Cyber Storytelling : Communiquer les risques au conseil d’administration et au-delà

Les conseils d’administration évaluent les risques sous l’angle financier et opérationnel. Un langage axé sur l’entreprise clarifie les conséquences et favorise la prise de décisions éclairées. 

L’identité des attaquants, leurs cibles, la probabilité d’incidents et l’impact potentiel sur le compte de résultat, l’image de marque et les opérations. 

En s’appuyant sur des exemples concrets de ransomware, en quantifiant les coûts liés aux temps d’arrêt et en attribuant les risques à des entités opérationnelles spécifiques. 

Les incidents de cybersécurité affectent les chaînes d’approvisionnement, les clients, la conformité et le chiffre d’affaires, ce qui rend indispensable une responsabilité partagée. 

Les contrôles en place, les plans de Recovery, les lacunes et l’état de Readiness – le tout expliqué en langage commercial afin d’instaurer la confiance. 

Veuillez visionner la vidéo ici pour consulter la transcription horodatée

Bonjour, bienvenue dans le podcast « Shift ».

Je m’appelle Melissa Hathaway et je suis accompagnée de mes amis, John Zangardi et Shawn Henry.

Nous sommes ici pour discuter de la manière dont on communique les risques au conseil d’administration.

Nous aborderons également quelques cas très intéressants liés à la cybersécurité.

Merci beaucoup d’être là, j’ai hâte de commencer cette discussion.

Que veulent entendre les conseils d’administration lors de leurs réunions ?

Qu’attendent-ils du RSSI et que souhaitent-ils savoir concernant les risques numériques ?

Vous savez, chaque fois que je m’apprête à m’adresser au conseil d’administration,

je commence toujours par aborder les risques à un niveau global.

Je pense que le conseil d’administration entend souvent dire qu’il y a beaucoup de problèmes.

Ils en parlent avec des amis au dîner.

Ils entendent d’autres conseils d’administration, dont ils font partie, dire que c’est un problème, mais ils n’en ont pas
forcément une compréhension détaillée et n’ont pas besoin d’une

.

Je pense qu’ils ont simplement besoin de comprendre qui sont les acteurs, ce qu’ils
exploitent et, surtout, quel en est l’impact.

Et s’ils parviennent à cerner tout cela,

alors ils pourront commencer à comprendre comment l’entreprise se prépare au mieux, comment le RSSI
protège réellement l’entreprise pour atténuer les risques.

Les membres du conseil d’administration savent ce qu’est le risque, qu’ils évoluent dans le secteur des services financiers ou
qu’ils aient été confrontés au risque toute leur vie : ce sont des professionnels.

Et si vous leur présentez les choses en ces termes, c’est un excellent moyen de mettre tout le monde sur la même longueur d’onde et
de fournir un cadre permettant d’avoir des discussions beaucoup plus approfondies sur la manière dont l’

entreprise s’améliore pour garantir sa sécurité.

Je siège donc à plusieurs conseils d’administration et je pense que tout ce dont Shawn vient de parler est
tout à fait logique.

Du point de vue de la personne qui reçoit ces informations, ce que j’apprécie particulièrement, c’est que, dans le cadre du comité d’audit et des risques
, le RSSI intervienne lors de cette réunion et présente les éléments dont

Shawn en parle, à l’intention du conseil d’administration, dans le cadre de cette réunion du comité
d’audit et des risques.

Il est vraiment important qu’il aborde les risques.

Il aborde les questions suivantes : quelle est la probabilité que cela se produise ?

qu’un événement grave se produise et quelles en seraient les conséquences, n’est-ce pas ?

En termes commerciaux simples, cela affecte-t-il notre marque, notre réputation ? Il doit également
expliquer à l’ensemble du conseil d’administration comment il pourrait gérer ces situations.

Il s’agit donc de sensibiliser le conseil d’administration aux risques auxquels
il est confronté, dans un langage qu’ils comprennent, car on ne peut pas s’attendre à ce que chaque membre du conseil soit un expert en informatique.

N’est-ce pas ?

Il existe donc des angles morts, et je pense que c’est le rôle du RSSI de commencer à les mettre
en lumière.

Je siège à plusieurs conseils d’administration et j’interviens régulièrement devant de nombreux conseils.

Je considère toujours qu’il ne s’agit pas d’un problème informatique.

C’est une question de risque d’entreprise.

Et nous devons garder à l’esprit que toutes les entreprises sont des entreprises numériques.

Et comment allons-nous, quel est l’état de santé de l’entreprise aujourd’hui ?

