que…

Il existe un lien de confiance entre la personne qui informe le conseil d’administration des risques et le
le conseil lui-même.

Et dans tout cela, c’est le PDG qui est responsable en dernier ressort.

Donc, même si je dis que c’est au RSSI de s’en occuper, c’est le PDG qui en est
responsable en dernier ressort.

Mais cela ne concerne pas uniquement le PDG, le RSSI, le DSI ou le directeur des données.

Il s’agit d’une responsabilité qui concerne l’ensemble de l’entreprise.

Alors, comment parvenir à cette aisance qui permet de comprendre que tout cela concerne l’entreprise et que vous
que vous fassiez appel au responsable de la protection de la vie privée, que vous fassiez appel au service informatique, que vous

faites intervenir l’équipe chargée de la transformation numérique ?

Le PDG peut alors traduire ces enjeux au conseil d’administration, et cela devient véritablement une question de responsabilité collective
plutôt que la responsabilité individuelle.

Je pense donc que

Lorsqu’on parle de responsabilité, il faut qu’il y ait une personne qui en assume la responsabilité.

Dans ce cas précis, c’est peut-être le RSSI qui en est responsable.

Mais cette responsabilité doit être incarnée.

Et tous les membres de l’organisation doivent reconnaître et comprendre qu’il s’agit d’un travail d’équipe
et que chacun y contribue à sa manière.

Tout le monde est responsable, et toute infraction grave ou tout incident majeur aura
des répercussions sur l’ensemble des membres de cette organisation.

Il s’agit donc bel et bien d’une responsabilité et d’une obligation partagées.

Mais pour le RSSI, je pense qu’il faut une personne qui en soit responsable,

qui contribue à définir l’orientation stratégique, et qui est chargée de veiller à ce que des mesures
soient adoptées et que cette stratégie soit mise en œuvre avec succès.

Mais il ne fait aucun doute qu’il s’agit d’une réponse à l’échelle de l’entreprise, qui ne concerne pas seulement les dirigeants, mais chaque
membre de l’organisation, car ils sont tous des utilisateurs.

Ils tapent tous sur leur clavier, ils traitent tous des données, ils sont tous responsables, d’une manière ou d’une autre, de
l’alimentation des bases de données.

Chacun doit prendre conscience et comprendre que :

que, dans mon organisation, la sécurité passe avant tout.

Nous nous mobilisons et tout le monde s’accorde à dire qu’une faille de sécurité aurait des conséquences catastrophiques
sur l’ensemble du groupe.

C’est donc bien dit.

Il faut qu’il n’y ait qu’un seul responsable.

La personne responsable à qui vous vous adressez, celle qui coordonne l’exercice.

Mais de nombreux conseils d’administration tiendront une séance à huis clos à laquelle les membres de l’entreprise et le PDG ne seront pas
absents.

Et c’est là que la discussion aura lieu.

Et c’est parfois dans le

les conseils d’administration manquent d’expertise, notamment dans le domaine de la cybersécurité et des technologies de l’information.

Et je pense qu’il est important que les conseils d’administration disposent également de cette expertise en leur sein.

Et je le dis sur le ton de l’ironie, ne le prenez pas mal, mais suivre une formation de la NACD sur la cybersécurité
Cela ne fait pas d’un membre du conseil d’administration un expert dans ce domaine particulier.

Je pense qu’il est vraiment utile pour un conseil d’administration de compter parmi ses membres une personne qui, lorsqu’un incident se produit,

et qu’il se trouve en séance à huis clos, il y ait au sein du conseil une personne issue de
– là où il pourrait y avoir une légère perte de confiance – capable de faire le lien et de présenter les faits au

au conseil de manière plus compréhensible ou qui puisse les aider à formuler les questions qu’ils
représentent.

Oui, donc si je devais résumer tout ça, il faut désigner un membre du conseil d’administration pour vous
aider, et peut-être, en collaboration avec le PDG, jouer le rôle d’intermédiaire au sein du conseil d’administration et rappeler

le fait qu’ils ont tous une responsabilité fiduciaire en matière de protection de l’entreprise.

Et c’est là le mot clé : « responsabilité fiduciaire ».

Alors, vous voyez, pourquoi ne pas faire appel à un ancien RSSI ou à un ancien DSI, ou à quelqu’un de ce genre ?
, au sein de votre conseil d’administration, pour vous aider à réfléchir à ces questions lors des séances à huis clos ?

Tout à fait d’accord.

D’accord.

Donc, quand on commence à réfléchir à tout ça, j’essaie toujours, quand je veux cerner la
situation, de me concentrer sur ce qui se passe réellement.

