Une étude, conduite par Vanson Bourne pour NTT Com Security, révèle que sur 79 % des dirigeants interrogés déclarant avoir mis en place des politiques de sécurité et avoir communiqué dessus auprès des employés, seuls 39 % estiment que ces derniers en ont vraiment connaissance.
Pour Jean-François Pruvot, Regional Director Europe West and South, chez CyberArk, face à la menace persistante, et aux multiples attaques récemment rendues publiques, la sécurité doit sortir du périmètre de la DSI et des responsables informatiques. Du comptable à la responsable de la communication, en passant par le directeur des RH, tous doivent maîtriser les enjeux pour unir leurs forces contre les attaques. A commencer par la Direction.
« Les entreprises – indépendamment de leur taille et de leur domaine d’expertise – font face à des défis de sécurité de plus en plus importants. Car au-delà des conséquences financières, cela peut également coûter le poste du PDG ou du DSI. Lorsqu’une organisation est victime d’une attaque de grande ampleur ou bien que les dégâts sont importants, il faut trouver un responsable et être capable de comprendre comment cela a pu arriver. Et si finalement le problème ne venait pas uniquement de la gestion des outils en place ou de la simple erreur humaine, mais plutôt d’un manque de collaboration transversale au sein de l‘entreprise ?
Aujourd’hui, la sécurité appartient de facto aux équipes informatiques et souffre parfois d’un manque de compréhension et de visibilité au niveau de la Direction et de l’ensemble des services. Pourtant, sans le soutien de l’équipe dirigeante, il est difficile pour les responsables de la sécurité de définir des priorités organisationnelles et de créer un sens d'urgence auprès des collaborateurs. Pour que la politique de sécurité fonctionne, il faut donc la verrouiller au point d’accès "humain" de l’organisation, à savoir le comité de direction (CODIR) ou comité exécutif (COMEX), voie royale des hackers vers les données précieuses de l’entreprise, à l’image des comptes administrateurs pour les réseaux. Longtemps considéré comme l’instance qui challenge et prend les décisions, le CODIR doit à présent se réinventer pour faire face à la menace. Outre l’intégration du Directeur Informatique et du RSSI ou CISO pour gérer ces questions aux plus hauts niveaux d’une organisation, les autres membres du COMEX doivent également en comprendre les enjeux ; ce qui ouvre alors une expérience de partage d’expertises dont les échanges permettent d’agir rapidement et de décliner les bonnes pratiques.
En effet, certains membres du comité de direction pouvant être éloignés des réalités qu’implique la cybersécurité, des stages d’entrainement contre les cyberattaques et de démonstrations d’infractions organisés par des "Red Teams" ou hackers éthiques, permettraient de les sensibiliser davantage. Car au final, on ne comprend bien comment fonctionne une horloge qu’en en connaissant ou en ayant vu le mécanisme. Face aux attaques de plus en plus nombreuses et agressives, les dirigeants doivent s’armer pour y faire face et protéger tous les aspects de leur organisation, en devenant eux-mêmes des cyber-experts, gardiens des portes du royaume, et en faisant de chaque employé un agent de la sécurité des données à son propre niveau. En combinant les outils, les bonnes pratiques et l’évangélisation de la responsabilité sécuritaire interne, les entreprises seront ainsi mieux préparées face à la cybermenace.
Enfin, si d’après Lloyd et Cyence, une cyberattaque mondiale pourrait coûter jusqu'à 53 milliards de dollars, soit l’équivalent du coût de l'ouragan Sandy en 2012, la collaboration transversale à travers l’ensemble des services est alors indispensable pour renforcer la sécurité et préserver les emplois à risques en cas d’attaque. »