Home » Posts tagged 'cyber-résilience'

Tag Archives: cyber-résilience

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

Transformation numérique : les conseils d’administration sont-ils prêts?

Les conseils d’administration (CA) devraient être impliqués dans la direction et le leadership de la transformation numérique de leur organisation, en prenant en considération les scénarios de risque non négligeables associés à cette mutation.

Transformation numérique : les conseils d'administration sont-ils prêts
Crédit © image par rawpixel.com

Le rôle du Conseil d’Administration de toute organisation est de s’assurer pour le compte des parties prenantes de l’Entreprise, de la création de valeur sous forme de bénéfices, tout en optimisant les risques et les ressources. Selon COBIT, le référentiel de Gouvernance publié par l’ISACA, cela passe par trois phases. La première consiste à évaluer les besoins de chacune des parties prenantes. La seconde est de prendre une décision en terme de direction à suivre par le management. Enfin, la troisième étape consiste à surveiller la performance et le progrès réalisé par l’Organisation dans la direction donnée.


«Les conseils d’administration jouent un rôle essentiel dans le processus de transformation numérique en apportant expertise, jugement, scepticisme sain et souci de la valeur à long terme.» (Deloitte)


Malheureusement les conseils d’administration ne sont pas encore prêts à superviser les technologies de l’information.  Ils le sont donc d’autant moins en ce qui concerne la transformation numérique de leur Organisation. En effet, non seulement «plus de 80% des CA pourraient ne pas avoir les compétences et les connaissances nécessaires pour gérer efficacement la technologie des entreprises et réaliser des gains stratégiques et des rendements financiers au niveau de l’entreprise» mais, de plus, les cadres mondiaux de gouvernance d’entreprise (COSO par exemple) ne font encore aucune référence significative au leadership numérique du CA.

La transformation numérique a cependant des impacts extrêmement importants sur le fonctionnement des Organisations. Le degré de focalisation requis pour garantir que la transformation numérique se concrétise comme prévu est donc très  élevé. Quels sont les problèmes à surmonter dans la structure des conseils d’administration si les organisations qu’ils supervisent doivent être durables dans le cadre de la transformation digitale actuelle? Les comités stratégiques IT du CA constituent un moyen clé de mieux superviser et contrôler la transformation numérique.

La gouvernance du SI a encore trop de mal à trouver sa place

Selon une étude du Gartner, jusqu’à 85% des projets en technologies de l’information échouent. Les défaillances informatiques détruisent la valeur pour les actionnaires en gaspillant des ressources. Ces défaillances font échouer des opportunités business et détruisent ainsi la valeur que les services informatiques auraient pu créer. Il ne fait aucun doute que ce taux d’échec continuera, voire augmentera, pour les initiatives de transformation numérique.

Une évolution dans le bon sens depuis dix ans

Le besoin de conseils d’administration ayant des compétences en technologies de l’information s’impose de plus en plus au niveau mondial. Cela leur permet d’atténuer les risques d’échec technologiques. C’est tout particulièrement important lorsque le succès stratégique et la pérennité de l’entreprise dépendent de la réussite de son informatique. La figure suivante illustre l’évolution de la gouvernance du SI ces dernières années.

L'évolution de la gouvernance du SI depuis 10 ans
Crédit © 2018 ISACA

L’exception chez les « gaulois réfractaires »

Cette gouvernance formelle du SI se matérialise de plus en plus par un comité stratégique informatique. C’est une préconisation phare de COBIT, le cadre de Gouvernance du SI publié par l’ISACA en 2012. C’est également une tendance forte dans les très grandes organisations qui ont souvent des comités stratégiques. Du moins dans les pays anglo-saxons…

conseil d'administration : l'exception chez les gaulois réfractaires

Lors d’une récente conférence destinée aux administrateurs au Canada, le consensus a été que les comités stratégiques informatique sont encore largement méconnus dans ce pays. Ils sont également ignorés dans la quasi totalité des pays francophones Européens (France, Belgique, Luxembourg) et encore plus en Afrique. A l’inverse on trouve de plus en plus souvent un comité stratégique IT dans les entreprises des pays anglophones. Est-ce à dire que l’absence de gouvernance du SI est une caractéristique liée à la langue Française? Serait-ce le syndrome du « Gaulois réfractaire » évoqué par le Président Macron récemment? Je ne saurais répondre mais le constat est hélas factuel. C’est d’autant plus inquiétant pour l’avenir économique des ces pays à l’heure de la transformation numérique mondiale.

Les conseils d’administration de l’ère digitale doivent s’adapter

Lors d’un récent congrès d’administrateurs de sociétés, une question des organisateurs portait sur le comité stratégique informatique. De façon très décevante, la réponse quasi-unanime des participants était que ni l’ampleur de leurs dépenses informatiques ni la contribution de l’informatique au risque opérationnel n’avaient été jugées suffisamment importantes pour justifier la création d’un comité stratégique distinct. C’est là une preuve supplémentaire de la totale déconnexion des membres des conseils d’administration de la réalité du changement en cours au niveau mondial. Peut-être est-ce dû au fait que, à ce jour, les conseils d’administration peuvent apparaître comme ayant fait du bon travail de gouvernance dans des entreprises de premier plan sans aucune expertise en TI dans leurs rangs? En tout cas, il y a beaucoup de choses derrière cette réponse totalement inadéquate.

D’autant que ce sont ces mêmes membres du conseil d’administration qui parlent publiquement de la transformation numérique et de l’innovation numérique! Ils sont donc apparemment inconscients de l’impact organisationnel énorme et des risques que comporte une telle mutation, qui, par définition, inclut les TI. Ce risque augmente significativement lorsque les membres du CA ne reconnaissent pas leurs responsabilités dans la gouvernance du SI.

L’évolution nécessaire de la composition du CA

Aux Etats Unis, la plupart des membres des conseils d’administration sont indépendants. C’est là une conséquence directe de la loi Sarbanes-Oxley (SOX) depuis 2002. D’ailleurs, dans le S & P 500, Spencer Stuart constate que 85% des administrateurs sont indépendants depuis 2007. Une autre conclusion intéressante de cette étude porte sur l’âge moyen de ces administrateurs qui était de 63,1 ans en 2017. En France, selon l’AGEFI, l’âge moyen des administrateurs des sociétés du CAC40 est de 58,9 ans en 2017. Il apparaît en légère hausse par rapport à 2016. Seulement 68% des membres des CA du CAC40 sont indépendants selon le même rapport de l’AGEFI en 2017.

Un problème de compétence, mais pas seulement

Une question que le Forum Economique Mondial pose aux administrateurs est de savoir si leur conseil d’administration possède des compétences numériques, multigénérationnelles et une expertise suffisante pour donner des conseils sur des sujets commerciaux et technologiques en évolution rapide. En ce qui concerne la sensibilisation au digital, Mckinsey constate que peu de CA ont une expertise numérique suffisante. Difficile donc d’avoir des échanges significatifs sur ce sujet important avec la direction à l’ère de la transformation digitale. Par ailleurs, avec une moyenne d’âge de 63,1 ans (59,9 ans en France), il est difficile de qualifier le conseil d’administration moyen de multigénérationnel.

 L’âge moyen des membres du conseil d’administration en question

Cela complète les conclusions d’une enquête menée par le Harvard Law School Forum impliquant 860 administrateurs de sociétés publiques. De nombreux membres du conseil d’administration ne sont pas à l’aise avec la supervision informatique car, avec un âge moyen de 63,1 ans:

  • L’expérience professionnelle de la plupart des membres du conseil d’administration est antérieure à l’ère de la transformation digitale des organisations;
  • Très peu d’administrateurs ont simplement des connaissances de base en technologies de l’information.

Ce n’est donc pas que les conseils d’administration en général ne souhaitent pas une gouvernance informatique accrue. C’est plutôt que les administrateurs en place n’ont tout simplement pas les compétences ou l’expérience nécessaires pour comprendre pourquoi ou quand ils ont besoin de gouvernance informatique ou même d’un comité stratégique informatique. Les conseils d’administration peuvent-ils être négligents en n’ayant pas de compétences en informatique à bord et, par conséquent, ne pas être en mesure de poser des questions approfondies de supervision des TI au-delà des questions d’audit générales du comité d’audit? La réponse est «non», les conseils ont le devoir fiduciaire d’avoir un minimum de compétence en informatique.

Le vice-président du Comité d’Hygiène et de Sécurité du CA de Delta Air Lines a bien résumé la situation :


Les conseils d’administration doivent être préparés avec les compétences, la technologie et les processus appropriés. Hélas, la plupart des CA échouent sur la majorité ou la totalité de ces exigences.


Dans le cadre de la transformation digitale de l’économie, il est temps que les actionnaires repensent la façon dont ils votent pour les membres du CA lors de leurs assemblées générales annuelles (AGO).

Le périmètre de la transformation digitale mal compris

L’une des clés pour mieux comprendre l’approche des administrateurs est l’écoute de leurs remarques face aux technologies de l’information. Le mot spécifique qu’ils utilisent le plus souvent, c’est «dépenser» (coût). Or le coût est plus en adéquation avec l’informatique opérationnelle qu’avec la transformation numérique. Cela signifie que les membres des conseils d’administration  semblent voir l’informatique uniquement sous l’angle des coûts opérationnels. Ils n’ont pas une approche incluant aussi les  opportunités. C’est pourquoi ils trouvent acceptable de «gouverner» l’informatique par le biais du comité d’audit. S’appuyant sur les constatations citées à la figure 1, la gestion des TI au sein du comité d’audit n’est pas satisfaisante. C’est d’autant plus vrai lorsque la transformation numérique est un objectif stratégique de l’Entreprise.

Lors d’une discussion récente que j’avais avec un administrateur d’une grande société Française cotée au CAC40 et figurant parmi les leaders mondiaux de son domaine, il me disait « La transformation numérique? C’est juste de la technologie. Et la technologie suivra toujours ». Cela révèle pour le moins une incompréhension du périmètre de la transformation numérique par ceux-là même qui doivent la superviser. Ce n’est clairement pas de bon augure pour les organisations concernées.

Cette approche uniquement basée sur les coûts est aujourd’hui largement dépassée. Elle suggère qu’il n’y a peut-être pas de véritable transformation digitale dans ces organisations. Cela va à l’opposé des commentaires publics apparemment tournés vers l’avenir des membres du conseil d’administration.

Cybersécurité, compétitivité, intégration stratégique et transformation numérique

L’informatique a longtemps été beaucoup plus axée sur la durabilité organisationnelle et le positionnement stratégique que sur le coût de l’automatisation des processus. Bien sûr, le conseil d’administration continue de devoir s’intéresser à la gouvernance. Il est cependant peu probable que de nombreux administrateurs soient en mesure de discerner le rôle de l’informatique dans la réalisation des préoccupations de Deloitte concernant la création de valeur à long terme.

Recommandations aux actionnaires et aux membres du CA

La gouvernance du système d’information, pilotée par KING III, ISO / IEC 38500 et COBIT, a été formalisée depuis 2008 au moyen de la norme ISO / IEC 38500. Si l’informatique est simplement opérationnelle dans une organisation, la gouvernance informatique ne doit pas dépasser la charte des coûts du comité d’audit et risque. Mais si l’activité de l’Entreprise dépend de façon stratégique de son informatique, y compris dans un contexte de transformation digitale, alors, conformément à la norme ISO / IEC 38500, le conseil d’administration a trois responsabilités principales:

  • Evaluer continuellement les performances informatiques dans le cadre de la stratégie organisationnelle;
  • Réorienter continuellement l’informatique si ses performances compromettent la stratégie de l’organisation;
  • Surveiller en permanence les performances informatiques pour s’assurer que la stratégie de l’entreprise sera livrée aux actionnaires.

Un outil efficace : le comité stratégique TI

Les problèmes business critiques tels que celui évoqué dans cet article prennent beaucoup de temps pour être résolus. Il est donc nécessaire de réagir efficacement. La création d’un comité stratégique TI est indubitablement un outil efficace pour y remédier. Incontestablement, le sujet des systèmes d’information a depuis longtemps dépassé les domaines d’audit et de risque de base. Des organisations importantes telles que Wallmart en ont tiré les conséquences. Ainsi Wallmart s’est doté d’un comité stratégique TI dédié au niveau du conseil d’administration. Il ne faut surtout pas croire hâtivement qu’un comité stratégique TI est technique. Ce n’est pas du tout le cas. Les responsabilités énumérées dans le paragraphe précédent, ainsi que des sujets tels que la compétitivité, la transformation et la durabilité fondées sur l’informatique, sont clairement stratégiques.

Bien que la gouvernance informatique ait continué à se développer au cours de la dernière décennie et soit devenue la gouvernance du SI, le chemin à parcourir est encore long. Non seulement il n’ya pas de discussion majeure sur le leadership numérique au sein des cadres de gouvernance d’entreprise au niveau mondial, mais les administrateurs ne semblent pas encore avoir les aptitudes et les compétences nécessaires pour gérer correctement les initiatives de transformation numérique.

Une nécessité : le renouvellement des conseils d’administration

Que peut-on faire dans cette situation? En règle générale, les administrateurs sont élus lors de l’assemblée générale annuelle (AGO) par les actionnaires. Dans les organisations où la durée du mandat est limitée, les administrateurs devraient être renouvelés et bénéficier de nouvelles perspectives sur le rôle et les risques. en transformation numérique. Les actionnaires détiennent généralement une partie du pouvoir nécessaire pour remplacer les administrateurs actuels au sein des conseils d’administration. Ils ont par conséquent des moyens d’action sur les membres du CA. Ils peuvent donc s’assurer que les administrateurs possèdent des connaissances de base en informatique.

