Dans le cadre d’une série de trois articles publiés à l’occasion de la Journée de la protection des données 2023 (voir les articles de Jakub Lewandowski et Thomas Bryant), Bill Mew affirme qu’il existe un véritable problème d’application de la loi : c’est un peu comme le « Far West » là-bas.
Les politiques, les cadres et les règles ne sont utiles que si elles sont respectées, tout comme les réglementations et les lois n’ont aucun sens si elles ne sont pas appliquées. Le problème dans le domaine de la protection des données et de la cybersécurité est que, là où des règles devraient être appliquées, elles sont souvent ignorées, et là où des lois ont été adoptées, leur application doit être renforcée.
Les RSSI (responsables de la sécurité des systèmes d’information) ont une tâche ingrate. Le personnel est généralement réticent à respecter les mesures de cyberhygiène que le RSSI cherche à mettre en place, mais lorsque leur manque de discipline entraîne une violation de la sécurité, ces collègues s’empressent de rejeter la faute sur le RSSI. De plus, alors qu’il existe des réglementations coûteuses et complexes à respecter ainsi que des règles strictes en matière de signalement des violations, les autorités, loin d’aider à gérer les incidents ou à appréhender les véritables coupables, se contentent d’utiliser ces signalements pour déterminer le montant des amendes.
Inadéquation fonctionnelle et culturelle
Si on leur posait la question, la plupart des collaborateurs s’accorderaient à dire que les cybermenaces constituent un enjeu majeur, mais dans leur travail quotidien, ils se concentrent sur des indicateurs axés sur le chiffre d’affaires ou le retour sur investissement (ROI). Ce sont ces indicateurs qui servent à évaluer leurs performances individuelles et celles de leur service, et sur lesquels s’appuient les politiques d’incitation mises en place à l’échelle de l’entreprise.
Le RSSI se concentre quant à lui sur le retour sur risque (ROR). En fonction du budget alloué et de la propension au risque de l’organisation, le RSSI s’attache à optimiser la sécurité et à minimiser les risques.
Le décalage entre l’approche axée sur le ROR (retour sur engagement) du RSSI et celle, axée sur le ROI (retour sur investissement), adoptée par la quasi-totalité des autres acteurs peut mettre le RSSI en conflit avec le reste de l’équipe de direction. Non seulement il risque de se retrouver isolé (ce que j’appelle la « CISOlation »), mais il peut également servir de bouc émissaire lorsque les choses tournent mal – même lorsque les avertissements ont été ignorés.
Incitations réglementaires perverses
Dans un article connexe, Jakub Lewandowski [LIEN] s’est penché sur la multitude de nouvelles lois en matière de protection de la vie privée et de cybersécurité qui devraient alourdir considérablement la charge réglementaire. Le problème est qu’une réglementation sans application n’est pas seulement inutile, mais aussi contre-productive. Après tout, seules les entreprises responsables se conformeront à ces réglementations, et pour elles, cela représente un coût ou une « taxe de conformité ». Quant aux entreprises irresponsables, elles choisissent souvent de ne pas respecter les règles. Si elles estiment que le risque de sanctions est faible, voire nul, cela constitue pour elles une source d’avantage concurrentiel à la fois économique et sans risque.
Le non-respect des réglementations est généralisé et émane des plus hautes sphères, comme en témoignent les nombreux articles de presse faisant état d’incidents liés aux données ou d’amendes infligées aux géants de la technologie. Ces amendes ne semblent pas avoir d’effet dissuasif ; elles sont au contraire considérées comme un coût supplémentaire par les géants de la technologie et par de nombreuses autres entreprises qui ont eu la malchance d’être victimes d’un incident lié aux données.
Une fois encore, les entreprises responsables qui ont fait de leur mieux pour prendre des mesures raisonnables, mais qui n’ont malheureusement pas pu empêcher des erreurs ou des attaques, courent le risque de se voir infliger une amende dès lors qu’elles signalent l’incident à l’autorité de régulation locale. À l’inverse, les entreprises irresponsables qui choisissent de ne pas se conformer à la réglementation éviteront tout simplement de signaler les incidents et tenteront plutôt de les dissimuler pour échapper aux amendes. Les amendes sont donc devenues davantage un indicateur tardif des déboires subis par les entreprises responsables que des comportements répréhensibles des entreprises irresponsables.
Bilan de l’inaction réglementaire
La plupart des entreprises « Big Tech », attirées par un régime fiscal favorable, ont choisi d’implanter leur siège européen en Irlande. L’autorité de régulation locale, la DPC Ireland, est donc chargée de veiller à ce qu’elles respectent le RGPD et d’autres réglementations similaires. Que ce soit en raison d’un financement insuffisant, d’une réticence à faire des vagues, ou simplement parce qu’elle est dépassée et submergée par le lobbying des entreprises « Big Tech », la DPC Ireland a été jugée inefficace pour leur demander des comptes.
Dans une affaire notable, l’absence de mesures de sa part à l’encontre de Facebook a finalement fait l’objet d’une décision de la Cour de justice de l’Union européenne dans le cadre des arrêts « Schrems I » et « Schrems II ». Comme elle s’est encore abstenue d’agir et d’appliquer ces arrêts, la DPC irlandaise a été sanctionnée par le Parlement européen par un vote de 451 voix contre 1. Lorsque de nouvelles pressions exercées par les régulateurs du reste de l’Europe l’ont finalement contrainte à agir après deux ans de retard, l’amende qu’elle a infligée à Facebook était si faible qu’elle a dû être multipliée par dix sous la pression des autres régulateurs.