Vous savez, on a

on a été victime d’une demande de rançon.

Du coup, on est complètement hors ligne et ça nous coûte très cher, à l’heure comme à la journée
tant qu’on est hors ligne.

Et comme tu l’as dit, Shawn, il existe de nombreux exemples d’entreprises qui
sont hors ligne depuis près de trois mois et ne peuvent plus exercer leur activité : elles ne paient pas leurs

fournisseurs, elles ne paient pas, elles ne vendent pas leurs produits, etc.

Et ensuite, la question est : « Et maintenant ? Que devons-nous faire pour remédier à cette
« Quelle est la situation ? Comment en sommes-nous arrivés là ? »

Pourriez-vous donc commencer par nous parler de certains indicateurs ?

que vous jugez utiles pour transmettre ces informations.

Pour moi, il s’agit en quelque sorte des systèmes hérités, du matériel et des logiciels qui
ne sont plus pris en charge et qui sont 100 % vulnérables 100 % du temps.

Mais quels sont les indicateurs que vous trouvez utiles, Shawn ?

Je pense que, euh, lorsque vous fournissez
En ce qui concerne les indicateurs, l’objectif du RSSI est simplement, à mon avis, de montrer au conseil d’administration que des progrès sont réalisés en matière de

sécurité globale de l’organisation.

Donc, si le mois dernier

Il y a quelques mois, nous avions X vulnérabilités qui n’avaient pas été corrigées,

Nous avons réduit cet écart ce mois-ci et nous expliquons pourquoi cela se produit.

Et si ce n’est pas le cas, il faut alors se poser des questions.

Les indicateurs doivent donc être mesurables et utiles pour démontrer
que le programme avance.

Je pense à des éléments tels que la capacité de l’entreprise à détecter les attaques.

Exactement.

Il faut avoir une bonne vue d’ensemble de la situation.

Voici donc ce que nous sommes en mesure de détecter.

La rapidité de réaction.

Quel est le délai nécessaire pour réagir, résoudre le problème ou en atténuer les effets après sa détection ?

Parvenons-nous à réduire ce délai ?

L’IA et toute une série d’autres vecteurs d’attaque nous ont appris que l’incapacité à identifier, détecter et réduire rapidement
Ce délai entraîne une faille de sécurité.

Cela arrive souvent.

Nous avons constaté que des pirates parvenaient à rester présents sur des réseaux pendant des mois, voire des années, sans être détectés.

Voici quelques-uns de ces indicateurs.

Cette question de vulnérabilité est cruciale.

J’apprécie vraiment ce que vous avez dit : un système hérité, qui n’est plus pris en charge,
sans correctifs, 100 % vulnérable, 100 % du temps.

Est-ce que cela nous convient ?

Car si c’est le cas,

Toute violation de cette disposition constituera une négligence grave.

Vous saviez que cette faille existait et vous avez choisi de ne rien faire, puis elle a été exploitée
et a entraîné ces conséquences.

Ce n’est pas acceptable.

Je souhaite donc que le conseil d’administration soit rassuré quant aux progrès accomplis.

Pour faire suite à ce qu’a dit John, si vous avez des personnes qui sont de purs hommes d’affaires, sans aucune
En matière de sécurité, ils s’appuient vraiment sur la confiance qu’ils accordent au RSSI.

En soi, je ne pense pas que ce soit approprié.

Il faudrait pouvoir compter sur une personne disposant d’une certaine expertise, capable de faire valoir son point de vue de manière constructive et
professionnelle.

Mais il faut… il faut montrer que nous faisons des progrès et que nous sommes mieux protégés.

J’aimerais donc ajouter que tout ce que « nous » faisons est formidable.

J’aimerais ajouter quelque chose à ce sujet.

Et je pense que cela a, d’une certaine manière, un rapport avec la formation.

Et vous m’avez entendu parler de l’aviation bien trop souvent.

Mais dans l’aviation, lorsqu’on part en mission et qu’on rencontre des difficultés de vol ou un incident, on procède immédiatement à une analyse (« hot wash »).

On

revient en arrière et on examine la cause profonde de ce qui s’est passé.

Cela peut être dû à un problème technique ou à d’autres raisons.

Mais je pense qu’il est important, lorsqu’un incident de ce genre se produit, que le conseil d’administration soit mis au
au courant et qu’on lui explique ce qui s’est passé.

Voici pourquoi cela s’est produit.

Voici comment nous nous en sommes sortis.

Voici les conséquences que nous avons subies : perte de chiffre d’affaires, atteinte à
la réputation, ou quoi que ce soit d’autre.