La question est de savoir si ils le veulent vraiment ou si les facteurs générant des gains à court terme (croissance du prix des actions) sont plus importants que la viabilité à long terme. Ces deux objectifs sont totalement incompatibles. Et c’est là que se situe une partie du problème.

Restons positifs malgré tout

On commence, dans certaines entreprises, à apercevoir une lueur au bout du tunnel. Quelques Organisations, auprès desquelles j’interviens comme conseil, ont unanimement considéré que la durabilité par le biais de la transformation numérique exige plus qu’un simple créneau dans les ordres du jour plus larges des comités d’audit ou des risques.

Au lieu de cela, dans le contexte de la transformation digitale, le service informatique mérite un degré de gouvernance spécialisé qui ne peut lui être accordé que par le biais d’un comité stratégique informatique dédié. C’est une première étape encourageante. Il faut maintenant oeuvrer pour que cela se développe et se généralise. C’est en s’appuyant sur des cadres de gouvernance tels que COBIT ou ISO 38500 qu’on a quelques chances d’y parvenir. Malheureusement cette mutation est très lente. Et pas sûr que les conseils d’administration aient le temps d’évoluer avant que la situation ne devienne critique.

Cybersécurité : rôle et responsabilités du Conseil d’Administration

Les cyber-menaces sont complexes et en constante évolution. Elles peuvent aussi causer d’importants dommages financiers et de réputation à une Organisation. De plus, il n’y a aucun moyen d’être protégé à 100%. C’est pourquoi la cybersécurité ne relève plus uniquement des services informatiques. Les Conseils d’Administration sont les premiers responsables de la survie de leur organisation et, dans le monde interconnecté d’aujourd’hui, la cyber-résilience fait partie intégrante de cette responsabilité. Cela signifie que le Conseil d’Administration à un rôle actif à jouer et doit assurer ses responsabilités en matière de cybersécurité.

Cybersécurité : rôle et responsabilités du Conseil d'Administration
Crédit © image by rawpixel.com

En charge de la Gouvernance de leur Organisation, les Conseils d’Administration s’assurent de l’optimisation des risques et des ressources. Dans un monde en pleine transformation digitale, ils devraient donc considérer le cyber-risque comme prioritaire. Ceci implique qu’ils devraient jouer un rôle de leader en matière de cybersécurité au sein de leur Entreprise. Dans ce cadre, voici donc quelques responsabilités en matière de sécurité informatique qui leur incombent directement.

Principes de base en matière de cyber sécurité

COBIT, référentiel de bonnes pratiques en gouvernance des Entreprises, définit un certain nombre de principes de base pour gouverner une Organisation. Le Manuel de l’Administrateur sur la surveillance des risques lés au cyber espace, publié aux USA par L’Association Nationale des Administrateurs de Sociétés (NACD) définit également le rôle et les responsabilités du C.A. en matière de cybersécurité. Cinq principes se dégagent. Ces principes de base sont universels. Ils s’appliquent à toute Organisation, publique, privée ou même à but non lucratif, quelles que soient sa taille, son domaine d’activité ou sa localisation. Ils devraient donc être pris en considération par  tous les C.A. afin d’améliorer leur surveillance des cyber-risques.

1 – La cybersécurité est une problématique d’Entreprise et non une problèmatique technologique

Les administrateurs doivent comprendre et aborder les questions de la cybersécurité en tant que sujet de gestion des risques à l’échelle de l’entreprise, et pas uniquement en tant que sujet informatique.

Il est toujours aussi surprenant de constater combien d’entreprises associent encore la sécurité des informations ou la cybersécurité à l’informatique. Certes, la plupart des signalements d’incidents de sécurité proviennent de l’informatique, Mais on ne peut pas s’y limiter car les impacts se font sentir à l’échelle de toute l’organisation. Les compétences requises pour gérer les risques et traiter les problèmes doivent donc se situent au niveau global de l’organisation. Le Conseil d’Administration doit comprendre que tout miser sur la technologie est une grave erreur.  C’est d’ailleurs la cause sous-jacente d’un grand nombre de violations majeures.

2 – Comprendre les implications juridiques et réglementaires des cyber-risques

Les administrateurs doivent comprendre les implications légales et réglementaires des cyber-risques dans la mesure où ceux-ci se rapportent au caractère spécifique de leur Organisation.

Avec la fonction vient la responsabilité. La direction et le conseil d’administration sont considérés comme responsables ultimes des cyber-risques. Ces derniers mois, de nombreux piratages importants se sont produits et, dans de nombreux cas, ils ont perdu leur poste. Gregg Steinhafel, Président du Conseil d’Administration et Directeur Général de Target, a été contraint de démissionner de toutes ses fonctions à la suite de la violation massive des données de l’Entreprise en 2013. Et plus récemment, le Directeur Général d’Equifax, Richard Smith, a du démissionner à la suite de l’important piratage informatique qui a compromis les données d’environ 143 millions d’Américains.

3 –  S’appuyer sur l’expertise adéquate et mettre la cybersécurité à l’orde du jour

Les conseils d’administration devraient avoir un accès adéquat à l’expertise en matière de cyber-risques et de cybersécurité. D’autre part, les discussions sur la gestion des risques informatiques devraient faire l’objet d’une point régulier à l’ordre du jour des réunions du conseil. Il est également très important de pouvoir accorder un temps suffisant aux discussions sur ce sujet important. Il est de plus en plus courant de voir des membres du conseil d’administration qui ont un bagage technologique ou en sécurité. Cette expertise peut vraiment aider à sensibiliser les autres administrateurs. C’est la prise de conscience qui permet de gagner la bataille contre les cybercriminels.

4 – Mettre en oeuvre un cadre de sécurité pour l’Entreprise doté de ressources suffisantes

C’est la responsabilité du Conseil d’Administration de s’assurer de la mise en place d’un cadre de gestion des risques au niveau de l’Entreprise. La Direction doit être en charge de sa mise en oeuvre, de sa surveillance et de son suivi. Il est essentiel que le Conseil d’Administration lui donne les ressources nécessaires pour atteindre cet objectif. Ces ressources devront comprendre le personnel adéquat, les budget et les outils et technologies indispensables.

Pour la définition du cadre de risques, il est toujours plus facile d’appuyer sur des référentiels existants et éprouvés. Ainsi aux USA, il sera pertinent de s’appuyer du le référentiel NIST CSF. Ce cadre a été élaboré par le  National Institute of Standards and Technology . Il a pour but de permettre aux organisations – indépendamment de la taille, du degré de cyber-risque ou de la sophistication de la cybersécurité – d’appliquer les principes et les meilleures pratiques de gestion des risques à l’amélioration de la sécurité et de la résilience des infrastructures critiques. En Europe, NIST CSF est quasi inconnu. On pourra utiliser comme base de travail les normes ISO 27001 (Systèmes de management de la sécurité de l’information) et ISO 27005 (Gestion des risques liés à la sécurité de l’information).

Il existe de nombreuses autres sources également très intéressante pour l’élaboration de votre cadre de risque. Parmi celles-ci, vous  pouvez également  vous appuyer sur la publication COBIT for risk de l’ISACA.

Une chose est sûre : il est inutile de réinventer la roue!!!

5 – Identifier les risques, prioriser, définir l’approche et planifier

La discussion du conseil d’administration sur les cyber-risques devrait inclure l’identification des risques à éviter, à accepter, à atténuer ou à transférer par le biais de l’assurance, ainsi que des plans spécifiques associés à chaque approche.

Une gestion efficace du risque de cybersécurité nécessite une compréhension de l’importance relative des actifs de l’entreprise afin de déterminer la fréquence à laquelle ils devront être examinés pour détecter les expositions au risque. Ce n’est pas une tâche simple. Il faut beaucoup de réflexion et d’efforts, ainsi qu’une grande expertise en cybersécurité.

Exigences légales et réglementaires

Les industries les plus matures ont également des directives et des exigences réglementaires sectorielles en ce qui concerne les responsabilités en matière de cybersécurité du conseil d’administration. C’est par exemple  cas du secteur financier et bancaire. Certaines exigences réglementaires et légales sont aussi à l’étude au niveau des états. Parmi ces réglementations présentant des exigences en matière de sécurité des informations, on peut citer le RGPD.

Le RGPD (ou GDPR en Anglais) est la réglementation européenne sur la protection des données personnelles. Elle s’impose à toute Organisation publique ou privée traitant les données personnelles de citoyens européens. Le RGPD comporte plusieurs exigences précises en matière de cybersécurité des données personnelles. Le non respect de cette réglementation expose l’Organisation contrevenante, quelle que soit sa localisation dans le monde à une amende pouvant atteindre 4% de son chiffre d’affaire mondial avec un minimum de 20 millions d’Euros. La conformité réglementaire et légale est une responsabilité de la Gouvernance. Il s’agit donc d’une responsabilité du Conseil d’Administration. Déjà plusieurs Entreprises ont été sanctionnées en France par la CNIL pour non conformité au RGPD. Et, à chaque fois, il s’agissait de problématiques liées à la sécurisation de données dans leur système informatique.

Responsabilités du Conseil d’Administration

Le Conseil d’Administration assure la responsabilité de Gouvernance de l’Organisation. Gouverner une organisation consiste à s’assurer de la création de bénéfices pour les parties prenantes en optimisant les risques et les ressources. Ceci peut être représenté par le diagramme suivant extrait de COBIT.

Responsabilités de la Gouvernance et du Management - COBIT
Crédit © 2012 ISACA

Le Conseil d’Administration a pour responsabilité d’évaluer les bénéfices attendus, les risques et les ressources nécessaires (Evaluate). Il devra, suite  à cette évaluation, donner l’orientation à suivre (Direct). Il a également la responsabilité de surveiller la performance et les progrès réalisés (Monitor).

Evaluer les besoins, les risques et les ressources

Une évaluation de la posture de la cybersécurité est une première étape utile pour toute organisation qui souhaite identifier sa position actuelle en matière de cybersécurité, ses faiblesses, les risques encourus et ce qu’elle doit entreprendre pour augmenter son niveau de maturité. C’est là une étape importante pour permettre à toute organisation de renforcer ses défenses en matière de cybersécurité. Le Conseil d’Administration pourra dès lors prioriser les risques et fournir une feuille de route concrète à la Direction.

En quoi consiste votre posture de cybersécurité?

Selon le National Institute of Standards and Technology (SP 800-128 de NIST), une posture de cybersécurité se rapporte à «l’état de sécurité des réseaux, informations et systèmes d’une entreprise basé sur des ressources de sécurité de l’information (personnes, matériel, logiciels, stratégies). ) et des capacités en place pour gérer la défense de l’entreprise et réagir à mesure que la situation change ».

En d’autres termes, votre posture de cybersécurité indiquera à quel point votre entreprise est saine et cyber-résiliente. Elle indiquera à quel point l’organisation peut se défendre contre les cyberattaques, les violations et les intrusions. Définir votre posture de cybersécurité est donc important. En effet, cela guidera toute votre stratégie de cybersécurité, déterminera vos projets et influencera vos dépenses en la matière au fil des ans.

Signification des niveaux de maturité

  • Un niveau de maturité faible de la cybersécurité faible signifie généralement des défenses faibles. L’organisation  court donc un risque élevé. Elle nécessite par conséquent des améliorations significatives à plusieurs niveaux pour renforcer sa posture de cybersécurité et protéger ses actifs essentiels contre les violations et les intrusions.
  • Si le niveau de maturité est moyen c’est généralement indicatif de défenses de cybersécurité moyennes. L’organisation a alors pris plusieurs mesures pour sécuriser ses actifs critiques. Elle est cependant toujours en danger et il reste encore beaucoup à faire.
  • Un niveau de maturité élevé indique généralement de solides défenses. Cela signifie que l’organisation a mis en œuvre les stratégies, processus et procédures nécessaires pour optimiser sa posture de cybersécurité. Elle est conscients de ses actifs critiques et est préparée à faire face à des incidents de sécurité en toute confiance.

Donner l’orientation à la haute direction

Le Comité Stratégique IT

Le Conseil d’Administration définit l’orientation concernant l’utilisation de l’informatique par l’Organisation. Le Conseil d’Administration doit approuver le plan stratégique informatique, le programme de sécurité de l’information et les autres politiques liées aux TI. Pour ce faire, le Conseil d’Administration peut créer un  comité stratégique en charge des problématiques IT. Ce Comité Stratégique IT sera présidé par un membre du Conseil et aura notamment les responsabilités suivantes :

  • Examiner et approuver un plan stratégique informatique qui s’aligne sur la stratégie d’entreprise globale;
  • Promouvoir une gouvernance informatique efficace;
  • Superviser les processus d’approbation des fournisseurs tiers de l’organisation;
  • Superviser et recevoir des mises à jour sur les principaux projets informatiques, les budgets informatiques, les priorités informatiques et les performances informatiques globales;
  • Approuver les politiques à appliquer et signaler les incidents de sécurité importants au conseil d’administration;
  • Superviser l’adéquation et l’allocation des ressources informatiques pour le financement et le personnel;
  • Tenir la direction responsable de l’identification, de la mesure et de l’atténuation des risques informatiques;
  • Assurer une couverture d’audit indépendante, complète et efficace des contrôles informatiques.