Et en réfléchissant à ces termes clés du monde des affaires :

Comment communiquer concrètement sur les risques du point de vue du résultat net (PNL) ?

Et je pense que bon nombre de nos professionnels dans ce domaine considèrent cela comme un
simple problème technologique et ne traduisent pas réellement en termes commerciaux le fait que si ce système critique pour l’entreprise

système tombe en panne et qu’il se trouve dans ce PNL précis, cela va nous coûter tant
d’argent par jour, sans vraiment traduire cela en termes métier.

Avez-vous constaté des réussites dans ce domaine, Shawn ?

Je pense que c’est devenu beaucoup plus facile ces dernières années.

Les ransomwares ont rendu cela

accessible à tout le monde.

On peut voir, lorsqu’un rançongiciel frappe une entreprise en particulier, que celle-ci est à l’arrêt pendant
deux jours, deux semaines ou deux mois, et quel en est le coût, ce qui est souvent

rendus publics.

Nous avons vu des exemples récents avec Jaguar au Royaume-Uni, aux États-Unis, et de très
nombreuses autres entreprises qui ont été touchées de cette manière.

Je pense que le rôle du RSSI est de soutenir l’activité de l’entreprise.

On y parvient avant tout en la sécurisant,

mais il faut également veiller à ne pas restreindre ni entraver ses activités.

Je pense que lorsque le risque dont nous parlons ici est communiqué de manière efficace, le conseil d’administration et les autres dirigeants,
qui font partie intégrante des opérations, en ont une bien meilleure

compréhension et une meilleure prise de conscience, et qu’ils sont disposés à procéder à des ajustements s’ils prennent
conscience des répercussions à long terme.

Sa quantification devient donc plus facile, car les données sont beaucoup plus répandues de nos jours.

Alors Shawn, laisse-moi ajouter quelque chose à cela.

La confiance, c’est quelque chose de difficile à gagner, mais facile à perdre, n’est-ce pas ?

Et dès qu’un incident survient, quand ce « ciseau » apparaît et commence à évoquer
le problème et le Risk, c’est déjà trop tard.

Il n’y a pas de confiance.

La confiance se construit au fil des interactions, n’est-ce pas ?

Quand il intervient, les membres du conseil d’administration le connaissent bien, ils connaissent son approche, ils
ont l’habitude de traiter avec cette personne, ils ont observé le comportement qui en découle.

Ainsi, lorsque ce problème survient – ce qui arrivera à tout le monde, car l’informatique
est omniprésente, on en trouve dans toutes les entreprises aujourd’hui –, il faut s’assurer qu’

il règne un climat de confiance entre la personne qui informe le conseil d’administration des risques et le
conseil lui-même.

Et dans tout cela, c’est le PDG qui est responsable en dernier ressort.

Donc, même si je dis que c’est au RSSI de s’en charger, c’est le PDG qui en porte
la responsabilité en dernier ressort.

Mais cela ne concerne pas uniquement le PDG, le RSSI, le DSI ou le directeur des données.

Il s’agit d’une responsabilité globale.

Alors, comment parvenir à cette aisance qui permet de comprendre que tout cela concerne l’entreprise et que vous
faites intervenir le responsable de la protection de la vie privée, que vous faites intervenir le service informatique, que vous

faites intervenir l’équipe chargée de la transformation numérique ?

Le PDG peut alors traduire ces enjeux au conseil d’administration, et cela devient vraiment une question de responsabilité collective
plutôt que de responsabilité individuelle.

Je pense donc que

lorsqu’on parle de responsabilité, il doit y avoir une personne qui en assume la responsabilité.

Dans ce cas précis, c’est peut-être le RSSI qui en est responsable.

Mais cette responsabilité doit être incarnée.

Et tous les membres de l’organisation doivent reconnaître et comprendre qu’il s’agit d’un travail d’équipe
et que chacun y joue un rôle.

Tout le monde est responsable, et une violation grave ou un incident majeur aura
des répercussions sur l’ensemble des membres de cette organisation.

Il y a donc bel et bien une responsabilité et une obligation partagées.

Mais le RSSI, je pense qu’il faut une personne qui en assume la responsabilité,

qui contribue à définir l’orientation stratégique, qui est chargée de veiller à ce que des mesures
soient prises et que cette stratégie soit mise en œuvre avec succès.

Mais il ne fait aucun doute qu’il s’agit d’une réponse de l’ensemble de l’entreprise, qui ne concerne pas seulement les dirigeants, mais chaque
membre de l’organisation, car tous sont des utilisateurs.