Et la raison, c’est que,

Comme nous le savons tous, c’est en commettant des erreurs que l’on apprend davantage qu’en réussissant.

Je ne minimise donc pas la situation, mais je pense que c’est un élément important à prendre en compte dans
la formation et la sensibilisation de votre conseil d’administration.

J’aime donc toujours m’appuyer sur des exemples et des études de cas concrets, et l’histoire qui m’a le plus marqué ces
Ces dernières semaines, c’est le vol au Louvre.

Nous avons donc perdu, vous savez, 10 millions de dollars en bijoux, voire peut-être davantage, n’est-ce pas ?

Et donc, le Louvre

utilisait du matériel et des logiciels non pris en charge dans l’ensemble du musée, et il en était conscient.

Et les mots de passe étaient « Louvre », puis « Thales », qui était l’entreprise censée
assurer la sécurité du site.

Donc 100 % vulnérable, 100 % du temps, avec un mot de passe facile à deviner… et hop, les bijoux ont disparu
.

Avez-vous des anecdotes marquantes de ce genre que vous pourriez
citer en exemple ?

Vous pouvez

les rendre anonymes en disant par exemple : « C’était une mauvaise journée, c’était grave et gênant. »

Le mot de passe, c’était « Louvre » ?

C’était… Je suis en train d’écrire ça cette semaine.

Je ne savais pas ça.

Ça figurera dans ma newsletter cette semaine.

Je ne crois pas avoir quelque chose d’aussi gênant.

Je suis désolé.

Mais, tu sais, je vais revenir à ce dont je parlais tout à l’heure.

Tu sais, qu’est-ce qu’on retient de ces expériences ?

Et j’ai eu le privilège d’observer de nombreux incidents informatiques au cours de ma carrière au sein de
du gouvernement.

Et, vous savez,

Lorsque vous travaillez au ministère de la Défense et qu’un incident se produit alors que vous leur vendez des produits, le Cyber Command va
s’immiscera fortement dans votre vie.

La manière dont vous devez gérer la situation – car il est important de la gérer – repose sur
la transparence : « Voici les erreurs que j’ai commises. »

Je détesterais devoir dire au Cyber Command : « Bon, notre mot de passe était “Louvre”, mais il faut… »
« pouvoir tout de même y accéder. »

Les conséquences sont très graves lorsque vous vendez à l’État, car

Le Cyber Command émettra un ordre de mission.

Il s’agit en gros d’un remplacement complet, et tous les composants, tous les services, vont commencer
à être supprimés.

Il est donc très important de jouer cartes sur table lorsqu’on traite avec ce genre d’interlocuteurs.

Et je pense que cela vaut également pour les clients.

Si l’on revient sur l’affaire SolarWinds, dont tout le monde sait qu’elle fait désormais partie de notre
le vocabulaire courant, et que l’on examine la manière dont cette situation a été gérée et comment les choses se sont déroulées,

il y a beaucoup de

choses qui ont mal tourné – je ne m’étendrai pas là-dessus –, mais si vous examinez
le chiffre d’affaires de l’entreprise depuis le jour où cela s’est produit jusqu’à aujourd’hui ; elle est toujours en activité, c’est

une entreprise qui fonctionne bien, dont le chiffre d’affaires a augmenté parce qu’elle a pris les mesures nécessaires – aussi difficiles soient-elles
quelles qu’elles soient et malgré les nombreux faux pas commis – pour s’améliorer, et le produit se vend même si « SolarWinds »

soit généralement considérée comme un terme peu flatteur.

Abordons brièvement la question de la sécurité des produits, car de nombreuses entreprises

ne se considèrent pas nécessairement comme des entreprises de sécurité.

Il se peut donc qu’elles n’aient pas investi dans la sécurité de ce produit.

On observe donc souvent ce scénario : on s’attaque à un produit, on compromet son
l’intégrité, puis on touche de nombreux autres clients qui comptaient vraiment

comptaient sur elles pour prendre les mesures qui s’imposaient : investir dans la sécurité, veiller à ce que le produit mis sur le marché soit de
qualité, veiller à ce qu’il bénéficie de mises à jour, etc.

Alors, comment raconter l’histoire de…

Lorsqu’un produit a perdu son intégrité et que l’on sait ce que l’on attend de l’entreprise, comment présenter cela au conseil d’administration dans ce cas-là ?
que je n’ai pas le pouvoir de décision en matière de budget ?

Je pense donc que vous avez évoqué SolarWinds, et NotPetya en est un autre exemple.

D’autres cas, plus récents, ont été signalés où le produit a été altéré.

Je pense que c’est l’un des risques et que le RSSI doit clairement exposer ces risques au conseil d’administration.