Le recours à des sous-traitants pour la fournitures de certains services

Le Conseil d’Administration et la haute Direction devraient établir et approuver des politiques fondées sur les risques pour régir le processus d’impartition. Les politiques devraient reconnaître le risque pour l’Organisation d’externaliser les relations. Elles devraient également être adaptées à la taille et à la complexité de l’Organisation. Les facteurs que les Entreprises devraient envisager sont les suivants:

  • S’assurer que chaque relation d’impartition appuie les exigences globales et les plans stratégiques de l’organisation;
  • S’assurer que l’organisation dispose d’une expertise suffisante pour superviser et gérer la relation;
  • Evaluer les prestataires potentiels en fonction de la portée et de la criticité des services externalisés;
  • Adapter le programme de surveillance des prestataires de services à l’échelle de l’entreprise en fonction des évaluations des risques initiales et continues des services externalisés;

Surveiller la performance de l’organisation et les progrès

L’audit

  • Le Conseil dAdministration et la haute direction ont la responsabilité de veiller à ce que le système de contrôle interne de l’établissement fonctionne efficacement;
  • Le Conseil d’Administration devrait s’assurer que des directives écrites pour la conduite des audits informatiques ont été adoptées;
  • Le Comité d’Audit (sous la responsabilité du C.A.) est chargé d’examiner et d’approuver les stratégies d’audit (y compris les politiques et les programmes) et de surveiller l’efficacité de la fonction d’audit.

 

ITIL : renaissance ou dernier soupir?

ITIL, le référentiel phare en matière de gestion des services informatiques commence à prendre de l’âge. Aucune évolution notable n’a été publiée depuis 2011. Et encore, la version 2011 n’était elle-même qu’une révision cosmétique (en anglais « refresh ») de la version ITIL V3 publiée en 2007. Cela fait donc dix ans que rien de vraiment nouveau n’a été publié. A l’occasion du salon ITSMF Fusion 2017, AXELOS a levé le voile sur l’avenir d’ITIL en 2018.

ITIL: renaissance en 2018?
Crédits: © AXELOS

On peut comprendre qu’une méthodologie n’évolue pas beaucoup. Mais justement le problème d’ITIL c’est qu’il ne s’agit aucunement d’une méthodologie. ITIL est un cadre de bonnes pratiques pour améliorer les services informatiques délivrés aux métiers. Or, durant ces dix dernières années, les Entreprises et leurs métiers ont subi une transformation radicale. Il est donc clair que leurs besoins de services informatiques ont également énormément changé. Les attentes des affaires sont très différentes aujourd’hui de ce qu’elles étaient il y a dix ans. Les risques auxquels tout service TI est exposé ont également évolué. L’environnement technologique a subi un bouleversement encore jamais vu auparavant.

L’annonce faite par AXELOS

Selon AXELOS, propriétaire du référentiel, ITIL® est «l’approche la plus largement utilisée pour la gestion des services informatiques dans le monde». La société indique qu’il existe des millions de praticiens d’ITIL dans le monde. Elle indique également que le référentiel est utilisé par la majorité des grandes organisations pour gérer leurs  opérations informatiques.

Il aurait donc été naturel que l’annonce d’une mise à jour d’ITIL suscite de nombreux commentaires. Cependant, comme vous l’avez sûrement constaté, tant la presse que les réseaux sociaux ne s’y sont guère intéressés.

La raison de ce manque d’intérêt est la raison même pour laquelle AXELOS veut faire cette mise à jour. ITIL a désormais atteint un point de non pertinence dans un monde économique dynamique et agile. L’environnement économique est aujourd’hui très différent de celui dans lequel ITIL a été développé.

De nouveaux modèles d’architecture, de nouvelles approches de management et, plus généralement, la transformation numérique des organisations ont relégué ITIL au stade de relique du passé.

Pourtant, des investissements substantiels ont été réalisés par nombre d’organisations dans le monde. Il s’agit notamment de la certification de leurs collaborateurs. Le grand nombre de fournisseurs de technologie qui ont vu le jour autour de ce framework et le vaste réseau de consultants et de sociétés de formation qui ont bâti leurs offres autour d’ITIL suggèrent que ce référentiel ne disparaîtra pas tranquillement du jour au lendemain.

Mais cette mise à jour annoncée sera-t-elle suffisante pour une renaissance d’ITIL en 2018? Ou marquera-t-elle son dernier soupir?

ITIL est-il en core pertinent dans un monde qui change?

Lors de l’annonce faite à ITSMF Fusion 2017, Margo Leach, Chef de produit chez AXELOS a admis la nécessité de faire évoluer ITIL pour pouvoir s’aligner sur un monde en pleine évolution tout en revendiquant sa pertinence au jour d’aujourd’hui.


« Les principes fondamentaux d’ITIL sont valables et restent essentiels pour permettre aux entreprises de se transformer et d’évoluer », a déclaré M. Leach. « Mais nous devons ajouter un élément supplémentaire au cœur d’TIL: la rapidité de mise sur le marché et l’agilité, c’est-à-dire la capacité d’une entreprise à répondre aux menaces commerciales, aux demandes et aux opportunités du marché. »


AXELOS a également reconnu que d’autres approches, (DevOps, …) traitent déjà de ces problèmes. « Le nouvel ITIL doit inclure des conseils pratiques et explicites sur la façon d’intégrer les principes des nouvelles méthodes de travail contemporaines« , a déclaré Margo Leach.

L’évolution rapide des technologies basées sur le cloud, les nouvelles approches telles que DevOps et l’enracinement des méthodologies agiles ont remis en question bon nombre de méthodes, apparemment rigides et bureaucratiques, souvent associées à ITIL.

En conséquence, et en dépit de leurs investissements importants dans le référentiel sous la forme de formation et d’outils, de nombreuses Organisations mettent maintenant l’accent sur la nécessité d’investissement futur sur de nouveaux cadres plus pertinents.

Alors n’est-il pas trop tard pour un nouvel ITIL?

La mise à jour d’ITIL ne devrait donc pas surprendre. Même si l’éditeur a affirmé il y a plusieurs années qu’il n’y aurait plus d’autres mises à jour. Néanmoins, le manque de pertinence perçu s’est également traduit par la perte de position dominante comme en témoigne l’arrivée d’une approche de gestion de service et d’un programme de certification concurrents, appelé VeriSM.

VeriSM prétend également représenter une approche moderne de «Gestion des services pour l’ère numérique». Le nombre de leaders de l’industrie et d’organisations qui le soutiennent est éloquent. A tout le moins, c’est la reconnaissance évidente par l’industrie que le domaine traditionnel de la gestion des services est en train de perdre son sens original et risque de ne plus être pertinent.

La transformation digitale entraîne un changement d’orientation

Ce que je crains, c’est que la prochaine mise à jour ITIL et la nouvelle approche VeriSM passent à côté de ce qui se passe réellement. A mon sens, la transformation numérique ne concerne pas vraiment la technologie ni son utilisation particulière. Il s’agit de la transformation des modèles d’affaires et d’opérations. Cela se traduit par un transfert fondamental de pouvoir de l’Entreprise vers le Client. En d’autres termes il ne s’agit pas d’une transformation technologique. Il s’agit plutôt d’une transformation de la société.

En tant que tel, le paradigme organisationnel de l’organisation doit passer de l’optimisation et de l’efficacité à l’expérience client et à facilitation pour l’utilisateur tout au long de son parcours. Le problème est que l’accent principal, tant pour ITIL que pour la gestion des services au sein des organisations, est entièrement basé sur l’efficacité et l’optimisation des opérations (informatiques ou autres).

De plus, les adoptions de la gestion des services TI sont largement basées sur des processus linéaires. A l’opposé, le monde libre-service et centré sur le client crée une abondance d’interactions client asynchrones et asymétriques avec l’organisation et la technologie qui doit les supporter.

Le résultat net est un cadre de bonnes pratiques de plus en plus déconnecté des besoins réels des Entreprises qu’il soutient. C’est d’ailleurs aussi le cas pour un secteur industriel tout entier.

Y a-t-il un avenir pour ITIL?

Je rencontre quotidiennement des dirigeants d’entreprises et des DSI. Nous discutons des défis auxquels ils sont confrontés et des stratégies qu’ils utilisent pour y répondre. L’accent est alors systématiquement mis sur l’efficacité et l’optimisation. Ce sont là les facteurs de valeur traditionnels de la gestion des services informatiques (ITSM).

Mais la priorité est aujourd’hui ailleurs. C’est l’agilité, l’adaptabilité et l’amélioration de l’expérience client qui sont la clé des affaires en 2018. L’objectif pour toute Organisation est de créer un avantage compétitif sur le marché. Ce sont là des moteurs qu’AXELOS a correctement identifiés. L’efficacité demeure bien sûr une préoccupation quotidienne. Pour ce faire, les entreprises se tournent de plus en plus vers les services et l’automatisation basés sur le cloud pour optimiser leurs opérations.

ITIL, VeriSM ou tout autre cadre ou approche de gestion de service souhaite reste pertinent? Alors leur objectif doit être la prise en compte des nouvelles priorités des Organisations. Leur axe principal doit donc être de réorienter les organisations vers l’expérience client et de les éloigner des modèles centrés sur les systèmes ou centrés sur le service.

Les praticiens de la gestion des services IT vous diront que cela a toujours été l’objectif principal. Je ne les contredis pas. Mais il est temps de reconnaître que, dans la pratique, ce n’est pas ce qui s’est passé. Si ITIL doit rester pertinent en 2018, cela doit changer radicalement. Il n’y aura d’avenir pour ITIL qu’à cette condition.

Vous avez sûrement un avis. N’hésitez pas à nous laisser votre commentaire…

Les 6 certifications qui paient en 2017

Vous envisagez de vous lancer dans une carrière dans le domaine des technologies de l’information (TI)? Vous souhaiteriez obtenir une certification dans un domaine que vous maîtrisez déjà? Une multiplicité de solutions s’offre à vous. Alors comment choisir? Sur quels critères? Que vous soyez intéressé par les réseaux, la sécurité ou l’administration des systèmes, vous trouverez sans peine une certification qui est censée vous aider à lancer ou faire progresser votre carrière. Mais toutes ces certifications ont-elles la même valeur? Et même, pour certaines certifications il semble qu’il y ait différents organismes proposant des certifications concurrentes. Sont-elles équivalentes? S’adressent-elles au même public? Sont-elles reconnues de façon similaire par la communauté des Entreprises? Bien évidemment la réponse est négative. Alors, vous devez faire votre choix et ne pas vous tromper.

Les 6 certifications qui paient en 2017
Crédit: © contrastwerkstatt

6 certifications qui paient bien!

Une des motivations souvent évoquées par les personnes qui nous contactent pour suivre une formation et passer une certification consiste à obtenir un meilleur salaire. Quelles sont donc les certifications qui paient le mieux en 2017? Nous allons essayer de vous aiguiller un peu en vous présentant les 6 certifications qui paient le mieux de façon générale. Bien sûr il peut y avoir des différences selon les pays. Il est clair que le salaire proposé pour une fonction correspondant à une même certification ne sera pas le même aux USA, au Canada, en France ou en Côte d’Ivoire. Mais il demeure que le classement reste globalement identique.

Mais soyons honnêtes: vous courrez après les gros salaires? Cet article vous présente les six certifications les mieux payées. Mais il vous indique aussi ce que les employeurs attendent de vous et ce que cela implique. La certification ne suffit pas… C’est un élément qui, conjugué à d’autres vous permettra d’atteindre votre objectif.

Commençons par le bas pour remonter vers la certifications qui, cette année, remporte la palme du meilleur salaire. Nous sommes fiers, chez AB Consulting, de proposer des ateliers de préparation à ces 6 certifications depuis maintenant plusieurs années dans le cadre de nos accréditations internationales.

6. Project Management Professional : PMP

Les professionnels adorent la certification PMP car elle leur donne accès à une grande variété d’Entreprises.  Elle leur permet d’appliquer leurs compétences dans une grande variété de domaines. Beaucoup d’informaticiens la recherchent, même si ce n’est pas une certification liée au domaine informatique. Toutes les Organisations ont des projets à gérer. Mais il est vrai que beaucoup de projets, aujourd’hui, tournent autour de l’informatique. La capacité d’appliquer les principes de gestion de projet (PM) au domaine informatique vous permet de glisser un pied dans la porte de presque n’importe quelle Entreprise. Vous serez alors responsable de veiller à ce que les activités de gestion des services informatiques soient effectuées dans les temps et dans les budgets.

Venons-en à ce qui vous intéresse vraiment: l’argent. Le titulaire du certificat PMP gagne en moyenne 112.153 $ par année, en 2017. Ce n’est pas mal si vous pouvez obtenir ce type de certification. Pour pouvoir passer l’examen de certification, vous devrez  justifier d’au moins un diplôme d’études secondaire, d’un minimum de 7 500 heures d’expérience de gestion ou de direction de projets, et 35 heures de formation au PMP dans un organisme de formation accrédité. Bien sûr, le PMI vérifiera minutieusement chacun des pré-requis avant de vous autoriser à passer votre certification.

5. Certified Information Systems Auditor : CISA

Pour ceux qui veulent démontrer leurs compétences dans les domaines de la sécurité informatique, de l’audit informatique, de la gestion des risques et de la gouvernance, la certification CISA constitue une excellente référence.

L’examen se compose de 200 questions à choix multiples réparties sur 5 domaines. Si vous le réussissez, ce ne sera qu’un premier pas franchi. Vous devrez également prouver au minimum cinq ans d’expérience professionnelle dans les domaines concernés et 20 heures de formation. Ce n’est que lorsque vous aurez accompli cette étape supplémentaire que vous vous verrez attribuer la certification CISA. En aucun cas vous ne pourrez vous prévaloir de la certification avec uniquement la réussite à l’examen. Dès lors que l’ISACA vous aura attribué la certification, vous intègrerez un groupe de professionnels dont le salaire annuel moyen est de l’ordre de 112.931 $.