Ils utilisent tous un clavier, ils traitent tous des données, ils sont tous responsables, d’une manière ou d’une autre, de
l’alimentation des bases de données.

Chacun doit reconnaître et comprendre que :

que, dans mon organisation, la sécurité passe avant tout.

Nous nous mobilisons et chacun reconnaît qu’une faille de sécurité aura un impact catastrophique
sur l’ensemble du groupe.

C’est donc bien dit.

Il faut qu’il y ait un seul responsable.

La personne responsable à qui vous vous adressez, celle qui coordonne l’exercice.

Mais de nombreux conseils d’administration tiendront une séance à huis clos à laquelle les membres de l’entreprise et le PDG ne seront
pas présents.

Et c’est là que la discussion aura lieu.

Et c’est parfois dans le

les conseils d’administration manquent d’expertise, c’est dans le domaine de la cybersécurité, dans le domaine informatique.

Et je pense qu’il est important que les conseils d’administration disposent également de cette expertise en leur sein.

Et je le dis sur le ton de l’ironie, ne le prenez pas mal, mais suivre une formation de la NACD sur la cybersécurité
ne fait pas d’un membre du conseil d’administration un expert dans ce domaine particulier.

Je pense qu’il est vraiment utile pour un conseil d’administration d’avoir en son sein quelqu’un qui, lorsqu’un incident survient

et qu’il se trouve en séance à huis clos, il y ait au sein du conseil une personne issue de
l’entreprise – là où il peut y avoir une légère rupture de confiance – capable de faire le relais et de présenter les faits

au conseil de manière plus compréhensible ou qui puisse les aider à formuler les questions qu’ils
posent.

Oui, donc si je devais résumer cela, il faut désigner un membre du conseil d’administration pour vous
aider, et peut-être aussi, en collaboration avec le PDG, pour jouer le rôle d’interprète au cours de la réunion et réaffirmer

le fait qu’ils ont tous une responsabilité fiduciaire vis-à-vis de la protection de l’entreprise.

Et c’est là le mot clé : « responsabilité fiduciaire ».

Alors, franchement, pourquoi ne pas avoir un ancien RSSI, un ancien DSI ou quelqu’un de ce genre
au sein de votre conseil d’administration pour vous aider à réfléchir à ces questions lors des séances à huis clos ?

Tout à fait d’accord.

D’accord.

Donc, quand on commence à réfléchir à tout ça, j’essaie toujours, quand je veux cerner la
situation, de me concentrer sur ce qui se passe réellement.

Vous savez, on a

on a été victime d’une demande de rançon.

Du coup, on est complètement hors ligne et ça nous coûte beaucoup d’argent à l’heure et à la journée
.

Et comme tu l’as dit, Shawn, il y a plusieurs exemples où l’on voit des entreprises qui
sont hors ligne depuis près de trois mois et qui ne peuvent plus assurer leur activité : elles ne paient pas leurs

fournisseurs, elles ne paient pas, elles ne vendent pas leurs produits, etc.

Et ensuite, la question se pose : « Et maintenant ? Que devons-nous faire ? Comment nous en
sortir ? »

Pourriez-vous donc commencer par nous parler de certains indicateurs

que vous trouvez utiles pour communiquer cela ?

Pour moi, il s’agit en quelque sorte des systèmes hérités, du matériel et des logiciels qui
ne sont plus pris en charge et qui sont 100 % vulnérables 100 % du temps.

Mais quels sont les indicateurs que vous trouvez utiles, Shawn ?

Je pense donc que, euh, lorsque l’on fournit
des indicateurs, l’objectif du RSSI n’est, selon moi, que de montrer au conseil d’administration que des progrès sont réalisés en matière de

sécurité globale de l’organisation.

Ainsi, si le mois dernier

nous avions X vulnérabilités non corrigées,

nous avons réduit cet écart ce mois-ci et nous expliquons pourquoi cela se produit.

Et si ce n’est pas le cas, il faut alors se poser des questions.

Les indicateurs doivent donc être mesurables et utiles pour démontrer
que le programme progresse.

Je pense à des éléments tels que la capacité de l’entreprise à détecter les attaques.

Exactement.

Il faut avoir une bonne visibilité sur ce qui se passe.

Voici donc ce que nous sommes en mesure de détecter.

La rapidité de réaction.

Quel est le délai nécessaire pour réagir, remédier au problème ou en atténuer les effets après la détection ?

Parvenons-nous à réduire ce délai ?