Je pense que cela soulève également

un aspect intéressant concernant la continuité des opérations.

Et la question ne se limite pas à savoir où se situent nos points faibles.

Car nous sommes tous vulnérables d’une certaine manière.

Où sommes-nous vulnérables ?

Qui nous prend pour cible ?

Pourquoi nous prend-il pour cible ?

Quelles en sont les conséquences ?

Si l’une de ces situations se produit, ou si elles se produisent toutes, comment s’en remettre ?

À quoi ressemble notre résilience ?

Et quel est notre plan pour nous assurer que nous serons en mesure de reconstruire l’entreprise et de regagner la confiance ?

À quoi cela ressemble-t-il ?

Et cela doit constituer un élément essentiel des communications du RSSI au conseil d’administration.

Toute entreprise peut être confrontée à un incident.

Il peut s’agir de quelque chose d’aussi simple que la perte d’un ordinateur portable.

Il pourrait s’agir d’un cas similaire à celui de Jaguar, où l’ensemble de l’entreprise est à l’arrêt pendant
depuis des mois et perd des centaines de millions, voire des milliards de dollars.

Comment l’entreprise réagit-elle ?

Qui en est responsable ?

Comment communiquez-vous à ce sujet ?

D’un point de vue technique, comment utilisez-vous

des organisations externes et des partenaires pour vous aider à y parvenir ?

C’est un autre élément important pour rassurer le conseil d’administration sur le fait que notre entreprise
a mis en place le meilleur plan possible.

La première chose à faire est de s’assurer que tout est sécurisé.

En cas de problème, nous devons nous assurer d’avoir un plan pour y remédier.

C’est en quelque sorte une sécurité à 360°, car il n’y a pas de résilience sans sécurité, ni
une sécurité sans résilience.

Bien dit.

Et je pense que la résilience est un

un point sur lequel nous devrions nous attarder un peu plus en détail.

J’ai écrit de nombreux articles sur la monoculture logicielle et la dépendance vis-à-vis d’un seul
fournisseur de logiciels.

Je ne citerai pas de noms.

Si vous êtes avisé, vous veillerez à mettre en place une certaine redondance pour
assurer votre résilience.

Ces questions sont donc assez complexes à mettre en place.

Je ne m’attends pas à ce que de nombreux conseils d’administration soient capables de maîtriser ces questions, mais je pense qu’il est
Il est important qu’un RSSI fasse preuve d’une transparence suffisante,

et pour que le DSI fasse preuve d’une transparence suffisante afin d’expliquer les précautions qu’il a prises, comment il a conçu
l’infrastructure nécessaire pour s’assurer d’avoir anticipé les différentes situations d’urgence qui

pourraient se produire.

Et qu’ils ne dépendent pas trop d’un seul fournisseur pour leurs logiciels.

Oui, la continuité des activités, la reprise après sinistre… j’aime les appeler « catastrophes numériques ».

Et le défi réside dans le fait que, même si j’ai pu être responsable de la sécurité, c’est quelqu’un
un autre qui est chargé de la remise en état et de la remise en service de l’ensemble du système.

Cela soulève donc la question suivante : comment me préparer ou comment élaborer ces scénarios et m’organiser
des simulations impliquant le conseil d’administration ?

Je sais, Shawn, que tu as organisé plusieurs exercices.

Oui, je pense que nous avons mené des exercices avec les responsables opérationnels, le RSSI et son équipe,
mais aussi, de manière plus générale, avec l’ensemble de l’équipe de direction, voire uniquement avec le conseil d’administration.

Je pense que, dans ce domaine, le plus important est de les sensibiliser et de leur faire comprendre la situation.

Et puis, d’un point de vue pratique, il faut essayer de déterminer qui est responsable de quoi.

Je peux te dire que j’ai participé à ces exercices.

J’en ai même dirigé certains.

L’un de ceux qui m’ont le plus marqué et qui a eu le plus d’impact sur moi – et cela remonte à assez longtemps,
probablement huit ou dix ans –, c’est lorsque j’ai eu un entretien avec une grande institution financière et que le

Le directeur des opérations de cette organisation était présent, ainsi que

Une vingtaine ou une trentaine de personnes étaient présentes dans la salle : le RSSI ainsi que de nombreux techniciens, le DSI et le directeur technique.

Lorsque nous avons présenté le scénario d’attaque fictif et les événements qui avaient en réalité affecté la
sur la plateforme de négociation de cette institution financière, je me souviens que le directeur des opérations a regardé au bout de

question adressée au RSSI : « Est-ce que cela pourrait vraiment arriver ? »

Tout en projetant la présentation PowerPoint, il a demandé : « Est-ce que cela pourrait vraiment arriver ? »

Et le RSSI a donné son accord.