Pour en savoir plus sur cet examen, vous pouvez consulter notre article CISA: 12 trucs utiles pour l’examen.

4. Certified Information Systems Security Professional : CISSP

Si vous êtes un consultant en sécurité, un manager, un auditeur, un analyste ou un ingénieur système, le CISSP peut être une bonne certification pour vous. C’est l’opportunité de prouver que vous êtes capable de concevoir et d’élaborer et de mettre en oeuvre un protocole de sécurité d’entreprise.

Le test est composé de 250 questions à choix multiples et de mises en concordance. Cette certification vous donne accès à des postes en sécurité de l’information qui paient, en moyenne, 120.933 $ par an.

3. Certified Information Security Manager : CISM

Le CISSP est principalement focalisé sur les aspects techniques. A l’inverse la certification CISM est principalement axée sur le management de la sécurité de l’information. Bien sûr, vous serez toujours impliqué dans la conception et l’ingénierie des protocoles de sécurité, mais vous serez surtout impliqué dans la gestion de la sécurité d’une entreprise. Ce type de position vous donnera accès à des secteurs d’activité en dehors de l’informatique, car vous devrez travailler avec d’autres parties prenantes pour atteindre les objectifs commerciaux globaux de l’entreprise. Il s’agit d’une certification débouchant sur des rôles de senior manager.

Si c’est bien ce qui vous intéresse, vous pourrez alors prétendre à un salaire annuel moyen de l’ordre 121.177 $. Avant de pouvoir récolter les fruits de votre labeur, vous devrez d’abord réussir l’examen, qui comprend 200 questions à choix multiples, et ensuite prouver que vous avez un minimum cinq ans d’expérience pertinente dans les domaines correspondants. Ce n’est seulement après cette dernière étape que l’ISACA vous attribuera la certification CISM.

2. Certified in Risk and Information Systems Control : CRISC

L’examen de certification CRISC porte sur quatre domaines majeurs de la gestion des risques : identification, évaluation, réponse et atténuation, surveillance et suivi des contrôles. Si vous souhaitez travailler dans ce domaine, ou si vous avez une expérience dans le domaine et si vous voulez obtenir une certification recherchée, vous devriez envisager la certification CRISC.

L’examen comprend 150 questions à choix multiples. Si vous réussissez l’examen, devrez ensuite justifier d’un minimum de 3 années d’expérience dans 3 des 4 domaines couverts par le CRISC. L’ISACA confirmera la recevabilité de votre demande et vous attribuera le certificat CRISC. Vous entrerez alors dans une catégorie professionnelle dont la moyenne de salaire annuel est de l’ordre de 121.424 $.

1. Certified in Governance of Enterprise Information and related Technology : CGEIT

La certification la plus lucrative couvre un large éventail de responsabilités, y compris les responsabilités de la gestion du cadre de gouvernance de l’information d’entreprise, de la gestion stratégique de l’informatique et de l’entreprise, de la réalisation des bénéfices, de l’optimisation des risques et de l’optimisation des ressources.

Cette certification s’adresse à des personnes exerçant des responsabilités au sein d’un Conseil d’Administration ou d’un Comité de Direction.

L’examen de certification comprend 150 questions à choix multiples auxquelles il faut répondre en moins de quatre heures. La réussite à l’examen vous permettra de soumettre votre dossier à l’ISACA. Vous devrez alors prouver un minimum de 5 années d’expérience à un niveau de Gouvernance ou de Direction.  Dès lors que votre dossier sera vérifié et validé par l’ISACA vous obtiendrez la certification CGEIT. La moyenne annuelle de rémunération d’un CGEIT est de l’ordre de 131.443 $.

Pour en savoir plus et échanger avec nos experts…

Pour en savoir plus et échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Et si vous avez réussi au moins l’une de ces certifications, n’hésitez pas à nous laisser votre témoignage…

Cyber-risques – Que fait le Conseil d’Administration?

Le Conseil d’Administration est en charge de s’assurer de la création de valeur pour les parties prenantes de l’Entreprise tout en optimisant les risques et les ressources. Le Conseil d’Administration, organe de Gouvernance de l’entreprise est donc directement concerné par les cyber-risques.

Le conseil d'administration

« La SEC (organisme fédéral américain en charge de réguler et de contrôler les marchés financiers), la FTC (agence américaine chargée de contrôler les pratiques commerciales) ainsi que d’autres organismes de réglementation (fédéraux, d’état, mondiaux) ont renforcé leurs évaluations des Entreprises en matière d’efforts réalisés pour sécuriser les données, ainsi que concernant les informations et la communication sur les risques en matière de cybersécurité et de violations des données. » comme l’indique KPMG dans son rapport On the 2015 Board Agenda.

Réagissant au grand nombre et à l’ampleur des vols de données qui n’ont fait qu’augmenter durant la dernière décennie, les agences gouvernementales commencent tout juste à durcir le ton et à envoyer des signaux clairs que la sécurité constitue désormais un sujet prioritaire pour les Entreprises.

Le commissaire Luis A. Aguilar de la SEC (Securities and Exchange Commission), parlant au New York Stock Exchange (NYSE) le 10 Juin 2014, a clairement indiqué la position de la commission. « La surveillance des cyber-risques par le Conseil d’Administration est essentielle pour assurer que les entreprises prennent des mesures adéquates pour prévenir les cyber-attaques et se préparer à faire face aux préjudices qui peuvent en résulter », a-t-il dit. Il a également émis un avertissement clair sur le fait que « les Conseils d’Administration qui choisissent d’ignorer ou de minimiser l’importance de leur responsabilité de surveillance de la cyber-sécurité, le font à leurs risques et périls ».

Depuis lors, le commissaire Aguilar est de nouveau monté au créneau pour lancer un nouvel avertissement sur les cyber-risques. « Cela ne devrait être une surprise pour personne que la cybersécurité soit devenue un point focal des efforts d’application de la SEC durant ces dernières années. Il est d’ailleurs de notoriété publique que la Division d’Application de la SEC investigue actuellement plusieurs cas de violation de données, » a-t-il dit lors du Sommet SINET innovation le 25 juin 2015. « En outre, la SEC a examiné de façon proactive comment elle peut, en utilisant son pouvoir actuel, obliger à l’application de mesures supplémentaires en matière de cybersécurité, et comment cette autorité pourrait devoir être étendue pour répondre aux menaces émergentes de cybersécurité ».

Cette nouvelle orientation des agences gouvernementales n’est cependant pas limitée aux États-Unis. L’Autorité Technique Nationale du gouvernement britannique pour la sûreté de l’information a ainsi déclaré que « la gestion proactive du cyber-risque au niveau du Conseil d’Administration est essentielle. » A cette fin, le gouvernement britannique a publié un document qui décrit les responsabilités et questions clés de cyber sécurité pour le Conseil d’Administration et le Management. Des ressources supplémentaires pour les conseils d’Administration incluent notamment un «Manuel de surveillance des Cyber-Risques», publié aux USA par l’Association Nationale des Administrateurs de Sociétés (NCAD).

Une réalité nouvelle pour le Conseil d’Administration

La nouvelle réalité à laquelle fait face chaque Conseil d’Administration est bien résumée dans Cybersecurity Docket : «Chaque Conseil d’Administration doit maintenant savoir avec certitude que sa société sera victime d’une cybe-rattaque, et pire encore, que c’est le Conseil qui aura la charge de nettoyer le gâchis et de surveiller les retombées » .

Comme dans tous les autres autres domaines de la conformité, les Administrateurs peuvent être tenus pour responsables pour ne pas avoir fait leur devoir afin de prévenir les dommages à la société. Dans l’exercice de leur rôle de surveillance, les Administrateurs doivent rester informés en permanence sur les mesures de cybersécurité de leur société. Ils doivent évaluer les risques et déterminer ce qui doit être fait pour les atténuer.

L’absence de surveillance adéquate des cyber-risques constitue une menace. «Les Administrateurs qui ne parviennent pas à prendre des mesures appropriées – à la fois avant et après un incident de sécurité de l’information – courent le risque que leur Entreprise soit soumise à l’application de mesures gouvernementales (lois ou réglementations), et qu’eux-mêmes soient personnellement sujets à des poursuites de la part des actionnaires », a expliqué le cabinet d’avocats Fredrikson & Byron.

KPMG, dans sa publication de Février 2015 sur les défis et priorités en matière de Gouvernance pour 2015 désigne la cybersécurité comme « LE problème du 21e siècle. » Au-delà du risque de conformité, le rapport souligne l’importance « des poursuites, des dommages à la réputation et de la perte de clients» comme conséquences potentielles.

Pourquoi les Conseils d’Administration peinent-ils à prendre en compte ce type de risques?

Selon le rapport d’Ernst & Young publié fin 2014 et intitulé « Cyber program management« , il y a plusieurs raisons pour lesquelles ils sont si réticents à s’engager sur la cybersécurité. Parmi ces raisons figurent :

  • le fait que l’internet et la connexion de l’Entreprise constituent juste l’un des nombreux sujets à l’ordre du jour d’un Conseil d’Administration,
  • la culture de silo au niveau de l’informatique qui a relégué la responsabilité de protection des données et des systèmes uniquement au niveau du département IT,
  • la difficulté pour le Conseil d’Administration d’évaluer correctement les risques de cyberattaques et le programme de gestion des risques associé mis en place par la direction,
  • et enfin l’approche de consolidation des défenses (contrôles préventifs de sécurité) tout en ignorant les capacités de détection et de réponse aux incidents.

Cependant, comme le commissaire Aguilar l’a déclaré à la Bourse de New York, les temps ont changé, et «s’assurer de l’adéquation des mesures de cybersécurité de l’entreprise aux risques doit être une préoccupation essentielle d’un Conseil d’Administration dans le cadre de ses responsabilités de surveillance en matière de risques. » Cela devrait figurer comme un slogan en lettres capitales sur le mur de la salle du conseil : les administrateurs ne peuvent plus balayer  d’un revers de main les Cyber-Risques. C’est leur responsabilité de surveiller la gestion de ces risques qui était autrefois déléguée au domaine informatique.

Comment doivent-ils s’y prendre pour assurer cette responsabilité?

Le Conseil d’Administration de chaque Enterprise doit désormais prendre le temps nécessaire sur son agenda pour surveiller les cyber-risques . Selon les termes du document « Cyber program management » d’E&Y, les Conseils d’Administration sont maintenant invités à discuter de la cybersécurité sur une base trimestrielle, voire même plus fréquemment.

Comment les administrateurs doivent-ils d’y prendre pour surveiller les cyber-risques? Le Commissaire Aguilar, de la SEC, a fourni des conseils dans son discours au NYSE. « Les Conseils d’Administration sont chargés de s’assurer que la Société a mis en place des programmes de gestion des risques appropriés et de surveiller la façon dont le management met en œuvre ces programmes, » a-t-il déclaré. C’est clairement la responsabilité du Conseil d’Administration de veiller à ce que la direction ait mis en place des protocoles de gestion des risques efficaces.

Quels conseils pouvons-nous donner aux administrateurs?

Un Conseil d’Administration doit veiller à la gestion des cyber-risques dans le cadre de son programme de gestion des risques à l’échelle de l’entreprise. Il doit également chercher à mieux comprendre les risques informatiques et ceux liés à l’utilisation d’internet, évaluer les pratiques actuelles en matière de cybersécurité et planifier ainsi que préparer les personnels de l’Entreprise, grâce à des tests réguliers, pour une cyber-attaque. En résumé, la responsabilité deux Conseil d’Administration va au delà de la cyber-sécurité. Il doit répondre de la cyber-résilience de la Société devant les parties prenantes.

Les administrateurs devraient se poser trois questions importantes :

  1. Comprenons-nous bien la nature des cyber-menace s’appliquant à notre Société?
  2. Est-ce que les processus et la structure du Conseil d’Administration permettent un dialogue de qualité sur les questions de cyber-résilience?
  3. Que faisons-nous pour nous maintenir au courant des évolutions constantes des cyber-menaces?

Nous vous proposons quelques pratiques clés pour susciter intérêt et l’attention du Conseil d’Administration sur les cyber-risques :

  • Demander désormais régulièrement des informations sur les cyber-risques, et pas seulement à la Direction Générale ou au DSI,
  • Cherchent à mieux comprendre la nature des cyber-risques et leur impact sur l’organisation,
  • Remettre en permanence en question la gestion de la cyber-sécurité et la cyber-résilience de l’organisation.

Par quoi commencer?

Il existe désormais des référentiels de bonnes pratiques et des normes dans les domaines de la sécurité de l’information (ISO 27001, ISO 27002) et de la cyber-résilience (RESILIA). Il en va de même pour la Gouvernance du Système d’Information qui est clairement, comme nous l’avons vu précédemment, à la charge du Conseil d’Administration, avec COBIT® et ISO 38500.

Une première étape, afin de sensibiliser les Administrateurs sur ces responsabilités nouvelles pour eux, consisterait à organiser une séance de sensibilisation sur les responsabilités du CA dans l’Entreprise du 21ème siècle au travers de programmes tels que :

COBIT® 5 pour les Conseil d’Administration et les Exécutifs (2 formats : session de 4 heures ou d’une journée). Cette formation couvre à la fois les responsabilités des Administrateurs et des membres du Comité de Direction.

RESILIA : Sensibilisation (2 formats : session de 4 heures ou d’une journée). Cette formation, plus orientée sur la stratégie de cyber-résilience et sa mise en oeuvre, s’adresse aux Administrateurs mais aussi, et surtout, aux membres du Comité de Direction.