L’IA et l’analyse de nombreux autres vecteurs d’attaque nous ont appris que l’incapacité à identifier, détecter et réduire rapidement
ce délai entraîne une faille de sécurité.

Cela arrive régulièrement.

Nous avons vu des attaquants rester sur des réseaux pendant des mois, voire des années, sans être détectés.

Voici quelques-uns de ces indicateurs.

Cette question de vulnérabilité est cruciale.

J’apprécie vraiment ce que vous avez dit : un système obsolète, qui n’est plus pris en charge,
sans correctifs, 100 % vulnérable, 100 % du temps.

Est-ce que cela nous convient ?

Car si c’est le cas,

cela constituera une négligence grave en cas de violation.

Vous saviez qu’il était vulnérable et vous avez choisi de ne rien faire pour y remédier ; il a été piraté
et cela a entraîné ces conséquences.

Ce n’est pas acceptable.

Je tiens donc à ce que le conseil d’administration soit rassuré quant aux progrès réalisés.

Pour rebondir sur ce qu’a dit John, si vous avez des personnes qui sont de purs hommes d’affaires, sans aucune
expérience en matière de sécurité, elles comptent vraiment sur la confiance qu’elles accordent au RSSI.

En soi, je ne pense pas que ce soit approprié.

Il faudrait disposer d’une personne dotée d’une certaine expertise, capable de faire valoir son point de vue de manière constructive et
professionnelle.

Mais il faut… il faut démontrer que nous progressons et que nous sommes mieux protégés.

J’aimerais donc ajouter que tout ce que « nous » faisons est fantastique.

Je voudrais ajouter une chose à cela.

Et je pense que cela touche en quelque sorte à la formation.

Et vous m’avez entendu parler de l’aviation bien trop souvent.

Mais dans l’aviation, quand on part en mission et qu’on a un mauvais vol ou un incident, on procède à une analyse immédiate (« hot wash »).

On

revient en arrière et on examine la cause profonde de ce qui s’est passé.

Et cela peut être une raison technique, ou d’autres raisons.

Mais je pense qu’il est important, lorsqu’un incident se produit, que le conseil d’administration soit convoqué
et qu’on lui explique ce qui s’est passé.

Voici pourquoi cela s’est produit.

Voici comment nous nous en sommes sortis.

Voici les conséquences que nous avons subies : perte de chiffre d’affaires, atteinte à
notre réputation, ou quoi que ce soit d’autre.

Et la raison, c’est que,

nous le savons tous, on apprend davantage de ses erreurs que de ses succès.

Je ne minimise donc pas la situation, mais je pense que c’est un élément important à intégrer dans
la formation et la sensibilisation de votre conseil d’administration.

J’aime donc toujours utiliser des exemples et des études de cas réels, et l’histoire qui m’a le plus marqué ces
dernières semaines, c’est le braquage du Louvre.

On a donc perdu, vous savez, 10 millions de dollars en bijoux, voire peut-être davantage, n’est-ce pas ?

Et donc, le Louvre

utilisait du matériel et des logiciels non pris en charge dans l’ensemble du musée, et il en était conscient.

Et les mots de passe étaient « Louvre » puis « Thales », qui était l’entreprise censée
assurer la sécurité du site.

Donc 100 % vulnérable, 100 % du temps, avec un mot de passe facile à deviner, et boum, les bijoux ont disparu
.

Avez-vous d’autres anecdotes marquantes de ce genre que vous pourriez
citer en exemple ?

Vous pouvez

les rendre anonymes, en disant par exemple : « C’était une mauvaise journée, c’était grave et embarrassant. »

Le mot de passe, c’était « Louvre » ?

C’était… Je suis en train de rédiger ça cette semaine.

Je ne savais pas ça.

Ça figurera dans ma newsletter cette semaine.

Je ne pense pas avoir quelque chose d’aussi gênant.

Je suis désolé.

Mais, tu sais, je vais revenir à ce dont je parlais tout à l’heure.

Vous savez, qu’apprend-on de ces expériences ?

Et j’ai eu le privilège d’observer de nombreux incidents informatiques au cours de ma carrière au sein du
gouvernement.

Et, vous savez,

lorsque vous travaillez au ministère de la Défense et qu’un incident survient alors que vous leur vendez des produits, le Cyber Command va
s’immiscer fortement dans votre vie.