La médiatrice européenne, Emily O’Reilly, a finalement ouvert une enquête sur le suivi par la Commission européenne de l’application des règles de protection des données en Irlande. Huit mois plus tard, le Conseil irlandais des libertés civiles (ICCL) a critiqué l’UE pour son incapacité persistante à contrôler correctement la mise en œuvre du RGPD en Irlande, alors que « les droits fondamentaux de tous les Européens sont en jeu ». Des initiatives sont désormais en cours pour retirer à l’Irlande sa responsabilité en matière de réglementation des entreprises « Big Tech » et centraliser cette mission de contrôle.
Une police internationale inefficace
Dans le même temps, le nombre et la complexité des cyberattaques augmentent de manière exponentielle, tout comme le coût des mesures correctives. Le Forum économique mondial (FEM) a récemment appelé non seulement à un recours plus généralisé aux « exercices d’alerte » en matière de cybersécurité afin de tester les capacités de cybersécurité et de réaction aux incidents, mais il défend également la nécessité de mettre en place des règles mondiales pour lutter contre la cybercriminalité.
On estime que les pertes causées par toutes les formes de cybercriminalité, y compris les coûts de Recovery et de réparation, se sont élevées à 3 000 milliards de dollars en 2015 et à 6 000 milliards de dollars en 2021, et qu’elles pourraient atteindre jusqu’à 10 500 milliards de dollars par an d’ici 2025.
L’assurance cyber n’est pas la solution. La hausse rapide des primes la rend inaccessible à la plupart des acheteurs, mais même ceux qui ont les moyens de se la payer estiment souvent qu’elle n’en vaut pas la peine. Par ailleurs, on ne peut pas s’attendre à ce qu’une assurance cyber couvre des problèmes systémiques ; de toute façon, elle a pour effet pervers de risquer d’aggraver encore davantage des problèmes déjà graves.
Alors que la quasi-totalité des nations ont adhéré aux accords des Nations Unies relatifs à la lutte contre la criminalité, y compris la cybercriminalité, certains pays ferment les yeux et offrent au contraire des refuges aux cybercriminels, leur permettant ainsi d’opérer en toute impunité. Si la plupart des actes de cybercriminalité proviennent de pays comme la Russie, l’Iran ou la Corée du Nord, ces activités ne se limitent pas à ces États voyous et se poursuivent bien plus près de chez nous. De plus, des pays comme la Chine mènent d’importantes opérations d’espionnage, et les États-Unis sont responsables d’une grande partie de la surveillance de masse à l’échelle mondiale – ce qui, dans l’ensemble, enfreint le RGPD et toute une série d’autres lois.
Il faut commencer par rendre obligatoire le signalement des violations de données et des cybervols. Cette démarche a déjà été engagée aux États-Unis avec la loi de 2022 sur le signalement des cyberincidents touchant les infrastructures critiques (Cyber Incident Reporting for Critical Infrastructure Act) et dans l’Union européenne avec la directive de 2018 sur la sécurité des réseaux et des systèmes d’information. Il existe toutefois toute une série d’autres réglementations qui imposent aux services de paiement par télécommunication, aux fabricants de dispositifs médicaux et aux fournisseurs d’infrastructures critiques de signaler les violations.
Une fois que nous disposerons de données plus précises sur ce problème, nous pourrons nous attacher à améliorer l’efficacité et l’efficience des enquêtes, des poursuites et des procédures judiciaires au niveau international. L’Office des Nations Unies contre la drogue et le crime met en œuvre un programme de lutte contre la cybercriminalité qui poursuit les objectifs suivants :
- Renforcer l’efficacité et l’efficience des enquêtes, des poursuites et des procédures judiciaires relatives à la cybercriminalité, en particulier l’exploitation sexuelle des enfants en ligne et les abus sexuels à leur encontre, dans le respect d’un cadre solide en matière de droits de l’homme.
- Une réponse efficace et performante à long terme de l’ensemble des pouvoirs publics face à la cybercriminalité, comprenant notamment une coordination nationale, la collecte de données et des cadres juridiques efficaces, débouchant sur une réponse durable et un renforcement de l’effet dissuasif.
- Un renforcement de la communication, tant au niveau national qu’international, entre les pouvoirs publics, les forces de l’ordre et le secteur privé, ainsi qu’une meilleure sensibilisation du public aux risques liés à la cybercriminalité.
Ce sont là des objectifs louables. Cependant, on est encore loin d’un monde où les victimes d’infractions pourraient appeler la police, qu’elle soit locale, nationale ou internationale, dans l’espoir d’obtenir une aide concrète ou de voir justice leur être rendue. La réalité est qu’en matière de cybercriminalité, à l’exception des spécialistes de la gestion des incidents du secteur privé, vous êtes livrés à vous-mêmes.
- Le personnel fait rarement preuve d’une discipline suffisante en matière de cyberhygiène
- Les autorités de régulation ne font pas preuve d’initiative pour repérer et lutter contre les cas de non-conformité
- Les criminels gagnent en assurance, en agressivité et en sophistication
- La police est dans l’impossibilité d’intervenir contre les criminels qui opèrent depuis des refuges sûrs
- Et les RSSI sont systématiquement désignés comme boucs émissaires lorsque les choses tournent mal
Dans cet environnement digne du « Far West », aucune cavalerie ne viendra à votre secours ; vous devez donc être suffisamment armé et prêt à vous défendre. Inspirez-vous de l’article de Thomas Bryant pour découvrir comment gérer au mieux cette situation. Rien ne remplace une cybersécurité et une réponse aux incidents bien maîtrisées.