La seconde étape consiste bien évidemment à élaborer une stratégie de cyber-résilience en lançant un programme adéquat et à rédiger des politiques de sécurité, de gestion des risques, des gestion des ressources humaines, etc. adaptées à cette stratégie. AB Consulting, seul organisme accrédité en Afrique sur l’ensemble des domaines concernés par ISACA, AXELOS, APMG, EXIN, PECB, vous propose toute une game de services d’évaluation / audit d’aptitude des processus de l’entreprise mais aussi d’évaluation de la maturité de votre Organisation, ainsi que d’accompagnement à la mise en oeuvre et de l’amélioration de la gouvernance du SI et la réalisation du programme de cyber-résilience, grâce à ses experts du domaine.

Nous vous proposons également nos formations accréditées et certifiantes telles que :

ISO 27001 Practitioner Bootcamp (Foundation et Practitioner sur 5 jours – Certification APMG) destiné aux personnels en charge de l’implémentation d’un Système de Management de la Sécurité de l’Information dans votre Organisation

ISO 27001 Lead Implementer (5 jours – Certification PECB) destiné aux responsables du projet d’implémentation du SMSI

RESILIA Practitioner Bootcamp (Foundation + Practitioner sur 5 jours – Certification AXELOS®) destiné aux personnels en charge d’implémenter la cyber-résilience du système d’information

COBIT Implementation Bootcamp (Foundation + Implementation sur 5 jours – Certification APMG/ISACA) pour les personnes participant à l’amélioration ou l’implémentation de la Gouvernance du SI.

ISO 38500 Corporate IT Governance Manager (3 jours – Certification PECB)

Nous proposons également de nombreuses autres formations sur ce domaine, notamment destinées aux personnels des entités métiers des entreprise ainsi qu’aux auditeurs et contrôleurs.

Pour tout complément d’information ou pour vous inscrire à notre newsletter, merci de bien vouloir remplir le formulaire de contact :

Phishing – Mode d’emploi

AB Consulting vous propose une série d’articles destinés à la sensibilisation sur les risques en matière de sécurité de l’information. Suite à notre précédent article 10 trucs pour reconnaître un mail d’hameçonnage, aujourd’hui, nous allons revisiter la façon de repérer une tentative de phishing en nous concentrant sur une campagne récente ciblant les clients PayPal. Nous allons commencer par souligner les repères visuels qui vous aideront à éviter de devenir une victime, mais nous allons aussi approfondir l’arnaque de façon plus complète afin de vous permettre de comprendre le processus de bout en bout.

phishing - mode d'emploi

PayPal est l’une des marques les plus ciblées par les escrocs dans le cadre de tentatives d’hameçonnage, à l’instar des autres banques et institutions financières dès lors que les cyber-criminels cherchent à dérober de l’argent. Nous allons donc, étudier une séquence complète de tentative d’extorsion d’informations personnelles utilisant Paypal.


Attention, il s’agit d’un cas réel. Les adresses des sites web ainsi que les adresses mail des pirates sont susceptibles d’être toujours actives. N’essayez surtout pas de vous y connecter. Vous risqueriez de devenir vous-même une victime.


Le phishing, c’est quoi?

Le phishing (ou hameçonnage) reste l’une des méthodes les plus faciles et les plus rapides d’extorsion d’informations personnelles. Avec ce type d’attaque, les criminels jouent sur le nombre. Plus le nombre de messages envoyés est important et plus il est probable que quelqu’un tombe dans le piège.

Même si le nombre de victimes est finalement assez faible, le coût d’une campagne d’hameçonnage n’est rien à côté des bénéfices réalisés. Une seule victime suffit souvent à couvrir tous les coûts.

Malheureusement, des dizaines de personnes sont susceptibles d’être victimes de ce type d’arnaque dans une campagne donnée, de sorte que le phishing est devenu un business très rémunérateur pour la plupart des criminels. Chaque campagne est différente, ciblant souvent des renseignements personnels ou des informations financières. Dans ce cas qui nous sert d’exemple, elle cible tout à la fois.

Le phishing, ça commence souvent par un e-mail

Le plus souvent, tout commence par la réception dans votre boîte mail d’un message similaire à celui-ci :

phishing paypal 1/11

Il s’agit d’une copie fidèle d’un véritable message Paypal. Les couleurs, le logo, la mise en forme, tout est identique. L’objectif est de vous faire peur pour vous inciter à cliquer sur le bouton!

Attention à l’adresse mail de l’expéditeur

Vous pouvez remarquer que l’adresse email de l’expéditeur n’est une adresse Paypal. C’est un indice très important qui doit vous alerter :

Phishing Paypal 2/11

Le « via » marquant dans le champ « De: » est significatif de la façon que Google utilise pour vous dire que l’e-mail que vous lisez a été envoyé à partir d’un compte différent de celui qui est indiqué. Si l’email provenait réellement de PayPal, Google ne vous donnerait pas cet indice.

Gmail affiche cette information parce que bon nombre des services qui envoient des e-mails au nom d’autrui ne vérifient pas que le nom que l’expéditeur donné correspond bien à cette adresse e-mail. Google vous met en garde dans son aide, que nous vous invitons à consulter.

Dans ce cas, le criminel utilise un site Web et le serveur de l’hébergeur du site pour vous envoyer le message. Si ce message ne passe pas par Gmail, le simple fait que l’expéditeur n’a pas utilisé une adresse PayPal est le premier indice qui doit vous mettre en garde.

Bien sûr, le sujet de l’e-mail est tout aussi faux. En tentant de souligner un point sensible et d’instiller un faux sentiment d’urgence, et du fait qu’il ne mentionne pas l’identifiant du « compte » en question le pirate augmente les chances que la curiosité vous gagne et que vous ouvriez le message.

Le corps du message – C’est là que tout se passe

Pour un œil non averti, le message vous informe que votre compte PayPal a été limité, et et que vous avez un délai court pour résoudre le problème à l’origine de cette limitation. Encore une fois, l’objectif est d’instiller chez vous un faux sentiment d’urgence. si vous êtes un utilisateur régulier de PayPal, le fait que vous risquiez de perdre l’accès à votre compte est un problème qui peut être potentiellement grave pour vous.

Phishing Paypal 3/11

Le message lui-même se présente comme une mesure de sécurité, et vous informe que votre compte PayPal pourrait être en danger de piratage, ce qui pourrait résulter en un vol de vos avoirs ou son utilisation frauduleuse. Ironique vraiment, puisque le vol de vos informations est l’objectif qui se cache derrière le mail. Une fois encore, les criminels utilisent la peur comme facteur de motivation principal. La solution est simple : allez confirmer vos informations sur votre compte en suivant le lien fourni.

Pour un œil exercé, le message est un faux. Tout d’abord, PayPal utilise toujours le nom de compte enregistré lors de l’adressage de messages, de sorte qu’ils ne vous adressent jamais un e-mail de sécurité en utilisant un nom générique du type « clientèle Paypal ».

Deuxièmement, le message lui-même est une simple image. Le pirate a créé un lien vers son domaine, et utilisé une image à la place d’un lien texte que presque tout le monde utilise sur le Web.

L’utilisation d’une image permet de passer au travers de beaucoup de filtres anti-spam basiques. Le fait que le message a été relayé par un compte hacké qui n’a jamais envoyé de spam précédemment va également aider à éviter la détection.

Mais qu’advient-il si vous cliquez sur le lien?

Il est encore temps de faire marche arrière

Si pour une raison quelconque vous avez cliqué sur le lien, l’URL affichée devrait être une alerte suffisante pour mettre en échec cette tentative de phishing :

Phishing Paypal 4/11

L’adresse du site n’est pas sécurisée, l’accès n’est pas réalisé via HTTPS et le domaine N’EST clairement PAS un domaine contrôlé par PayPal. Vous êtes ici convié à saisir les identifiant /mot de passe de votre compte Paypal sur un site contrôlé par le pirate.


ATTENTION: l’URL indiquée dans cette image était active il y a seulement quelques semaines. N’essayez pas de la visiter. L’hébergeur a pris la la décision de déconnecter ce domaine depuis, mais rien ne garantit que cette URL ne pointe pas vers un nouvel emplacement dans le futur.


Vous avez entré votre identifiant et votre mot de passe?

Entrer votre nom d’utilisateur et mot de passe dans le champ de la diapositive précédente déclenche un certain nombre de contrôles par le script de Phishing créé sur ce domaine. A ce stade, votre nom d’utilisateur et mot de passe PayPal ont été volés. Ce n’est que le début du processus…

Phishing Paypal 5/11

Cet écran vous est familier? C’est normal. La couleur des images, le format des pages du site, et même la barre d’adresse remplie de lettres et de chiffres tout est conçu pour vous tromper et vous faire penser que vous êtes bien sur le site de PayPal. Rappelez-vous que ce n’est pas le cas. Le HTTPS: manquant est une preuve supplémentaire que Paypal n’a rien voir avec cette page.

Maintenant, passons à la partie qui intéresse nos pirates

Une fois l’écran de chargement disparaît, la deuxième partie de l’arnaque peut commencer. A ce stade, votre nom d’utilisateur et mot de passe PayPal ont été récupérés. Cependant il ne faut surtout pas que vous vous arrêtiez là.

Phishing Paypal 6/11

La meilleure façon de continuer à vous sentir menacé c’est de simuler l’incident technique avant de passer à l’étape suivante… Vous êtes donc invité à confirmer vos données de connexion.

Et si vous nous en disiez un peu plus sur vous?

Si vous acceptez et que vous confirmez, vous verrez apparaître cette nouvelle page. Le criminel va devenir capable de construire un profil basé sur vos informations personnelles. Les données recueillies pourront être vendues. Elles pourront aussi être utilisées pour des escroqueries ultérieures y compris pour voler votre identité.

Phishing Paypal 7/11

Le script a besoin d’informations et vous demande d’entrer vos informations personnelles détaillées avant d’en venir à son objectif principal. Le processus n’est pas encore arrivé à son terme.

Les détails de votre carte de paiement

Maintenant, le pirate a obtenu vos informations personnelles. Cette page va tenter d’obtenir des données financières, à savoir les détails de votre carte de crédit.

Phishing Paypal 8/11

Cette page, ainsi que tous les autres, a été conçue pour ressembler fidèlement à une page PayPal. Pour ceux qui savent qu’ils doivent rechercher un cadenas pour s’assurer que la page des données bancaires est bien sécurisée, mais qui ont oublié où ce cadenas doit apparaître sur la page, le message au bas de l’écran peut paraître rassurant. Bien évidemment, RIEN sur cette page N’EST SECURISE.

Mais pourquoi s’arrêter en si bon chemin?

La dernière part d’informations dont le criminel a besoin porte toujours sur vos données bancaires. Ce formulaire a deux fonctions :

  • d’abord il recueille vos données de connexion et votre numéro de compte à votre banque,
  • la deuxième est qu’il permet à l’escroc pour voir si recyclez vos mots de passe.

Phishing Paypal 9/11

S’il s’avère que le mot de passe PayPal est la même que celui permettant l’accès à votre compte bancaire, alors il y a de fortes présomptions que vous utilisiez le même mot de passe partout. Au pire, le criminel peut utiliser cette information pour réaliser d’autres escroqueries. Il pourra alors exploiter les informations recueillies pour accéder à d’autres comptes vous appartenant.

On est presque au bout du processus de phishing

Nous arrivons à la fin du processus. Tout a été conçu pour que vous pensiez avoir affaire à PayPal en essayant d’endormir votre méfiance. Hélas, à ce stade l’intégralité de vos informations bancaires, vos renseignements personnels, les détails de votre carte de crédit, et les données de connexion à votre compte PayPal sont entre les mains des pirates. Il n’y a pas de retour en arrière possible.

Phishing Paypal 10/11

Les choses doivent continuer à avancer pour ne pas éveiller votre méfiance. Cette page restera affichée seulement quelques secondes (une durée insuffisante pour que ayez le temps de cliquer sur l’un des trois boutons) avant que vous ne soyez redirigé vers le dernier écran.

Comme si rien ne s’était passé !

La dernière étape de l’escroquerie vous ramène sur le véritable site de PayPal. Si vous regardez bien la barre d’adresse, vous verrez que l’URL est en HTTPS:. La zone où le cadenas est présent comporte maintenant le nom de la société et apparaît en vert.

Phishing Paypal 11/11

Les précédentes images faisaient toutes partie de l’arnaque. Donc, le fait que le site web légitime PayPal apparaisse à la fin sur l’écran ne signifie absolument rien. Les écrans de saisie ont tous été récupérés et quelque part dans le monde, il y a un criminel qui abuse de vos informations de multiples façons créatives, sans aucun doute.

Quand on évoque l’hameçonnage,il est difficile de s’en protéger en permanence. Cependant, ce n’est pas une tâche impossible. En cas de doute, ne cliquez pas sur les liens ou les pièces jointes dans un courrier électronique. Et surtout n’allez pas visiter le site en question (par exemple PayPal) directement.

Rappelez-vous que le mail est le dernier des moyens de communication que les banques et les organismes financiers utilisent pour communiquer avec vous. En ligne, faites attention à la barre d’adresse. Vérifiez que vous êtes bien en  HTTPS lorsque vous êtes sur le point d’entrer des informations personnelles ou financières dans un formulaire.

Comment s’assurer contre ce type de danger?

Il n’y a pas de solutions technologiques fiables pour vous protéger contre ce type de menaces. C’est de la responsabilité de chacun et de chacune d’assurer la sécurité de l’information. La sécurité de l’information vous concerne tous, tant au niveau personnel qu’au niveau professionnel. Nous vous invitons donc à renforcer votre sensibilisation et celle des employés de votre Organisation. A cet effet, nous proposons des sessions de formations sur ce sujet avec les mesure de préventions associées. Ces mesures sont issues des normes et référentiels de bonnes pratiques tels que ISO 27001, ISO 27002, NIST CSF ou RESILIA.