La manière dont vous devez gérer la situation – car il est important de la gérer – consiste à faire preuve de
transparence et à dire : « Voici les erreurs que j’ai commises. »

Je détesterais devoir dire au Cyber Command : « Bon, notre mot de passe était “Le Louvre” », mais il faut
pouvoir y accéder.

Les conséquences sont très lourdes lorsque vous vendez au gouvernement, car

le Cyber Command émettra un ordre de mission.

Il s’agit en gros d’un remplacement complet : tous les composants et services seront progressivement
supprimés.

Il est donc très important de jouer cartes sur table lorsque l’on traite avec ce genre d’interlocuteurs.

Et je pense que cela s’applique également aux clients.

Si l’on revient sur l’affaire SolarWinds, dont tout le monde sait qu’elle fait désormais partie de notre
vocabulaire courant, et que l’on examine la manière dont elle a été gérée et comment les choses se sont déroulées,

il y a beaucoup de

choses qui ont mal tourné – je ne m’étendrai pas sur ce sujet –, mais si vous examinez
le chiffre d’affaires de l’entreprise depuis le jour où cela s’est produit jusqu’à aujourd’hui, elle est toujours en activité, c’est

une entreprise qui fonctionne : son chiffre d’affaires a augmenté car elle a pris les mesures nécessaires – aussi difficiles
soient-elles et malgré les nombreux faux pas commis – pour s’améliorer, et le produit se vend même si « SolarWinds »

soit généralement perçue comme un concept peu flatteur.

Abordons brièvement la question de la sécurité des produits, car de nombreuses entreprises

ne se considèrent pas forcément comme des entreprises de sécurité.

Elles n’ont donc peut-être pas investi dans la sécurité dudit produit.

Nous observons donc souvent ce scénario : je m’attaque à un produit, j’en compromette l’intégrité
, puis j’atteins de nombreux autres clients qui comptaient vraiment

compter sur elles pour faire ce qu’il fallait : investir dans la sécurité, s’assurer de mettre sur le marché un
produit de qualité, veiller à ce qu’il bénéficie de mises à jour, etc.

Alors, comment raconter l’histoire d’

quand un produit a perdu son intégrité et que l’on sait ce que l’on attend de l’entreprise, comment présenter cette situation au conseil d’administration alors
que je n’ai pas le pouvoir de décision en matière de budget ?

Je pense donc que vous avez mentionné SolarWinds, et NotPetya en est un autre exemple.

Il y a eu des cas plus récents où le produit a été compromis.

Je pense que c’est l’un des risques et que le RSSI doit en exposer clairement les implications au conseil d’administration.

Je pense que cela soulève également

un aspect intéressant concernant la continuité des opérations.

Et la question n’est pas seulement de savoir où se situent nos vulnérabilités.

Car nous sommes tous vulnérables d’une certaine manière.

Où sommes-nous vulnérables ?

Qui nous prend pour cible ?

Pourquoi nous prend-il pour cible ?

Quelles en sont les conséquences ?

Si l’une de ces situations se produit, ou si elles se produisent toutes, comment s’en remettre ?

À quoi ressemble notre résilience ?

Et quel est notre plan pour nous assurer de pouvoir reconstruire l’entreprise et regagner la confiance ?

À quoi cela ressemble-t-il ?

Et cela doit constituer un élément essentiel des communications du RSSI au conseil d’administration.

Toute entreprise est susceptible d’être confrontée à un incident.

Il peut s’agir de quelque chose d’aussi simple qu’un ordinateur portable égaré.

Il peut s’agir d’un cas comme celui de Jaguar, où l’ensemble de l’entreprise est à l’arrêt pendant
des mois et perd des centaines de millions, voire des milliards de dollars.

Comment l’entreprise réagit-elle ?

Qui en est responsable ?

Comment communiquez-vous à ce sujet ?

D’un point de vue technique, comment faites-vous appel à

des organisations externes et des partenaires pour vous aider à y parvenir ?

C’est un autre élément important pour rassurer le conseil d’administration sur le fait que notre entreprise
dispose du meilleur plan possible.

La première chose que nous voulons faire, c’est nous assurer que tout est sécurisé.

En cas de problème, nous devons nous assurer de disposer d’un plan pour y remédier.

C’est en quelque sorte une sécurité à 360°, car il n’y a pas de résilience sans sécurité, ni
de sécurité sans résilience.

Bien dit.

Et je pense que la résilience est un

élément essentiel dont nous devrions parler un peu plus en détail.

J’ai écrit de nombreux articles sur la monoculture logicielle et la dépendance vis-à-vis d’un seul
fournisseur de logiciels.

Je ne citerai pas de noms.