Il était sous le choc.

Nous avons ensuite examiné

Bon, alors, à quoi ressemble la réponse ?

Eh bien, oh, c’est Mary qui s’en occupe.

En fait, Mary est en vacances cette semaine.

Qui la remplace ?

C’est Dave.

Dave ne travaille plus dans l’entreprise.

J’ai trouvé ça incroyable, mais c’est le genre de choses qui ressortent quand on fait ce
ce genre d’exercices, et cela vaut tout particulièrement pour un conseil d’administration qui peut ainsi

voir toutes les répercussions en cascade et constater à quel point de nombreux éléments sont en jeu.

Et cela les aide vraiment à comprendre et à apporter leur soutien

et de fournir des ressources, ainsi qu’à prendre conscience de l’importance de tout cela, je pense, et c’est ce que cela apporte.

Nous en avons parlé tout à l’heure : c’est un véritable sport d’équipe.

Eh bien, le conseil d’administration fait partie de l’équipe, car au fond, il partage le même
objectif que partagent tous les membres de l’entreprise : il souhaite que l’entreprise parvienne à satisfaire ses

clients.

Je pense donc que ces exercices sont importants et qu’ils apportent une grande valeur ajoutée à l’ensemble du processus
dont nous parlons.

Je suis donc d’accord, et nous avons tous entendu parler de la « courbe d’apprentissage ».

La première fois qu’un événement se produit ne devrait pas être la véritable

, n’est-ce pas ?

Au vu de tout ce que vous dites, où est Dave ?

Il a démissionné.

Où est Mary ?

C’est son jour de congé.

Au fur et à mesure que vous menez un exercice de simulation et que vous passez ces éléments en revue, les participants se familiarisent avec les différents
les rouages et la manière dont ils sont censés y faire face.

Et les imprévus suscitent des questions intéressantes.

C’est pour cela qu’on s’entraîne : pour en tirer des enseignements et gagner en maîtrise.

Mieux vaut être un peu compétent avant

qu’un incident se produise.

Je recommande donc vivement de ne pas se limiter à un seul exercice, mais d’organiser des exercices réguliers qui, en quelque sorte, permettent
à tout le monde d’atteindre le même niveau.

Il est vraiment important de développer cette mémoire musculaire, etc.

Je pense que c’est essentiel, mais il faut aussi commencer à comprendre que, lorsqu’on traverse une mauvaise
Au quotidien, ce ne sont pas seulement les personnes chargées de remettre les systèmes en état qui doivent

assurer la sécurité des systèmes.

Il faut mettre en place une stratégie de communication globale.

Et il faut réfléchir à qui sera le porte-parole, comment fonctionne mon équipe
de presse ou de communication, où se trouvent mes conseillers juridiques – internes et externes –, et comment aborder

aborder cette gestion de crise, si l’on peut dire, Shawn.

Oui, tout à fait, et un exercice de simulation est un excellent moyen d’y parvenir.

Identifiez les personnes concernées bien à l’avance.

Vous ne voulez pas vous retrouver à parcourir des listes de numéros pour essayer de joindre les bonnes personnes alors que vous
vous vous démenez pour réagir.

Il faut s’y préparer bien à l’avance.

C’est également dans ce domaine que l’on aborde les questions de gouvernance, de conformité et
de réglementation, n’est-ce pas ?

Dans le cadre du processus de communication, vous devez avant tout dialoguer avec
vos clients, bien sûr.

Vous devez contacter tous vos partenaires.

Vous devez vous adresser à vos employés.

Et dans de nombreux cas, vous devrez vous adresser aux autorités de régulation, ce qui impliquera
de faire intervenir votre directeur juridique, car il existe des

problèmes potentiels en matière de responsabilité.

Tout cela peut être anticipé.

Ce ne sera pas parfait à 100 %.

Ce ne sera pas parfait.

Mais cela vous permettra de vous familiariser suffisamment avec le sujet et d’acquérir une certaine confiance.

Cela permettra de nouer des relations avec ces intervenants externes afin que, lorsqu’un
si un incident venait à se produire – et cela arrivera, quelle que soit son ampleur –, vous soyez en mesure de

réagir.

Je peux vous dire que ce sont ceux qui sont le mieux préparés qui parviennent à surmonter ces situations avec succès.

Et ceux qui sont mal préparés échoueront lamentablement.

En effet, cela se remarque si vous ne vous êtes pas entraîné et que vous êtes ce PDG qui, comme je m’y
Dans de nombreux cas, l’entreprise devra s’adresser à ses principaux clients pour leur expliquer la situation.

