Dans le premier épisode du podcast « Continuous Compliance » de Commvault, Danielle Sheer, Chief Trust Officer, a reçu Howard Holton, directeur des opérations (COO) de GigaOm, pour une discussion sur l’évolution du paysage de la conformité, les vulnérabilités des infrastructures critiques, ainsi que les implications de la perte de données et de la cybersécurité.
Cette discussion, à la fois enrichissante et stimulante, a apporté des points de vue précieux sur la manière dont les organisations peuvent mieux se protéger et protéger leurs données dans un monde de plus en plus numérique. Regardez l’épisode complet ici.
L’évolution de la perception de la conformité
La conformité a longtemps été considérée comme une fonction administrative, une simple case à cocher sur une liste de tâches à accomplir. Or, cette mentalité a rendu les infrastructures critiques extrêmement vulnérables, faute d’avoir accordé suffisamment d’attention au respect des normes architecturales appropriées. Danielle a souligné l’importance de considérer la conformité comme un aspect essentiel de la sécurité et de l’intégrité de l’organisation.
Elle établit une comparaison frappante entre la conformité physique et la conformité numérique, en soulignant que, si un incident physique tel que la présence de viande de bœuf avariée peut entraîner des conséquences immédiates et graves, un incident numérique tel qu’une fuite de données touchant 300 millions de personnes pourrait ne pas avoir les mêmes répercussions.
Cette disparité et ce manque de sens de l’urgence face aux problèmes de sécurité numérique soulignent la nécessité de sanctions plus sévères et de cadres réglementaires plus stricts afin que les organisations prennent la conformité au sérieux.
« C’est le PDG qui devrait encourir les sanctions les plus lourdes, suivi du président du conseil d’administration. Cela changerait la donne du jour au lendemain », a suggéré Howard.
Le Règlement général sur la protection des données (RGPD) de l’Union européenne a été cité comme un modèle à suivre pour les États-Unis. Le RGPD a eu un impact considérable sur la conformité, avec davantage d’amendes infligées au cours de sa première année d’application que pendant toute l’histoire de la loi HIPAA aux États-Unis. Le succès du RGPD souligne l’importance d’une implication du gouvernement fédéral dans la mise en place d’un cadre réglementaire unifié en matière de cybersécurité aux États-Unis.
L’évolution du rôle du RSSI
Le rôle du RSSI devient de plus en plus essentiel pour faire le lien entre l’expertise technique et la prise de décision au plus haut niveau. Danielle et Howard ont souligné que le RSSI devait occuper un poste au sein du conseil d’administration et entretenir une communication régulière et transparente avec celui-ci.
« Si votre RSSI ne se présente pas devant votre conseil d’administration au moins une fois par trimestre, c’est que vous n’avez pas de RSSI », a déclaré Danielle. « Et si vous ne permettez pas à votre RSSI de s’adresser au conseil d’administration au moins une fois par trimestre pour lui fournir des informations réellement utiles et faire preuve d’autant d’ouverture et de transparence que possible, c’est que vous n’avez pas de programme de sécurité. »
Howard a également préconisé une composition équilibrée du conseil d’administration, avec 60 % de titulaires d’un MBA et 40 % de spécialistes techniques. Cet équilibre permettrait aux membres du conseil d’administration de mieux comprendre les défis liés à la cybersécurité et d’y répondre plus efficacement.
Le rôle du RSSI dans la gestion des incidents et la planification stratégique est également essentiel. « Le meilleur moyen d’opérer un changement, c’est d’avoir un RSSI avisé au sein de votre organisation lorsque vous êtes victime d’une attaque par ransomware. Tout le monde se dit alors : “Oh mince, on aurait dû l’écouter”, et c’est exactement ce qu’on va faire », a-t-il fait remarquer.
La complexité des réglementations propres à chaque État
La mosaïque de réglementations propres à chaque État aux États-Unis pose des défis majeurs pour une mise en conformité efficace en matière de cybersécurité. Danielle a expliqué qu’en matière de conformité, les États-Unis s’apparentent en réalité à 51 pays, chaque État ayant la possibilité d’adopter ses propres lois.
Cette complexité peut être source de confusion et entraîner une mise en œuvre incohérente des mesures de sécurité. Les intervenants ont plaidé en faveur d’une intervention fédérale visant à harmoniser la réglementation, ce qui faciliterait la mise en conformité des organisations et permettrait d’adopter une approche plus cohérente et plus efficace en matière de cybersécurité.
Le potentiel de l’IA dans la gestion de l’information
L’IA a le potentiel de bouleverser profondément les secteurs d’activité, mais ce potentiel dépend de la qualité et de la maturité des pratiques de gestion des données d’une organisation.
« L’IA accélère tout à un rythme tellement effréné qu’aucun autre facteur n’est capable d’accélérer le potentiel comme elle le fait », a déclaré Howard.
Les entreprises dotées d’un système de gestion des données abouti et de données de haute qualité bénéficient d’un avantage de précurseur dans le paysage de l’intelligence artificielle. « Si la qualité de vos données n’est pas à la hauteur et que votre organisation n’a pas encore atteint la maturité nécessaire en matière de données, cela pourrait bien vous coûter très cher », a-t-il averti.
Points clés à retenir
- La conformité, une fonction essentielle : la conformité doit être considérée comme un aspect essentiel de la sécurité et de l’intégrité de l’organisation, et non comme une simple tâche administrative. L’absence de normes adéquates dans les logiciels a entraîné des risques de sécurité importants.
- Des sanctions plus sévères s’imposent : l’écart entre les sanctions infligées en cas de manquement aux règles de sécurité physique et celles infligées en cas de manquement aux règles de sécurité numérique souligne la nécessité d’une application plus stricte et plus cohérente des normes de sécurité numérique. Des sanctions sévères à l’encontre des PDG et des membres du conseil d’administration pourraient être le moteur d’un changement significatif.
- Renforcer le rôle du RSSI : le poste de RSSI devrait être élevé au rang de membre du conseil d’administration, avec une communication régulière et transparente. Une composition équilibrée du conseil d’administration, incluant des experts en technologie, peut contribuer à relever plus efficacement les défis liés à la cybersécurité.
- Normalisation fédérale : la complexité des réglementations propres à chaque État entrave la mise en conformité effective en matière de cybersécurité. L’intervention du gouvernement fédéral est nécessaire pour créer un cadre réglementaire unifié et normalisé.
- IA et qualité des données : l’IA a le potentiel d’accélérer les capacités organisationnelles, mais ce potentiel dépend de la qualité et de la maturité des pratiques de gestion des données d’une organisation. Les entreprises disposant de données de haute qualité bénéficient d’un avantage considérable.