Si vous êtes prévoyant, vous veillerez à mettre en place une certaine redondance pour
garantir votre résilience.

Ces questions sont donc assez complexes à mettre en œuvre.

Je ne m’attends pas à ce que de nombreux conseils d’administration soient capables de maîtriser ces questions, mais je pense qu’il est
important qu’un RSSI fasse preuve d’une transparence suffisante,

et qu’un DSI soit suffisamment transparent pour expliquer les précautions qu’ils ont prises, comment ils ont conçu
l’infrastructure afin de s’assurer qu’ils ont anticipé les différentes situations d’urgence qui

pourraient se produire.

Et qu’ils ne dépendent pas trop d’un seul fournisseur pour leurs logiciels.

Oui, la continuité d’activité, la reprise après sinistre… J’aime les appeler « catastrophes numériques ».

Et le défi réside dans le fait que, même si j’étais chargé de la sécurité, c’est quelqu’un
d’autre qui est responsable de la restauration et de la remise en service de l’ensemble du système.

Cela soulève donc la question suivante : comment dois-je me préparer, ou comment dois-je élaborer ces scénarios et organiser
des exercices sur table impliquant le conseil d’administration ?

Je sais, Shawn, que tu as mené plusieurs exercices.

Oui, je pense que nous avons mené des exercices avec les équipes opérationnelles, le RSSI et son équipe,
mais aussi plus largement avec l’ensemble de la direction, et enfin avec le conseil d’administration.

Je pense que l’essentiel, dans ce genre de situation, c’est la sensibilisation et de leur faire comprendre les enjeux.

Et puis, d’un point de vue pratique, il s’agit d’essayer de déterminer qui est responsable de quoi.

Je peux te dire que j’ai participé à ces exercices.

J’en ai même dirigé certains.

L’un de ceux qui m’ont le plus marqué et qui a eu le plus d’impact pour moi – et cela remonte à assez longtemps,
probablement huit ou dix ans –, c’est lorsque j’ai eu un entretien avec une grande institution financière et que le

directeur des opérations de cette organisation était présent, ainsi que

20 ou 30 personnes dans la salle : le RSSI ainsi que de nombreux techniciens, le DSI et le directeur technique.

Lorsque nous avons présenté le scénario d’attaque fictif et les événements qui avaient en réalité affecté la
plateforme de trading de cette institution financière, je me souviens que le directeur des opérations a regardé, au bout de

table en direction du RSSI : « Est-ce que cela pourrait vraiment arriver ? »

En désignant la présentation PowerPoint, il a demandé : « Est-ce que cela pourrait vraiment arriver ? »

Et le RSSI a acquiescé.

Il était sous le choc.

Puis nous avons examiné

Bon, alors, à quoi ressemble la réponse ?

Eh bien, oh, c’est Mary qui s’en charge.

En fait, Mary est en vacances cette semaine.

Qui la remplace ?

C’est Dave.

Dave ne travaille plus dans l’entreprise.

J’ai trouvé ça incroyable, mais c’est le genre de choses qui ressortent quand on fait ce
genre d’exercices, et c’est particulièrement vrai pour un conseil d’administration qui peut ainsi

voir toutes les répercussions en cascade et constater à quel point de nombreux éléments sont en jeu.

Et cela les aide vraiment à comprendre, à apporter leur soutien

et de fournir des ressources, ainsi que de prendre conscience de l’importance de tout cela, je pense, et c’est ce que cela apporte.

Nous en avons parlé tout à l’heure : c’est un véritable sport d’équipe.

Eh bien, le conseil d’administration fait partie de l’équipe, car en fin de compte, ses membres partagent le même
objectif que tous les membres de l’entreprise : ils veulent que l’entreprise réussisse et réponde aux attentes de ses

clients.

Je pense donc que ces exercices sont importants et qu’ils apportent une grande valeur ajoutée à l’ensemble du processus
dont nous parlons.

Je suis donc d’accord, et nous avons tous entendu parler de la « courbe d’apprentissage ».

La première fois qu’un événement se produit ne devrait pas être la véritable

, n’est-ce pas ?

Au vu de tout ce que vous dites, où est Dave ?

Il a démissionné.

Où est Marie ?

C’est son jour de congé.

Au fur et à mesure que vous menez un exercice de simulation et que vous passez ces éléments en revue, les participants se familiarisent avec les différents
éléments en jeu et la manière dont ils sont censés y faire face.

Et les imprévus suscitent des questions intéressantes.