Cela doit être fait de manière réfléchie et avec tout le professionnalisme qui s’impose.

Ainsi, se contenter de répondre sans s’être préparé vous met dans une situation délicate.

Et je pense que cela ressort très clairement de la manière dont la situation est présentée.

Cela portera également atteinte à la réputation et à l’image de marque de l’entreprise.

Donc, donner l’impression d’être prêt,

avec une certaine aisance et en montrant que vous maîtrisez la situation, c’est, à mon avis, ce que vous devez
transmettre ici.

Et on n’y parvient pas sans tout ce dont Shawn vient de parler.

Oui, j’ai animé un atelier pour un établissement de santé ; cela n’a duré que deux heures et c’était
divisé en tranches de 30 minutes.

À la fin,

Le PDG m’a dit : « Mon taux d’adrénaline était en hausse, mon rythme cardiaque était à 140, et heureusement que ce n’était qu’un
« exercice. »

Tout simplement parce que, si vous l’organisez correctement, vous ressentez le même niveau de stress que si c’était
Vraiment une journée comme les autres, et une mauvaise journée.

Eh bien, nous avons tous les trois travaillé au sein du gouvernement, et nous avons tous les trois dû aller voir notre
supérieur, qui était sans doute un haut responsable politique, afin de lui annoncer de mauvaises nouvelles.

Ce n’est pas facile.

Ce n’est tout simplement pas facile.

Mais il faut arracher le pansement d’un coup sec.

Il faut y arriver.

Oui, donc au gouvernement, on dit qu’il faut « aller droit au but ».

Commencez par l’essentiel : commencez tous vos messages adressés au conseil d’administration par l’essentiel.

Je suis ici pour vous parler de A, B et C.

Et aujourd’hui, je vais vous expliquer à quel point notre organisation est en mauvaise posture, car nous avons trop
des systèmes existants qui gèrent notre cœur de métier.

Et voici ce que nous devons faire pour y remédier.

Et c’est là que j’ai besoin de votre soutien.

Et ne partez jamais, surtout lorsque vous faites un exposé devant le Congrès, ne partez jamais sans avoir formulé votre demande.

Vous devez d’abord aller droit au but, puis leur dire ce que vous attendez d’eux.

J’ai besoin de votre soutien.

J’ai besoin d’argent.

Nous avons besoin de plus de personnel.

Vous avez tout à fait raison.

Mais c’est là que la confiance entre en jeu.

Si le conseil d’administration fait confiance à la responsable de la sécurité (CSO) parce qu’elle s’est toujours montrée franche avec eux par le passé et qu’ils ont
nous avons déjà vécu un incident ensemble…

Elle sait, disons, mener la discussion d’une main de maître ; on aura alors ce sentiment de
réactivité et ils seront bien plus enclins à répondre à la demande

sans poser trop de questions – non pas qu’ils ne doivent pas en poser, mais lorsqu’il y a un
À partir d’un certain niveau de confiance, le programme est conçu de manière à ce que l’échange d’informations s’effectue

se fasse beaucoup, beaucoup plus facilement.

Nos régulateurs nous ont donc essentiellement dit que nous devions mettre en place des stratégies, des politiques,
d’un système de responsabilité et d’un financement suffisant pour assurer la cybersécurité et la résilience numérique de notre entreprise.

Et le conseil d’administration est censé se réunir régulièrement et démontrer qu’il s’acquitte effectivement de ses fonctions
de sa responsabilité fiduciaire.

17 % des organisations déclarent ne pas être prêtes à faire face à une situation critique.

Et de nombreux conseils d’administration ne se réunissent encore qu’une fois par an, ou ont délégué cette tâche à un
comité sans y associer l’ensemble du conseil.

Quel est votre avis à ce sujet ?

Je suis d’accord pour dire qu’il s’agit là de l’un des risques les plus importants, voire du risque le plus
important pour toute organisation, car l’ensemble de son activité repose sur

environnement numérique.

C’est donc, dans le cadre de la gestion des risques d’entreprise (ERM), un aspect auquel

y accorder une grande attention.

Chaque conseil d’administration est un peu différent, chaque entreprise est un peu différente ; le niveau de
Le niveau de connaissances et d’expertise varie.

Il n’y a donc pas vraiment de solution universelle, mais j’aurais tendance à pencher pour « mieux »
« mieux vaut trop que pas assez », compte tenu de l’importance de cette question.