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, PECB, EXIN et AXELOS  sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose régulièrement des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine. Ces formations peuvent être délivrées, en Français ou en Anglais. Nous les proposons dans le cadre de nos sessions publiques ou sur mesure en intra-entreprise   :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 (1 journée)

Toutes nos formations peuvent également être délivrées pour les informaticiens. Nous formons également les équipes de sécurité et les métiers sur l’ensemble de ces domaines. Nos accréditations nous permettent de délivrer des certifications  reconnues au niveau international.

Pour tout complément d’information ou pour vous abonner à notre newsletter, merci de bien vouloir compléter le formulaire de contact :

Tous les écrans illustrant cet article sont extraits de la revue CSO.

 

 

Encore un piratage d’opérateur mobile

Après le piratage, début octobre, de l’opérateur télécom T-Mobile aux USA, c’est au tour de l’opérateur britannique TalkTalk d’avoir été victime d’une « cyberattaque » révélé en fin de semaine dernière. Cette cyber-attaque a permis à des hackers de mettre la main sur un fichier complet de 4 millions de clients, données bancaires comprises. Apparemment, elle a été suivie d’une demande de rançon adressée à la Directrice Générale de l’opérateur.

Opérateur Talk Talk piraté

L’opérateur de télécom britannique TalkTalk, qui fournit de la télévision payante, des services de téléphonie fixe et mobile ainsi que d’accès à internet, a reconnu jeudi, avoir été victime d’une  « cyber-attaque significative et durable » sur son site internet, après l’avoir fermé mercredi sans explications. Des données personnelles, et non des moindres, de 4 millions de clients auraient potentiellement été dérobées par les hackers, a avoué la Directrice Générale de la compagnie, Dido Harding. Les informations piratées inclueraient le nom, l’adresse et les coordonnées bancaires des clients de Talk Talk.

piratage Talk Talk 1/2

Piratage Talk Talk 2/2

Un piratage suivi d’une demande de rançon

La Directrice Générale de TalkTalk s’est présentée vendredi devant les caméras de la BBC pour présenter ses excuses, et expliquer qu’elle avait reçu un e-mail de demande de rançon venant du hacker ou du groupe de hackers présumés. Elle est tentée d’y voir un signe encourageant ; les hackers auraient du mal à dérober de l’argent directement à partir des données volées, et préféreraient faire du chantage auprès du fournisseur d’accès. Belle illustration de la méthode Coué!!

Dido Harding a également déclaré qu’elle ne pouvait pas garantir que toutes les données des clients qui ont été volées étaient cryptées et elle a admis que, avec le recul, l’entreprise aurait pu faire plus sur la sécurisation des données de ses clients. « La société va maintenant lancer une enquête interne« , a-t-elle déclaré.

Selon le site spécialisé The Register, l’accès aux données bancaires aurait pu être facilité par le fait que TalkTalk ne respecterait pas le standard PCI DSS qui fixe les normes de protection des données des numéros de carte de paiement. Dans un premier temps l’entreprise avait tenté d’expliquer le piratage par une simple attaque DDOS, qui n’explique en rien l’accès à des données sécurisées.

Une enquête a été ouverte par l’unité chargée de la cyber-criminilatité de la police de Londres ( Metropolitan Police Cyber Crime Unit) qui a indiqué être « au courant de spéculations sur les auteurs présumés » de l’attaque, sans les confirmer. Selon un ancien enquêteur de cette unité du cybercrime de Scotland Yard interviewé par BBC Radio 4, les auteurs « prétendent être en Russie et être un groupe jihadiste cyber-islamiste« .

Attention aux tentatives d’hameçonnage

Une page web dédiée, sur le site web de l’opérateur, a été consacrée à la communication sur cet incident. Le Directeur de la Relation Clients  de TalkTalk Tristia Harrison a cherché à rassurer les clients sur le fait que l’entreprise est «en train de prendre toutes les mesures possibles » afin de garder leurs informations en toute sécurité alors que, de l’aveu même de TalkTalk, les données n’étaient pas complètement cryptées.

Cette page web mentionne par ailleurs, en caractères gras:

« S’il vous plaît, soyez bien conscient que TalkTalk n’appelle JAMAIS ses clients pour leur demander de fournir des informations bancaires sauf si vous nous avez déjà donné explicitement l’autorisation de le faire ». Il s’agit clairement d’une mise en garde des clients contre des tentatives redoutées d’hameçonnage (phishing), phénomène extrêmement fréquent sur lequel nous vous avons mis en garde sur notre blog il y a encore quelques jours.

Cet avertissement est probablement une réaction aux incidents de février dernier, dans lequel les coordonnées des clients de Talk Talk, volées lors du piratage affectant l’un des partenaires de l’opérateur, ont été utilisées pour extorquer de l’argent par téléphone aux clients de TalkTalk.

Malheureusement, ce ne sont pas les seules fois où TalkTalk a été victime de cybercriminalité. En Août dernier, Carphone Warehouse a subi une cyber-attaque sur son système informatique conduisant à un vol de données affectant 2,4 millions de clients de Dixon Carphone incluant, par ricochet ceux qui avaient souscrit un abonnement à TalkTalk Mobile.

Des conséquences fâcheuses à prévoir pour l’opérateur

L’affaire pourrait avoir des conséquences beaucoup plus fâcheuses pour l’opérateur et pour ses clients. Le lendemain de la révélation de l’incident, le titre de TalkTalk perdait près de 10 % en bourse, les investisseurs anticipant logiquement une perte de confiance des clients envers un opérateur qui, visiblement, n’a pas correctement crypté et sécurisé les données bancaires de ses abonnés, qui sont les informations les plus sensibles (à cet égard le piratage d’Orange en 2014, qui avait fait 1 million de victimes, était beaucoup moins grave).

Par ailleurs, la législation Britannique est, à ce niveau, beaucoup plus contraignante que la législation des pays francophones qui reste très en retrait sur ce type de problèmes. L’opérateur britannique risque en effet, s’il se confirme que ses données clients n’étaient pas correctement cryptées, de devoir payer une amende importante (plus de 200.000 €) sur demande de l’ICO (Information Comissioner’s Office).

La survie même de l’opérateur est menacée car la dégradation de son image risque fort de lui coûter la perte de bon nombre de ses clients, sans parler des coûts directs et indirects pour se remettre de l’attaque subie.

A titre de comparaison, le coût de la cyber-attaque subie par TV5 Monde en Avril dernier s’évalue d’ores et déjà, selon son Directeur Général Yves Bigot, entre 4,3 et 5 millions d’Euros pour l’année 2015 et environ 11 millions d’Euros pour les trois prochaines années, pour un piratage aux impacts bien plus limités. La cyber-attaque du même type que Talk Talk, visant le distributeur TARGET aux USA fin 2013 et ayant exposé 40 millions de clients, aurait déjà coûté à l’Entreprise près de 500 millions de dollars en pertes consécutives à cet incident.

Comment ne pas en arriver là?

La clé pour ne pas en arriver à ce type d’incident est de prévoir, avant qu’une tentative de piratage n’ait lieu, plutôt que de réagir à postériori. La prévention commence par la sensibilisation de tout le personnel à la cyber-sécurité (voir notre article : 10 clés pour une sensibilisation réussie à la sécurité).

Il faut, bien entendu, également prendre les mesures techniques indispensables en vous appuyant sur vos équipes informatiques. Mais la première action consiste à sensibiliser votre Conseil d’Administration et votre Comité de Direction sur leurs responsabilités et les risques encourus par l’Organisation car c’est à leur niveau que se situent les responsabilités de prise des décisions d’investissement sur la cyber-sécurité et la cyber-résilience, et de rédaction des politiques de l’Entreprise, incluant bien entendu la politique de sécurité.

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS  sur les domaines de la Gouvernance, de la  sécurité et de la cyber-résilience vous propose des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine. Toutes sessions peuvent être organisées sur mesure pour votre Entreprise et se dérouler dans vos locaux ou de façon délocalisée, y compris sous forme de week-end :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)

Pour toute information complémentaire ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact :

10 clés pour une sensibilisation réussie sur la sécurité

Les cyber-menaces pesant sur votre entreprise sont généralement imputées à des personnes étrangères à l’Organisation ou à des programmeurs véreux insérant, dans vos applications, du code malveillant conçu pour exploiter les informations sensibles pour votre Entreprise, voler les données confidentielles de vos clients et / ou vous dérober de l’argent. Cependant, la menace de sécurité se situe le plus souvent à l’intérieur de l’Entreprise, lorsque c’est l’ignorance et / ou la négligence des employés qui ouvre la voie aux cybercriminels. La sensibilisation du personnel sur ces menaces est donc essentielle.

La sensibilisation du personnel est une priorité

Cet article, publié par AB Consulting, dans le cadre de notre participation au mois de la cyber-sécurité, est destiné à vous donner quelques pistes pour réussir une meilleure sensibilisation de vos employés à la cybersécurité.

La sensibilisation du personnel est une priorité

Il est important de former le personnel avant d’être victime d’une violation des données. Soyez proactifs. N’attendez pas pour réagir. Ecrivez des politiques, en partant du principe que vous serez attaqués, puis aidez les employés à comprendre ce qu’ils doivent faire (et ne pas faire) afin de préserver la sécurité de votre entreprise et d’améliorer sa cyber-résilience.

1. Parlez régulièrement de cyber-sécurité au personnel

La sécurité et la résilience ne sont pas des tâches réservées aux informaticiens et aux personnels des équipes de gestion de la sécurité. La cyber-sécurité est une responsabilité collective et tous les employés en sont personnellement responsables. Il faut donc les informer sur ces responsabilité de façon régulière :

  • Expliquez l’impact potentiel d’un cyber-incident sur les opérations de l’Organisation et insistez sur les obligations des employés, en particulier en ce qui concerne l’utilisation de téléphones mobiles,
  • Ne vous contentez pas d’une revue annuelle des politiques et d’une signature confirmant que chaque personne a lu et compris les politiques informatiques de l’Entreprise.

2. Les politiques s’appliquent à tous y compris le top management et les informaticiens

Les politiques sont écrites par les exécutifs de l’Entreprise (les membres du Comité de Direction). Les politiques de sécurité en font bien entendu partie. Les politiques doivent être appliquées par tout le monde au sein de l’organisation, y compris les membres du Conseil d’Administration, du Comité de Direction et les informaticiens :

  • Les cadres supérieurs sont souvent une cible parce que :
    • Ils ont accès à plus d’informations et à des informations plus sensibles que les autres,
    • Ils sont souvent plus vulnérables lorsqu’ils sont en déplacement hors des locaux de l’Entreprise. Les pirates le savent et ciblent régulièrement les cadres en déplacement,
    • L’IT fait souvent des exceptions aux règles pour eux car ils sont réticents à appliquer des règles qui s’appliquent au reste de l’Entreprise, se sentant, à tort, « au dessus des règles »,
    • Les dommages / gain financier peuvent être beaucoup plus grands,
  • Le personnel du département informatique est également vulnérable du fait de leurs droits d’accès privilégiés sur tout le réseau de l’Entreprise.

3. La résistance de la chaîne de sécurité est limitée à celle de son maillon faible

Expliquez au personnel que vous travaillez activement sur la sécurisation de l’infrastructure de l’organisation mais que la sécurité ne peut pas dépasser celle fournie par son maillon le plus faible, à savoir les personnes :

  • Encouragez la coopération, et pas seulement le respect des règles,
  • Créez des politiques suffisamment complètes pour couvrir tous les angles d’attaque possibles,
  • Reconnaissez et faites comprendre au personnel que tous les êtres humains ont des faiblesses et font des erreurs.

4. Organisez des sessions régulières explorant les angles des cyber-attaques

Organisez régulièrement des sessions de travail avec l’ensemble du personnel pour explorer ensemble tous les aspects des cyber-attaques potentielles , ce dès l’embauche de nouveaux employés et jusqu’à leur départ de l’Entreprise :

  • Au moment de l’embauche de nouveaux employés et avant qu’ils ne commencent à travailler au sein de l’Organisation, une sensibilisation à la cybersécurité doit faire partie de votre processus d’accueil, puis, durant toute leur vie au sein de l’Organisation, faire l’objet de sessions régulières de « rafraîchissement »,
  • Envisagez différents formats de sessions (par exemple : déjeuner d’apprentissage, happy hours, etc.),
  • Assurez-vous de l’utilité des ces sessions
    • La plupart des employés ont des PC à la maison et des parents qui ont aussi accès à internet,
    • Faites régulièrement référence à des sujets de l’actualité,
    • Utilisez les réseaux sociaux.

5. Attirez l’attention du personnel sur les risques liés à l’ingénierie sociale

La sensibilisation ne suffit pas. Il faut également attirer régulièrement l’attention de vos employés sur le fait qu’ils sont des cibles pour les activités d’ingénierie sociale et sur les façons de s’en protéger :

  • Au travail, méfiez-vous toujours des réseaux sociaux, blogs et liens suspects provenant de sources inconnues lorsque vous utilisez le système informatique de l’entreprise,
  • Beaucoup de cyber-incidents commencent par un simple appel téléphonique de quelqu’un se présentant comme un collègue posant des questions en apparence anodines en vue de collecter des informations sur la société et ses opérations,
  • Les cyber-criminels exploitant les faiblesses humaines n’en ont presque jamais l’apparence…

6. Formez les employés à reconnaître une cyber-attaque

Nous pouvons dire aujourd’hui, avec une quasi-certitude, que vous avez été, que vous êtes actuellement, ou que vous serez la victime d’une cyber-attaque. Il est quasiment impossible d’y échapper. La problématique reste bien évidemment de s’en protéger mais aussi de savoir détecter une cyber-attaque au moment où elle se produit afin de réagir rapidement pour la contenir. Cela nécessite clairement une sensibilisation du personnel sur le sujet :

  • Définissez et implémentez des politiques en partant du principe que vous serez piratés. N’attendez pas qu’une attaque se produise pour réagir,
  • Ayez un plan de réponse documenté en place pour les incidents de sécurité et assurez-vous qu’il est revu et mis à jour fréquemment,
  • Communiquez des instructions détaillées, pas à pas, sur ce qu’il faut faire si des employés croient reconnaître un cyber-incident,
  • Formez toujours le personnel avant qu’un cyber-incident ne se produise.