C’est pour cela qu’on s’entraîne : pour en tirer des enseignements et gagner en maîtrise.

Mieux vaut être un peu compétent avant

qu’un incident survienne.

Je recommande donc vivement de ne pas se contenter d’un seul exercice, mais d’organiser des exercices réguliers qui, en quelque sorte, permettent
à tout le monde d’atteindre le même niveau.

Développer cette mémoire musculaire est vraiment important, etc.

Je pense que c’est essentiel, mais il faut aussi commencer à comprendre que, lorsque l’on passe une mauvaise
journée, ce ne sont pas seulement les personnes chargées de rétablir les systèmes qui doivent

assurer la sécurité des systèmes.

Il faut mettre en place une stratégie de communication globale.

Et il faut réfléchir à qui sera le porte-parole, comment fonctionne mon équipe
de presse ou de communication, où se trouvent mes conseillers juridiques – internes et externes –, et comment aborder

aborder cette gestion de crise, si l’on peut dire, Shawn.

Oui, tout à fait, et un exercice de simulation est un excellent moyen d’y parvenir.

Identifiez les personnes concernées bien à l’avance.

Il ne faut pas se mettre à fouiller dans les numéros et à chercher qui contacter alors que l’on
est déjà débordé par la situation.

Il faut s’y préparer bien à l’avance.

C’est également dans ce domaine que l’on aborde les questions de gouvernance, de conformité et
de réglementation, n’est-ce pas ?

Dans le cadre du processus de communication, vous devez avant tout dialoguer avec
vos clients, bien sûr.

Vous devez vous adresser à tous vos partenaires.

Vous devez vous adresser à vos employés.

Et dans de nombreux cas, vous devrez vous adresser aux autorités de régulation, ce qui impliquera
de faire intervenir votre directeur juridique, car il existe d’importants

problèmes potentiels de responsabilité.

Tout cela peut être anticipé.

Ce ne sera pas parfait à 100 %.

Ce ne sera pas parfait.

Mais cela vous permettra d’acquérir une familiarité suffisante et un certain niveau de confiance.

Cela permettra d’établir des relations avec ces intervenants externes de sorte que, lorsqu’un
incident se produira – et cela arrivera, quelle que soit son ampleur –, vous serez en mesure de

réagir.

Je peux vous dire que ceux qui sont le mieux préparés parviennent à surmonter ces situations avec succès.

Et ceux qui sont mal préparés échoueront lamentablement.

En effet, cela se voit si vous ne vous êtes pas entraîné et que vous êtes le PDG qui, comme je m’y
attends dans de nombreux cas, devra s’adresser à ses principaux clients pour leur exposer la situation.

Cela doit être fait de manière réfléchie et avec le professionnalisme qui s’impose.

Ainsi, se contenter de répondre sans s’être préparé vous met dans une situation délicate.

Et je pense que cela ressort très clairement de la manière dont la situation est présentée.

Cela portera également atteinte à la réputation et à l’image de marque de l’entreprise.

Donc, donner l’impression d’être préparé,

avec une certaine finesse et en montrant que vous maîtrisez la situation, c’est, selon moi, ce que vous devez
transmettre ici.

Et on n’y parvient pas sans tout ce dont Shawn vient de parler.

Oui, j’ai animé un atelier pour un établissement de santé : il ne durait que deux heures et était
divisé en blocs de 30 minutes.

À la fin,

le PDG m’a dit : « Mon taux d’adrénaline était en hausse, mon rythme cardiaque était à 140, et Dieu merci, ce n’était qu’un
exercice. »

Tout simplement parce que, si vous l’organisez correctement, le niveau de stress est le même que si c’était
vraiment un jour réel, et un mauvais jour.

Eh bien, nous avons tous les trois travaillé au sein du gouvernement, et nous avons tous les trois dû aller voir notre
supérieur, qui était probablement un haut responsable politique, pour lui annoncer de mauvaises nouvelles.

Ce n’est pas facile.

Ce n’est tout simplement pas facile.

Mais il faut arracher le pansement d’un coup sec.

Il faut le faire.

Oui, donc au gouvernement, on dit qu’il faut « aller droit au but ».

Commencez par l’essentiel : commencez tous vos messages au conseil d’administration par l’essentiel.

Je suis ici pour vous parler de A, B et C.

Et aujourd’hui, je vais vous expliquer à quel point notre organisation est en mauvaise posture, car nous avons autant
de systèmes hérités qui gèrent notre cœur de métier.

Et voici ce que nous devons faire pour y remédier.