Je n’ai rien contre le fait qu’un comité spécifique, le comité d’audit par exemple
, c’est-à-dire l’entité responsable et le président de ce comité

fonctionne selon une structure quasi matricielle vis-à-vis du RSSI, ce dernier pouvant le contacter directement et
s’entretenir avec le président du comité d’audit en cas de problème.

Mais je pense sincèrement que l’ensemble du conseil d’administration doit avoir une bonne compréhension
de la situation, ce qui nécessite des échanges plus fréquents.

Je suis donc d’accord avec vous : je ne fais pas partie du comité d’audit, mais je pense que c’est un choix logique
.

Et cela dépend vraiment de la manière dont l’entreprise souhaite aborder la question.

Il n’y a donc pas de solution toute faite, mais…

Je suppose qu’il y a tout de même une règle, dans la mesure où cela doit être lié d’une manière ou d’une autre au conseil d’administration.

Mais nous devons vraiment comprendre que le monde ne devient pas moins risqué en matière de cybersécurité.

En réalité, les risques ne font que s’accroître.

Et nous pourrions énumérer toutes les raisons qui expliquent ce phénomène, mais elles devraient être évidentes puisqu’elles font l’actualité
presque tous les jours.

On ne peut donc pas faire l’autruche.

On ne peut pas faire l’autruche et se cacher la tête dans le sable.

Il faut vraiment se dire : « Bon, ça arrive. »

Je le vois de mes propres yeux.

Cela est sans doute déjà arrivé à l’un de vos amis dans le monde des affaires.

Comment suis-je préparé ?

Tout commence donc par poser des questions simples au conseil d’administration.

Que faisons-nous quand cela arrive ?

Et il faut lancer le processus.

C’est la première chose à faire pour commencer à se préparer.

J’ajouterais également autre chose.

En ce qui concerne cette question de confiance, je ne pense pas que le RSSI doive se contenter de répondre
aux questions du conseil d’administration.

Je pense que le RSSI doit faire preuve d’initiative.

Par exemple,

Nous avons évoqué l’IA comme un risque majeur.

C’est une nouvelle arme à l’arsenal de nos adversaires.

Ce serait formidable que le RSSI fasse preuve d’initiative et aille voir le conseil d’administration pour lui dire : « Bon, vous en avez
dont vous avez sans doute déjà entendu parler.

Laissez-moi vous expliquer ce que nous faisons ici.

Cela contribue à instaurer la confiance et à montrer que les RSSI sont à l’écoute.

Vous savez, je sais que nous construisons une nouvelle usine en Inde.

Voici quelques réflexions et préoccupations à ce sujet,

mon point de vue en tant que RSSI.

Voici le genre de questions sur lesquelles nous devrions nous pencher.

Je pense qu’en faisant preuve d’initiative, on fait preuve de vigilance, on démontre ses compétences et on
renforce la confiance.

Et je pense que cela permet vraiment au RSSI de contribuer au bon fonctionnement de l’entreprise.

Alors Shawn, je n’avais jamais pensé à ce que tu viens de dire et j’adore cette idée.

Et le directeur financier est lui aussi étroitement lié au président du comité d’audit.

Si un problème se profile, du genre

on risque d’avoir des difficultés à verser les salaires ou à régler un problème financier,
on fait appel à l’auditeur.

Une relation de confiance s’est nouée entre ces deux personnes.

Il n’y a aucune raison.

Il n’y a aucune bonne raison pour qu’un entrepreneur n’en fasse pas de même.

Faites preuve d’initiative dans vos communications.

Vous savez, je me pose aussi la question suivante : quelles questions le conseil d’administration devrait-il poser ?

Ce n’est pas ça, c’est juste d’une manière générale.

Connaissons-nous réellement tous nos systèmes critiques pour l’entreprise ?

Avons-nous une vision d’ensemble de toutes les identités humaines et non humaines ?

Et sommes-nous prêts pour la prochaine vague d’identités avec les agents ?

Comprenons-nous vraiment tous les comptes privilégiés et analysons-nous réellement le « dark » ?
sur Internet, à la recherche, par exemple, de nos identifiants et autres éléments de ce type ?

Si vous, si nous, ne pouvons pas répondre à ces questions devant le conseil d’administration, cela constitue pour moi un signal d’alarme indiquant
que nous ne disposons pas des capacités dont nous avons besoin.

Nous ne sommes pas vraiment préparés à cela, c’est-à-dire à être une entreprise résiliente.

Plus tôt dans la conversation, j’ai indiqué qu’il pourrait être utile pour un conseil d’administration de disposer
compter parmi ses membres une personne ayant une expérience en informatique et en cybersécurité.

Pour vous donner un exemple concret : je siège au conseil d’administration d’une entreprise qui était en train de changer de système RH
, et comme tout le monde le sait, ce genre de transition comporte toujours des risques.