Les formations doivent inclure les règles spécifiques concernant le courrier électronique, la navigation sur internet, l’utilisation des appareils mobiles et des réseaux sociaux. N’oubliez pas de vous focaliser sur les règles de base en cas de suspicion d’une cyber-attaque :

  • Débranchez physiquement votre machine du réseau,
  • Informez immédiatement votre administrateur de tous les courriels suspects, de toute activité inhabituelle ou si vous avez perdu votre appareil mobile,
  • Si vous n’êtes pas capable de retrouver le numéro d’urgence pour prévenir l’informatique en moins de 20 secondes, commencez dès maintenant à le mémoriser.

7. Ne sanctionnez ni ne ridiculisez jamais un employé qui lève le drapeau rouge

Le personnel doit savoir que la cyber-sécurité est l’affaire de tous. Tout le monde peut faire une erreur. Ne ridiculisez jamais quelqu’un qui a émis de bonne fois une alerte injustifiée et bien sûr ne le sanctionnez pas.

  • Même si c’est une fausse alerte, il est important de ne pas décourager les employés de parler, au cas où une véritable cyber-attaque se produit réellement,
  • Si les fausses alertes se produisent trop souvent, améliorez votre méthode de formation.

8. Si un cyber-incident se produit, prévenez le personnel le plus rapidement possible

Lorsqu’un incident de sécurité se produit, la première urgence consiste à le reconnaître comme tel et à essayer de le contenir (action répressive) avant qu’il ne puisse se propager au travers du réseau de l’Entreprise. La seconde urgence, dès lors qu’il a bien été reconnu que vous êtes en présence d’un incident de sécurité, est d’en informer l’ensemble du personnel qui saura quelles sont les actions attendues de sa part :

  • Un manque de transparence ou la mauvaise gestion d’un cyber-incident peut augmenter de façon significative l’impact de l’événement,
  • Imposez des règles strictes sur la façon de communiquer au public et à la presse au sujet de tout incident,
  • Ayez un plan de communication interne et une stratégie de continuité en place avant que quelque chose ne se passe,
  • Envisagez la souscription d’une assurance concernant les cyber-incidents.

9. Testez régulièrement votre personnel sur ses connaissances en cyber-sécurité

  • Assurez vous de la pertinence de votre programme de sensibilisation pour leurs vies d’individus connectés
  • Faites plaisir aux membres du personnel en rendant ces tests à la fois ludiques et enrichissants, et n’hésitez pas à récompenser à l’aide d’incitations telles que des lots (goodies, …) pour les réponses les plus rapides.

10. Incitez, écoutez et répondez aux remarques

  • Forcez les employés à changer les mots de passe chaque semaine et à ne pas les écrire et les afficher dans leurs espaces de travail
  • S’il est trop difficile ou compliqué d’accéder à quelque chose qu’ils doivent utiliser dans le cadre de leur travail, ils trouveront des solutions de contournement moins sûres comme l’utilisation d’e-mails  personnelle, de clés USB et de collègues pour contourner les restrictions
  • Identifiez les causes des comportements dangereux.

Existe-t-il des programmes de sensibilisation standards?

Il existe, en effet des programmes de sensibilisation standards s’appuyant sur les principaux référentiels de bonnes pratiques et sur les normes en matière de sécurité de l’information (ISO 27001, ISO 27002) et de cyber-résilience (RESILIA) et de gouvernance du SI pour les dirigeants (COBIT).

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS  sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose des sessions de sensibilisation tout spécialement adaptées à des cibles spécifiques (dirigeants, personnels des métiers, informaticiens) et animées par un expert du domaine :

Sensibilisation à RESILIA (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)

Pour tout complément d’information ou pour vous inscrire à notre newsletter, merci de bien vouloir compléter le formulaire de contact :

DSI en 2015 : quel est le bon profil?

Responsable de la stratégie informatique de l’entreprise, le DSI n’a pas seulement besoin de connaissances en informatique. Il doit d’abord être un organisateur, un manager et un leader. Voire un visionnaire. Alors quel profil choisir pour ce rôle : informaticien expérimenté ou pas? Votre DSI est-il la personne qui convient pour ce poste?

réunion DSI

Le challenge de l’Entreprise du 21ème siècle réside dans sa capacité d’innovation face à un marché extrêmement dynamique sur lequel les positions compétitives sont en constante évolution. La mondialisation de l’économie apporte toujours plus de concurrence et toujours plus d’informations à compiler pour être à la hauteur du challenge. Dans un monde où l’information est la clé de la création de valeur, il est clair que la capacité de l’Entreprise à gérer cette information revêt une importance stratégique. Fini le temps où le département informatique ne servait que de support au Business. Aujourd’hui son rôle est plus orienté vers l’innovation et le leadership stratégique. Le rôle du DSI a donc considérablement évolué ces dernières années pour passer de celui d’un super-technicien capable de mettre en place une équipe de « pompiers » en charge de résoudre des incidents et de garantir la disponibilité des service IT aux métiers pour soutenir leur activité opérationnelle génératrice de valeur, vers celui de leader stratégique, capable de travailler avec les métiers sur de nouveaux axes de productivité s’appuyant sur la transformation permanente de l’Entreprise en vue de son adaptation à l’environnement concurrentiel.

Les compétences requises pour un DSI ont bien évidemment évolué dans ce sens. Le DSI du 21ème siècle est donc d’abord un stratège, un manager doté d’un fort leadership et un visionnaire capable d’imaginer avec les métiers de l’Entreprise quels seront ses marchés de demain, afin de permettre à ces derniers d’occuper ces nouveaux marchés avant leurs concurrents. Y a-t-il encore besoin d’être un informaticien pour occuper le poste de DSI? Rien n’est moins sûr.

Une révolution technologique et culturelle est en cours

La mobilité et le Cloud sont en train de remodeler de façon fondamentale l’informatique d’entreprise. Ils ont déjà changé la relation globale entre l’informatique et le reste de l’organisation. Cette nouvelle façon de gérer l’information est devenue à la fois un défi et une immense opportunité pour les DSIs, mais saisir cette opportunité exige un changement de culture, de mentalité et de compétences. Pour réussir, le DSI et le personnel du département informatique doivent travailler main dans la main avec le business dans un vrai partenariat basé sur une relation de confiance.

Age du boulierLes attentes de pouvoir travailler en utilisant les outils les mieux adaptés à leurs besoins, et la capacité de mener en parallèle des tâches personnelles et  des tâches de leur Entreprise au travail, mais aussi à la maison, tout en préservant la confidentialité des renseignements personnels sont devenues la norme pour une majorité d’employés.

Cette nouvelle organisation engendre des risques importants au niveau de la sécurité des informations et de la résilience de l’Entreprise. Il est donc vital que le DSI soit également un véritable gestionnaire des risques d’Entreprise afin d’inclure les aspects liés à la cyber-résilience dans sa stratégie.

Quel est le rôle d’un DSI?

COBIT® 5 décrit le DSI comme étant « le plus haut dirigeant de l’entreprise en charge de l’alignement des stratégies IT et des stratégies d’affaires. Il est également responsable de la planification, des ressources et de la gestion de la livraison des services informatiques ainsi que des solutions pour soutenir les objectifs de l’entreprise ».

En d’autres termes, son rôle, en coopération avec l’ensemble des membres du Comité de Direction, consiste à participer à l’élaboration des stratégies Business et à s’assurer que les stratégies IT sont bien « embarquées » (ou alignées) avec celles de l’Entreprise. La stratégie IT devra ensuite être validée et approuvée par le Comité Stratégique qui répond au Conseil d’Administration.

COBIT® 5 décrit le Comité Stratégique comme « un groupe de hauts dirigeants nommés par le conseil d’administration afin de s’assurer que ce dernier participe aux grands dossiers et décisions liés à l’IT, et qu’il en est tenu informé. Le comité est responsable de gérer les portefeuilles d’investissements en informatique, les services informatiques et les actifs informatiques en veillant à la création de valeur et que le risque soit géré. Le comité est généralement présidé par un membre du Conseil d’Administration et non par le Directeur du Système d’Information« .

Le DSI est chargé d’identifier les domaines potentiels de croissance qui auront un besoin accru du soutien informatique, et de diriger la conception et l’exécution d’une stratégie Informatique qui construit ces fonctions essentielles dans le domaine IT. En d’autres termes, le DSI a donc comme rôle d’élaborer la stratégie IT (« Responsible »), en alignement avec les stratégies Business en vue de satisfaire les objectifs de l’Entreprise qui eux-mêmes se déclinent de la mission qui lui a été assignée par le Conseil d’Administration. Le Comité Stratégique a, pour sa part, la charge de valider l’ensemble des stratégies et de s’assurer de leur alignement.

Une fois les stratégies validées, le DSI répond (est « Accountable ») de la livraison des solutions et des services définis dans la stratégie. Sa première responsabilité sera donc de rédiger et de faire appliquer la Politique Informatique. Pour cela il devra gérer les risques IT dans la limite de l’appétit du risque de l’Entreprise, négocier et implémenter des contrats complexes, notamment en matière de sous-traitance, transmettre la politique en vue de son application à son Senior Management qui la traduira en processus, et s’assurer de la résilience du système informatique, incluant les aspects de sécurité, d’intégrité et de confidentialité, ainsi que de s’assurer de la conformité légale et réglementaire.

Les aptitudes et compétences requises pour un DSI

Pour remplir son rôle, le DSI devra donc faire montre d’aptitudes et de compétences correspondant aux responsabilités qui lui sont assignées.

1. Alignement des stratégies du système d’information et des métiers de l’entreprise

Cela signifie être capable de:

  • Anticiper les besoins de l’entreprise à long terme
  • Améliorer l’efficacité et l’efficience des processus de l’organisation
  • Déterminer le modèle de système d’information et l’architecture d’entreprise alignés avec la politique de l’Organisation et assurer un environnement sécurisé
  • Prendre des décisions stratégiques pour la politique informatique au niveau de l’Entreprise, y compris au niveau des stratégies de sourcing
  • Faire preuve de leadership pour la construction et la mise en œuvre de solutions innovantes sur les long terme

2. Gouvernance du Système d’Information

Cela signifie être capable de:

  • Faire preuve de leadership concernant la stratégie de gouvernance informatique en communiquant, propageant et contrôlant les processus pertinents du département informatique entier
  • Définir, déployer et contrôler la Management des Systèmes d’Information en ligne avec les impératifs Business
  • Prendre en compte tous les paramètres internes et externes tels que la législation et le respect de normes de l’industrie pour optimiser les risques et le déploiement de ressources en vue de générer un bénéfice Business équilibré.

3. Gestion des relations avec les métiers

Cela signifie être capable de:

  • Identifier les relations clés qui devraient être initiées pour comprendre les exigences informatiques du Business
  • Promouvoir la vision et les opportunités que la technologie peut présenter pour l’entreprise, y compris la possibilité de transformation et son impact probable sur le Business
  • Diriger la conception d’une procédure pratique permettant de maintenir des relations positives avec le Business

4. Développement du Business Plan

Cela signifie être capable de:

  • Fournir un leadership stratégique pour le développement de Business Plans pour exploiter au mieux les capacités des technologie de l’information afin de répondre aux besoins des métiers
  • Considérer les modèles possibles et applicables de sourcing
  • Présenter une analyse coûts/bénéfices et des arguments justifiables à l’appui de la stratégie choisie
  • Communiquer et vendre le Business Plan aux parties prenantes de l’Enterprise en tenant compte des intérêts politiques, financiers, et organisationnels.

5. Management des risques métiers liés à l’informatique

Cela signifie être capable de:

  • Diriger la définition d’une politique de gestion des risques en tenant compte de toutes les contraintes possibles, y compris les questions techniques, économiques et politiques
  • Mettre en œuvre la gestion des risques au niveau du Système d’information grâce à l’application des politiques et procédures de gestion des risques
  • Évaluer les risques pour le Business de l’organisation, y compris au niveau d’Internet, du Cloud et des appareils mobiles
  • Documenter les risques potentiels et les plans de réponse.

6. Leadership et travail d’équipe

Cela signifie être capable de:

  • Renforcer l’engagement sur une vision partagée afin de fournir des services client de qualité
  • Encouragez les personnels à prendre des décisions de façon indépendante et à assumer le leadership dans leur domaine d’expertise
  • Vaincre, grâce à sa performance, à la confiance qui lui est faite et au soutien à son leadership
  • Créer un environnement dans lequel les membres de l’équipe sont des moteurs pour améliorer performances et la productivité
  • Veiller à ce que les liens appropriés / partenariats entre les équipes soient maintenues.

7. Gestion Financière

Cela signifie être capable de:

  • Assurer la gestion financière stratégique des finances, le financement du capital / hors trésorerie, l’amortissement des coûts de projet, la gestion d’exercice, la gestion du coût du capital.

