Dans le climat actuel où les cyberattaques font de plus en plus la une des journaux, aucune organisation n’est à l’abri de l’anxiété suscitée par cette menace. Certaines études indiquent que 64 % des entreprises dans le monde ont été victimes d’au moins une cyberattaque au cours de l’année écoulée. Cependant, cette “cyber anxiété” ne se traduit pas par des actions concrètes en matière de cybersécurité au plus haut niveau du management de la hiérarchie. De plus, selon un sondage réalisé auprès de dirigeants d’entreprises, 65 % d’entre eux estiment que, malgré leurs investissements, leur organisation demeure exposée au risque d’une attaque matérielle au cours des 12 prochains mois. Il est donc évident que malgré les discours rassurants de nombreuses organisations sur la priorité accordée à la cybersécurité, cet engagement n’est pas véritablement ressenti par les dirigeants. Cependant, il existe des moyens pour les organisations de renforcer leur résilience face aux cyberattaques et de rétablir la confiance au sein du conseil d’administration.
Un nouveau paysage des menaces
Tout d’abord, il est utile de rétablir le contexte de la cybersécurité tel qu’il se présente aujourd’hui. Si de nombreuses organisations sont conscientes des risques liés à l’ingénierie sociale, comme les e-mails de phishing, et mettent en place des formations et des outils de filtrage, cela ne suffit plus à assurer une sécurité totale. En effet, les attaques contournant les systèmes d’authentification multi-facteurs (MFA) se multiplient. Ces attaques, qui combinent l’ingénierie sociale et d’autres techniques de piratage, contournent les dispositifs de MFA et mettent en évidence les limites de cette méthode de protection. Même les grandes marques et les fournisseurs de services cloud, tels qu’Uber, Reddit et Twilio, ont été récemment touchés.
Il convient également de prendre en compte un nouvel élément : la montée en puissance des outils d’intelligence artificielle générative qui rendent plus facile que jamais l’automatisation et la création d’e-mails de phishing extrêmement convaincants. Face à ces nouvelles menaces, il est primordial de prendre des mesures préventives efficaces.
Et si l’on pouvait éviter l’inévitable
Une interrogation majeure émerge : si des mesures préventives existent, pourquoi ces attaques continuent-elles ? Cela s’explique en partie par le manque de dialogue entre les membres du conseil d’administration et les responsables de la sécurité des systèmes d’information (RSSI). Moins de la moitié des membres du conseil d’administration interagissent régulièrement avec les RSSI, et près d’un tiers ne les rencontrent qu’à l’occasion de présentations. Ce manque de dialogue témoigne du peu d’attention et de responsabilité accordées à la cybersécurité. Les RSSI sont souvent conscients des défis, mais ils se retrouvent souvent sans les ressources, le financement ou le soutien nécessaires pour apporter des changements significatifs. Cette situation est encore plus préoccupante dans les petites organisations, où les équipes informatiques peuvent travailler en isolation et être incapables d’influencer les décisions stratégiques.
Vers une organisation proactive : passage à l’action
Il devient nécessaire de changer de perspective. La cybersécurité ne doit pas être considérée comme relevant uniquement du département informatique, mais comme une question stratégique et organisationnelle majeure. Il est également important d’aborder la cybersécurité lors de réunions non techniques et d’encourager les discussions sur ce sujet. En remettant en question les informations présentées, en partageant des anecdotes personnelles ou en félicitant activement ceux qui s’impliquent dans les changements organisationnels, les dirigeants peuvent amorcer un véritable changement.
Si la menace que représentent les dommages à la réputation et aux finances en cas d’attaque ne suffit pas à susciter une action, il est important de considérer les exigences réglementaires futures. Les meilleures pratiques en matière de cybersécurité et de MFA résistante aux attaques de phishing pourraient devenir des exigences réglementaires, en particulier pour les fournisseurs de services cloud qui doivent protéger les actifs numériques de leurs clients. Anticiper ces demandes futures en investissant dès maintenant dans la cybersécurité permettra aux entreprises de rester compétitives sur le marché.
Il est grand temps de changer la culture de la peur qui entoure la cybersécurité au sein du conseil d’administration. Les dirigeants doivent se sentir à l’aise pour aborder le sujet de la cybersécurité et doivent accorder à cette question l’importance qu’elle mérite. En prenant des mesures concrètes et en investissant dans des solutions préventives, les entreprises peuvent renforcer leur résilience face aux cyberattaques et protéger leurs intérêts à long terme.
