In the inaugural episode of Commvault’s « Continuous Compliance» de Commvault, Danielle Sheer, Chief Trust Officer, a reçu Howard Holton, directeur des opérations (COO) de GigaOm, pour une discussion sur l’évolution du paysage de la conformité, les vulnérabilités des infrastructures critiques, ainsi que les implications de la perte de données et de la cybersécurité.
Cette discussion, à la fois enrichissante et stimulante, a apporté des points de vue précieux sur la manière dont les organisations peuvent mieux se protéger et protéger leurs données dans un monde de plus en plus numérique. Regardez l’épisode completici.
L’évolution de la perception de la conformité
La conformité a longtemps été considérée comme une fonction administrative, une simple case à cocher sur une liste de tâches à accomplir. Or, cette mentalité a rendu les infrastructures critiques extrêmement vulnérables, faute d’avoir accordé suffisamment d’attention au respect des normes architecturales appropriées. Danielle a souligné l’importance de considérer la conformité comme un aspect essentiel de la sécurité et de l’intégrité de l’organisation.
Il établit une comparaison frappante entre la conformité physique et la conformité numérique, en soulignant que, si un incident physique tel que la présence de viande de bœuf avariée peut entraîner des conséquences immédiates et graves, un incident numérique tel qu’une fuite de données touchant 300 millions de personnes pourrait ne pas avoir les mêmes répercussions.
Cette disparité et ce manque de sens de l’urgence face aux problèmes de sécurité numérique soulignent la nécessité de sanctions plus sévères et de cadres réglementaires plus stricts afin que les organisations prennent la conformité au sérieux.
“The CEO should face the worst penalties, the chairman of the board second. That would change things overnight,” Howard suggested.
The EU’s General Data Protection Regulation (GDPR) was cited as a model for the United States to follow. GDPR has had a significant impact on compliance, with more fines in its first year than in the entire history of HIPAA in the U.S. The success of GDPR underscores the importance of federal involvement in creating a unified regulatory framework for cybersecurity in the U.S.
L’évolution du rôle du RSSI
Le rôle du RSSI devient de plus en plus essentiel pour faire le lien entre l’expertise technique et la prise de décision au plus haut niveau. Danielle et Howard ont souligné que le RSSI devait occuper un poste au sein du conseil d’administration et entretenir une communication régulière et transparente avec celui-ci.
“If your CISO is not in front of your board on a minimum of a quarterly basis, you don’t have a CISO,” Danielle said. “And if you are not letting your CISO talk to the board on a minimum quarterly basis and really deliver useful information and be as open and transparent as possible, you don’t have a security program.”
Howard a également préconisé une composition équilibrée du conseil d’administration, avec 60 % de titulaires d’un MBA et 40 % de spécialistes techniques. Cet équilibre permettrait aux membres du conseil d’administration de mieux comprendre les défis liés à la cybersécurité et d’y répondre plus efficacement.
The CISO’s role in incident response and strategic planning is also critical. “The greatest way to make change is to have a smart CISO at your organization when you go through a ransomware attack. Everybody just goes, ‘Oh crap, we should have listened,’ and this is what we’ll do,” he observed.
La complexité des réglementations propres à chaque État
La mosaïque de réglementations propres à chaque État aux États-Unis pose des défis majeurs pour une mise en conformité efficace en matière de cybersécurité. Danielle a expliqué qu’en matière de conformité, les États-Unis s’apparentent en réalité à 51 pays, chaque État ayant la possibilité d’adopter ses propres lois.
Cette complexité peut être source de confusion et entraîner une mise en œuvre incohérente des mesures de sécurité. Les intervenants ont plaidé en faveur d’une intervention fédérale visant à harmoniser la réglementation, ce qui faciliterait la mise en conformité des organisations et permettrait d’adopter une approche plus cohérente et plus efficace en matière de cybersécurité.
Le potentiel de l’IA dans la gestion de l’information
AI has the potential to significantly disrupt industries, but this potential is contingent upon the quality and maturity of an organization’s data management practices.
“AI accelerates everything so insanely much that there’s nothing that accelerates potential the way AI can accelerate potential,” Howard said.
Companies with mature data management and high-quality data have a first-mover advantage in the AI-driven landscape. “If your data quality isn’t up to snuff and your organizational maturity around your data just is not there, it’s going to cost you potentially everything,” he warned.
Points clés à retenir
- La conformité, une fonction essentielle : la conformité doit être considérée comme un aspect essentiel de la sécurité et de l’intégrité de l’organisation, et non comme une simple tâche administrative. L’absence de normes adéquates dans les logiciels a entraîné des risques de sécurité importants.
- Des sanctions plus sévères s’imposent : la disparité entre les sanctions infligées en cas de manquement aux règles de sécurité physique et celles infligées en cas de manquement aux règles de sécurité numérique met en évidence la nécessité d’une application plus stricte et plus cohérente des normes de sécurité numérique. Des sanctions sévères à l’encontre des PDG et des membres du conseil d’administration pourraient être le moteur d’un changement significatif.
- Elevating the CISO: The CISO’s role should be elevated to a board-level position, with regular and transparent communication. A balanced board composition, including technologists, can help address cybersecurity challenges more effectively.
- Normalisation fédérale : la complexité des réglementations variant d’un État à l’autre entrave la mise en conformité effective en matière de cybersécurité. L’intervention du gouvernement fédéral est nécessaire pour mettre en place un cadre réglementaire unifié et normalisé.
- AI and data quality: AI has the potential to accelerate organizational capabilities, but this potential is contingent upon the quality and maturity of an organization’s data management practices. Companies with high-quality data have a significant advantage.