Alors avez-vous le bon profil pour être DSI en 2015?

Compétences requises pour un DSILe DSI, par essence, doit absolument être membre du Comité de Direction car c’est à ce niveau que se situent les responsabilités de Gouvernance et de Stratégie. Au niveau du savoir être, il doit être capable de travailler en équipe avec les autres membres du Comité de Direction et savoir se concentrer sur ce qu’il convient de faire (la stratégie et la rédaction de politiques) plutôt que sur comment on va le faire (les processus et les procédures). Le « comment » relève de la responsabilité du Senior Management.

Sur la base des éléments décrits précédemment, il est clair que le DSI de 2015 n’est pas un « informaticien » ayant un profil technique et ayant gravi les échelons pour arriver à ce poste en fin de carrière. Il doit s’agir avant tout d’un stratège, d’un manager complet, d’un organisateur, d’un leader et d’un visionnaire. Ce type de profil ne correspond pas du tout au profil d’un ingénieur informaticien mais plutôt à celui d’une personne issue d’une grande école de management ou de commerce avec une expérience réussie de quelques années à un poste de senior manager ou de membre d’un Comité de Direction.

Quelques formations et certifications viendront idéalement compléter les aptitudes et les compétences du DSI, sur la base des référentiels de bonnes pratiques universellement utilisés dans ce domaine.

Voici quelques unes des formations et certifications typiquement destinées à un profils de DSI :

COBIT® pour le Board et les Exécutifs (1 jour) : les responsabilités de gouvernance et de management du système d’information et comment réaliser l’alignement avec les attentes des actionnaires/propriétaires, les objectifs de l’Entreprise et la Stratégie Informatique.

COBIT® 5 Foundation (3 jours) : les fondamentaux de la gouvernance et du management des systèmes d’informations, incluant comment en implémenter les facilitateurs et évaluer leur aptitude à supporter la mission de l’Entreprise.

RESILIA Foundation (3 jours) : les fondamentaux de la cyber-résilience, incluant la cyber-sécurité, et notamment comment intégrer la cyber-résilience dans la stratégie informatique.

ITIL® Service strategy (3 jours) : formation de niveau « intermediate » du cursus ITIL, la qualification Stratégie de Service (SS) est l’un des cinq modules du cycle de vie des services ITIL et vous fournit les conseils vous permettant de concevoir, développer et mettre en œuvre la stratégie de fournisseur de service en alignement avec la stratégie de l’Entreprise.

AB Consulting, seul Organisme de Formation Accrédité (ATO) par l’ISACA et AXELOS sur la totalité de ces domaines en Afrique, vous propose l’ensemble de ces formations et certifications. Nous pouvons également vous aider au travers de nos services de coaching et d’accompagnement sur ces aspects ainsi que réaliser à votre demande des évaluation d’aptitude de votre système de management ou de votre système de gouvernance.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact:

Voyageurs, une cible de choix pour les hackers

Beaucoup de cadres d’entreprises, en particulier des dirigeants, sont des voyageurs réguliers à travers le monde dans le cadre de leur emploi. Les pirates et les cybercriminels le savent parfaitement, ce qui constitue un facteur de risque que les entreprises ne devraient pas ignorer, d’autant que ces voyageurs disposent souvent d’accès privilégiés aux informations sensibles de leur Organisation.

Voyageurs d'affaires

Les adversaires sous la forme d’entreprises concurrentes, de gouvernements ou simplement de criminels ciblent tout spécialement les cadres supérieurs en déplacement d’affaires pour deux raisons essentielles : la personne et ce qu’elle représente, et l’information à laquelle elle a accès au sein de son Entreprise.

Alors même que les risques physiques évoluent peu, les risques liés à l’information ont progressé de façon importante durant ces dernières années. Il y a quelques années, le risque relatif à  l’information se limitait aux documents papier que le cadre transportait avec lui. Maintenant, non seulement le voyageur d’affaire transporte une beaucoup plus grande quantité de données sensibles sur une collection d’appareils numériques (smartphone, tablette, ordinateur portable), mais de plus, ces données peuvent être copiées rapidement, silencieusement et sans en déssaisir la victime qui, souvent, ne s’en rendra même pas compte.

Pire encore, les terminaux numériques offrent un accès immédiat et éventuellement à plus long terme sur les actifs de l’organisation au travers du réseau d’Entreprise. Les pirates ont la capacité d’extraire les données non cryptées ou faiblement cryptées à partir de tout appareil, y compris les communications à destination et en provenance de ces dispositifs, qu’ils peuvent même modifier physiquement  pour contrecarrer les meilleures mesures de sécurité et de cryptage.

Quelques règles de sécurité à l’usage des voyageurs

Dans le cadre du mois de la cyber-sécurité, AB Consulting vous présente un résumé des premières mesures de sécurité, les plus simples, que devraient prendre tous les voyageurs business afin de préserver la confidentialité et l’intégrité des données de l’Entreprise.

Faire preuve d’une extrême prudence avec les appareils mobiles

Cela peut sembler une évidence, mais l’un des plus grands risques de sécurité impliquant des cadres en déplacement est la perte ou le vol de leurs appareils mobiles ainsi que des données qu’ils contiennent.

Quelques facteurs font de cette menace un défi de taille. Le premier est que les gens ne savent plus se passer de leurs appareils, et ont tendance à vouloir les prendre avec eux où qu’ils aillent. Le second, c’est que, souvent, ils ne transportent pas seulement un appareil, mais plusieurs: smartphones, tablettes, ordinateurs portables, objets connectés (montre, …), etc.

Certains experts, comme Michael McCann, ancien chef de la sécurité des Nations Unies et maintenant président du fournisseur de services de sécurité McCann Services, recommandent que les dirigeants laissent systématiquement leurs appareils à la maison. Ceci est particulièrement vrai s’ils voyagent dans des pays à risques tels que la Chine par exemple. « Deuxième Conseil, assurez-vous que votre appareil est attaché à vous; ne le laissez jamais nulle part « , dit-il.

Tous les appareils mobiles doivent être équipés de technologies telles que la protection par mot de passe, le cryptage, la sauvegarde des données et l’effacement à distance des données stockées, dans le cas où le terminal viendrait à disparaître.

Verrouillez votre ordinateurLa perte d’ordinateurs portables et d’appareils mobiles, tels que les smartphones et les tablettes, continue d’être une menace importante, d’autant que beaucoup d’organisations n’ont pas encore mis en oeuvre le cryptage des données sur les terminaux portables. Compte tenu de la simplicité de l’activation du cryptage de l’appareil et des systèmes d’exploitation actuels, ceci devrait être une exigence minimale de protection des données pour tout cadre en déplacement professionnel.

Lorsque vous quittez votre chambre d’hôtel, une précaution élémentaire consiste à enfermer votre appareil mobile dans le coffre-fort de la chambre.

A l’extérieur du bureau, gardez toujours un œil sur votre ordinateur portable et prenez toujours soin de le verrouiller quand vous n’êtes pas en train de l’utiliser.. A l’aéroport ne le faites pas passer au scanner à rayons X si vous n’êtes pas prêt à passer vous-même le contrôle. Ne laissez pas votre ordinateur ou votre tablette sur votre table dans un café ou un restaurant si vous vous levez pour commander un café. Cela ne prend que quelques secondes pour dérober un appareil et disparaître.

Assurez-vous que les connexions à distance sur le réseau d’Entreprise sont sécurisées

Les cadres en déplacement se connectent de façon régulière avec le siège afin de vérifier leurs e-mails ou pour accéder à l’information de l’Entreprise, ce qui constitue un maillon faible potentiel. Une bonne idée consiste à utiliser un canal de communication sécurisé ou un réseau privé virtuel d’entreprise (VPN) sécurisé pour toutes les connexions réseau à distance.

Une autre bonne pratique consiste à utiliser l’authentification multi-facteur avec l’utilisation de jetons à usage unique pour accéder aux applications et services lors de déplacements professionnels. Par exemple, l’accès aux  applications critiques de l’Entreprise pourraient être sécurisé grâce à une  authentification à deux facteurs tels que la combinaison nom d’utilisateur / mot de passe et un jeton à usage unique.

En utilisant les connexions distantes cryptées et une authentification renforcée sur des réseaux identifiés, les dirigeants peuvent accéder avec un risque minimum aux données dont ils ont besoin pendant leur déplacement.

Soyez conscient de votre environnement

Les cadres en déplacement doivent en permanence avoir une bonne idée du moment où ils sont en danger potentiel du point de vue de la sécurité de l’information.

Lors de vos déplacements professionnels, il est important pour vous d’avoir conscience de la situation : à qui parlez-vous et avec qui partagez-vous de l’information? Qui sait où vous allez? Partager ces information avec les mauvaises personnes peut faire de vous une cible facile.

Des mesures de sécurité efficaces nécessitent, non seulement une prise de conscience de l’environnement, mais de faire preuve de prudence, de jugement et de bon sens. C’est particulièrement vrai quand un dirigeant d’entreprise doit, dans le même temps, s’acclimater à des cultures, des coutumes et des lois différentes.

Dans certains cas, les cadres voyageant à l’étranger pour le compte de leur entreprise doivent être conscients qu’ils peuvent être la cible de cyber-criminels, d’agences de renseignement, de terroristes ou même de concurrents de leur Organisation s’ils sont en possession ou simplement bien informés sur des informations confidentielles.

Cela signifie qu’il faut absolument éviter tout bavardage indiscret qui pourrait mettre le cadre ou son entreprise en difficulté par des personnes malveillantes. Grâce à des technologies de pointe, quelqu’un pourrait être à l’écoute des conversations sans que les parties ne s’en aperçoivent.

Voyageurs, attention à votre environnementNe laissez pas quelqu’un espionner par dessus votre épaule. Je ne compte pas le nombre de fois où j’ai pu lire tranquillement des informations confidentielles sur des présentations en préparation, des stratégies commerciales en cours d’élaboration ou des projets d’achat ou de vente d’actions, simplement en regardant à gauche, à droite ou sur la rangée de sièges devant moi, dans un avion, un train ou assis à la terrasse d’un café.

L’affichage d’informations confidentielles sur votre écran dans une zone publique sans utiliser un filtre de protection d’écran peut entraîner des fuites de données. Quelqu’un peut même vous observer et déterminer votre mot de passe ou lire des informations confidentielles permettant l’accès au réseau d’Entreprise.

Informez toujours le département sécurité ou l’IT de vos plans de voyage

Faites-leur toujours savoir que vous êtes en visite au Nigéria, à New York ou n’importe où vous allez.

La plupart des Organisations ont mis en place des politiques de sécurité qui déterminent le degré d’accès et l’approche que l’organisation juge appropriée, en relation avec son appétit du risque, pour chaque personne concernée. L’accès au données sensibles sera un facteur déterminant dans l’identification des mesures que vos responsables de la sécurité exigeront que vous preniez.

Si possible fournissez vos plans de voyage. Si vous avez un système de monitoring de la sécurité sur votre réseau, cela peut être utile pour les personnes de votre centre d’opérations de savoir où vous voyagez. Une tentative d’accès au réseau depuis Sydney, que vous avez quitté il y a juste deux jours, ne déclenchera la sonnette d’alarme que si les personnes de l’équipe sécurité sont informées que vous avez quitté la ville il y a deux jours, et que vous êtes maintenant à Singapour.

Appuyez-vous sur le renseignement en matière de menaces

Les cadres qui prévoient de voyager devraient utiliser les bulletins d’information sur les menaces, similaires aux bulletins de mise en garde disponibles sur les menaces physiques publiés par le ministère des affaires étrangères. Un tel réseau de renseignement pourrait être créé en utilisant des capacités d’analyse avancée pour intégrer les cyber-menaces et les informations géospatiales incluant les hôtels, les centres d’affaires, les réseaux et les endroits où des entités malveillantes et hostiles sont connues pour opérer.

Mot de passe fortLa connaissance de la nature et de la localisation physique de ces menaces permettra aux cadres de les éviter, réduisant ainsi le risque de piratage wifi et de points d’accès pour les téléphones mobiles, la surveillance et la capture du trafic, l’accès physique non autorisé aux appareils informatiques et l’installation de code malveillant et de systèmes de surveillance.

Les voyageurs d’affaires ne devraient seulement se connecter au Wi-Fi ou à des points d’accès à large bande que lorsque des authentifications et les détails de ces points d’accès sont pré-chargées sur leurs terminaux mobiles. Au retour du voyageur à son bureau, les appareils doivent être analysés afin de déterminer si, quand et comment ils ont été attaqués. Cette information peut ensuite être traitée par un moteur d’analyse et ajoutée aux futurs bulletins de renseignement sur les menaces.

N’oubliez pas la formation

Un programme de sensibilisation sur les risques de sécurité destiné aux cadres, et particulièrement aux dirigeants d’entreprise se déplaçant pour des raisons professionnelles est absolument indispensable. La sensibilisation à la sécurité doit être un processus de formation continue et non un événement ponctuel.

Une combinaison de formation en ligne de sensibilisation à la sécurité, de formation en présentiel ciblée  et une communication électronique fréquente permettent d’accroître la sensibilisation des personnels et notamment des cadres et dirigeants de l’Organisation.

AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS  sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose des sessions de sensibilisation spécialement conçues pour les membres du conseil d’administration et du comité de direction, animées par un expert du domaine :

Sensibilisation à RESILIA pour les dirigeants (2 formats : 4 heures ou 1 journée)

COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)

Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)

Pour plus d’information ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact :

Catégories

Archives

Calendrier

septembre 2018
L M M J V S D
« Août    
 12
3456789
10111213141516
17181920212223
24252627282930
%d blogueurs aiment cette page :