La cyber-résilience est bien plus qu’un simple mot à la mode : c’est un élément essentiel de la stratégie d’entreprise. C’est ce qu’affirme Rosa Kariger, experte de renom en cybersécurité, qui s’est récemment entretenue avec Sanjay Mirchandani, président-directeur général de Commvault, dans le cadre du podcast « Resilience Uncompromised ». Rosa revient sur son expérience en tant que RSSI chez Iberdrola et dans le domaine de la cybersécurité au Forum économique mondial, et partage des réflexions précieuses sur la manière dont les organisations peuvent instaurer une culture de la cyber-résilience.
Comprendre la cyber-résilience en tant que risque opérationnel
La cyber-résilience ne se résume pas à la mise en place de systèmes robustes de reprise après sinistre et de Backup and Recovery. Elle consiste à permettre à votre entreprise de continuer à fonctionner et à fournir des services essentiels même lorsque votre infrastructure informatique est compromise. Rosa souligne que la cyber-résilience doit être intégrée à votre stratégie globale de gestion des risques. Cela implique de considérer la cybersécurité comme un levier stratégique pour l’entreprise, et non comme un simple défi technique.
L’importance de la préparation
La préparation est la pierre angulaire de la cyber-résilience. Rosa insiste sur la nécessité d’envisager différents scénarios, en particulier dans les situations où vous pourriez perdre toute connectivité. Il est essentiel de disposer d’un plan B pour les fonctions critiques de l’entreprise. Cela permet à votre organisation de maintenir ses activités et de continuer à servir ses clients en cas de cyberincident.
Des responsabilités et une obligation de rendre compte clairement définies
Pour instaurer une culture de cyber-résilience, il faut définir clairement les responsabilités et les obligations de rendre compte. Rosa souligne que chaque collaborateur, en particulier ceux qui déploient des technologies, doit être tenu responsable de la cybersécurité de ses processus. La cybersécurité ne doit pas être la responsabilité exclusive du RSSI ou des équipes informatiques. Elle doit au contraire être une responsabilité partagée par l’ensemble de l’organisation.
Les professionnels techniques devraient être incités à veiller au respect de la cybersécurité, car ils sont responsables de la qualité, de l’efficacité et du coût des technologies sur lesquelles ils travaillent. Cette approche place la cybersécurité au cœur même des activités de l’entreprise et garantit qu’elle ne soit pas considérée comme un élément secondaire.
Le rôle de la fonction de cybersécurité
La fonction de cybersécurité doit jouer un rôle de conseil et constituer une deuxième ligne de défense. Cela implique de fournir des orientations et des informations à l’organisation, tandis que les responsabilités spécifiques en matière de cybersécurité sont intégrées au sein des équipes techniques et opérationnelles. Ce faisant, la fonction de cybersécurité peut apporter une vision stratégique et un soutien, contribuant ainsi à créer une organisation plus résiliente et plus sûre.
Mesures concrètes pour renforcer la cyber-résilience
Instaurer une culture de cyber-résilience ne se résume pas à la mise en œuvre de technologies de sécurité de pointe ; il s’agit avant tout de favoriser un état d’esprit dans lequel chaque collaborateur comprend les enjeux de la cybersécurité et s’en sent responsable. Voici quelques mesures concrètes et des exemples tirés de la pratique pour aider les organisations à atteindre cet objectif :
- Intégrer le risque cyber dans la gestion globale des risques : cela signifie que les risques liés à l’utilisation des technologies sont identifiés, acceptés et gérés à tous les niveaux. Ainsi, les collaborateurs sont mieux préparés à faire face aux incidents cybernétiques, ce qui permet d’assurer la continuité des activités même en cas de défaillance technique.
- Renforcer la préparation : organisez régulièrement des simulations de perte totale de connectivité ou d’autres perturbations majeures. Cela permet d’accroître la résilience de l’organisation face aux défaillances. Par exemple, un établissement financier pourrait simuler un scénario dans lequel toutes les transactions numériques sont interrompues et où les employés doivent recourir à des processus manuels pour poursuivre leurs activités.
- Définir clairement les rôles et les responsabilités : veillez à ce que chaque équipe, y compris les équipes techniques et opérationnelles, ait des responsabilités bien définies en matière de cybersécurité. Cette répartition des responsabilités incite chacun à veiller au maintien de la sécurité. Par exemple, dans un contexte industriel, un ingénieur travaillant à la numérisation d’un processus devrait être responsable de la cybersécurité de ce processus, et pas seulement le RSSI.
- Proposer une formation adaptée : la formation est essentielle pour permettre aux employés de gérer efficacement les risques liés à la cybersécurité. Les professionnels techniques doivent être formés afin de comprendre et d’atténuer les risques liés à la cybersécurité dans le cadre de leurs fonctions spécifiques. Cela permet de s’assurer qu’ils disposent des connaissances nécessaires et sont capables de mettre en œuvre les mesures de protection requises.
- Mettre en œuvre une stratégie de « continuité » : élaborer un plan B pour assurer la continuité des activités en cas de perturbation de l’infrastructure informatique. Cela peut passer par la mise en place de systèmes de secours, de processus manuels ou de canaux de communication alternatifs. Par exemple, un établissement de santé pourrait prévoir de recourir à des dossiers papier et à des procédures d’enregistrement manuelles en cas de panne de son système de dossiers médicaux électroniques.
En suivant ces étapes, les organisations peuvent instaurer une solide culture de cyber-résilience. Cette approche permet à chacun d’être prêt à gérer les incidents cybernétiques, à assurer la continuité des activités et à protéger les informations sensibles.
La cyber-résilience est un parcours, pas une destination. En intégrant la cybersécurité à vos pratiques de gestion des risques, en favorisant une culture de la responsabilité et en veillant à ce que votre personnel soit bien préparé et informé, vous pouvez contribuer à créer une organisation résiliente, prête à relever n’importe quel défi. Restez proactifs, restez informés et restez résilients.