Mais nous en avions été informés.

Mais c’est moi, au sein du conseil d’administration, qui ai permis de bien cerner le risque, car je posais des questions
en m’appuyant sur mon expérience de la migration de ces systèmes,

ce qui a vraiment aidé le conseil d’administration à cerner la situation.

Et d’ailleurs, cela s’est avéré très utile pour le PDG, car il n’était pas issu du milieu informatique.

Cela a donc vraiment mis en évidence le risque, et la discussion approfondie qui a suivi – « Je comprends »
« qu’il s’agit d’un risque et voici comment je le gère » – est une discussion importante que les conseils d’administration doivent

lorsqu’ils apportent des modifications à leur système ou même lorsqu’ils cherchent à comprendre leurs systèmes critiques.

Le RSSI doit donc comprendre à qui il s’adresse

aux personnes chargées de la supervision de l’entreprise.

Il doit leur expliquer quels sont les risques réels pour l’activité et les risques d’entreprise,
puis les présenter sous un angle commercial.

Et il doit vraiment discuter du projet et défendre ce dont il aura besoin pour
la part des membres de son conseil d’administration.

C’est tout à fait vrai.

J’ai eu l’occasion de travailler avec de nombreux conseils d’administration et de nombreux RSSI.

Et je sais que parfois, les RSSI hésitent à le faire parce que

leur supérieur hiérarchique est peut-être présent à la table des discussions et qu’ils ne souhaitent pas donner
toutes les informations qu’ils devraient communiquer, car le conseil d’administration a une responsabilité fiduciaire et

Il doit avoir une vision globale des risques encourus.

Mais ils hésitent à le faire, et je conseillerais aux RSSI de s’y prendre
de manière professionnelle et appropriée ; cela demande parfois du courage, et vous devrez peut-être

c’est peut-être un peu pour briser la glace, mais je pense qu’il faut le faire. Et si vous vous retrouvez dans une situation
où vous estimez ne pas pouvoir fournir les informations légitimes et autorisées que le conseil d’administration est

est tenu de connaître ou devrait connaître, si vous ne vous trouvez pas dans un environnement propice
Dans ce cas, vous devez chercher un autre emploi.

C’est difficile.

Pour vous raconter une anecdote personnelle, sans entrer dans les détails, en tant que DSI ministériel

J’ai sous mes ordres de nombreux DSI de directions fonctionnelles, et un problème s’est produit dans l’une d’entre elles : le
Le DSI de ce service avait peur de s’adresser à ses supérieurs.

Je l’ai fait à sa place.

Cela ne devrait pas se passer ainsi.

Il faut y arriver.

Et une fois que j’ai parlé à la direction, on pouvait lire la surprise sur leurs visages, mais
Ils ont également compris qu’il fallait agir.

Vous avez donc raison, c’est difficile de briser la glace, mais il faut s’y mettre.

Je l’ai fait avec respect.

Je l’ai fait, tout simplement.

Et nous nous sommes mis au travail pour résoudre le problème.

Je crois avoir déjà dit à de nombreux membres de conseils d’administration que, lorsque vous êtes assis autour de la table, vous devez
créer un environnement propice à une discussion ouverte.

Si, en tant qu’administrateur, vous êtes assis là à essayer de prendre quelqu’un en flagrant délit et
En créant un climat qui entrave le libre dialogue, vous posez problème.

Vous causez des problèmes à ce conseil d’administration.

L’ambiance doit être propice.

Elle doit être collaborative.

Et encore une fois, nous poursuivons tous le même objectif, n’est-ce pas ?

Nous voulons que l’entreprise réussisse.

Nous voulons réduire les risques au minimum, nous voulons satisfaire nos clients.

C’est ce que nous devons faire en tant qu’entreprise.

Le conseil d’administration a une mission de supervision.

Le RSSI a une responsabilité opérationnelle.

Mais ensemble, vous devez créer un environnement propice à cela.

Et si, en tant que membre du conseil d’administration, vous ne parvenez pas à instaurer cet environnement, vous devez aller voir
ailleurs.

Mais nous devons informer le public sur les risques et les atténuer.

Exactement.

Et ensemble, nous formons une équipe.

Et nous devons le faire de manière « délicieuse », car j’adore ce mot.

« Ravissant ».

Eh bien, ça a été un vrai plaisir de discuter avec vous deux, John et Shawn, merci.

Et voilà, c’est la fin de notre podcast SHIFT.

Je m’appelle Melissa Hathaway, et vous écoutiez « Communiquer sur les risques cybernétiques au sein du conseil d’administration ».