Et c’est là que j’ai besoin de votre soutien.

Et ne partez jamais, surtout lorsque vous faites un exposé devant le Congrès, ne partez jamais sans avoir formulé votre demande.

Vous devez d’abord aller droit au but, puis leur dire ce que vous attendez d’eux.

Je veux votre soutien.

J’ai besoin d’argent.

Nous avons besoin de plus de personnel.

Vous avez tout à fait raison.

Mais c’est là que la confiance entre en jeu.

Si le conseil d’administration fait confiance à la responsable de la sécurité (CSO) parce qu’elle a toujours été franche avec eux par le passé et qu’ils ont
déjà traversé un incident ensemble.

Elle sait, disons, mener la discussion d’une main de maître ; il y aura alors ce sentiment de
réactivité et ils seront beaucoup plus disposés à répondre à la demande

sans poser trop de questions – non pas qu’ils ne doivent pas en poser, mais lorsqu’il existe un
certain niveau de confiance, le programme a été conçu de telle sorte que la circulation de l’information

se fasse beaucoup, beaucoup plus facilement.

Nos régulateurs nous ont donc essentiellement dit que nous devions disposer de stratégies, de politiques,
d’un système de responsabilité et d’un financement adéquat pour la cybersécurité et la résilience numérique de notre entreprise.

Et le conseil d’administration est censé se réunir régulièrement et démontrer qu’il s’acquitte effectivement
de sa responsabilité fiduciaire.

17 % des organisations déclarent ne pas être prêtes à faire face à une situation critique.

Et de nombreux conseils d’administration ne se réunissent encore qu’une fois par an, ou ont délégué cette tâche à un
comité sans y associer l’ensemble du conseil.

Quel est votre point de vue à ce sujet ?

Je suis d’accord pour dire qu’il s’agit là de l’un des risques les plus importants, voire du risque le plus
important, pour toute organisation, car l’ensemble de son activité repose sur

environnement numérique.

C’est donc, dans le cadre de la gestion des risques d’entreprise (ERM), un aspect auquel il faut

accorder une grande attention.

Chaque conseil d’administration est un peu différent, chaque entreprise est un peu différente ; le niveau de
connaissance et d’expertise varie d’un cas à l’autre.

Il n’y a donc pas vraiment de solution universelle, mais j’aurais tendance à pencher pour « mieux
vaut trop que pas assez » compte tenu de l’importance de cette question.

Je n’ai rien contre le fait qu’un comité particulier, par exemple
le comité d’audit, soit l’entité responsable et que le président de ce comité

fonctionne selon une structure quasi matricielle vis-à-vis du RSSI, ce dernier pouvant appeler directement le président du comité d’audit en
cas de problème.

Mais je pense sincèrement que l’ensemble du conseil d’administration doit avoir une bonne appréciation et une bonne compréhension
de la situation, ce qui nécessite des communications plus fréquentes.

Je suis donc d’accord avec vous : je ne suis pas attaché au comité d’audit, mais je pense que c’est un choix logique
.

Et cela dépend vraiment de la manière dont l’entreprise souhaite gérer cette question.

Il n’y a donc pas de formule toute faite, mais…

Je suppose qu’il existe tout de même une règle en ce sens que cela devrait être rattaché d’une manière ou d’une autre au conseil d’administration.

Mais nous devons vraiment comprendre que le monde ne devient pas moins risqué en matière de cybersécurité.

Les risques ne font en réalité que s’accroître.

On pourrait énumérer toutes les raisons qui expliquent ce phénomène, mais elles devraient être évidentes, car elles font l’actualité
presque tous les jours.

On ne peut donc pas faire l’autruche.

On ne peut pas faire l’autruche et se cacher la tête dans le sable.

Il faut vraiment se dire : « D’accord, ça arrive.

Je le vois de mes propres yeux.

Cela est probablement déjà arrivé à l’un de vos amis dans le monde des affaires.

Comment suis-je préparé ?

Tout commence donc par poser des questions simples au conseil d’administration.

Que faisons-nous quand cela arrive ?

Et il faut lancer le processus.

C’est la première chose à faire pour commencer à se préparer.

J’ajouterais également autre chose.

En ce qui concerne cette question de confiance, je ne pense pas que le RSSI doive se contenter de répondre
aux questions du conseil d’administration.

Je pense que le RSSI doit être proactif.

Par exemple,

nous avons évoqué l’IA comme un risque majeur.

C’est une nouvelle arme dans l’arsenal de nos adversaires.

Ce serait formidable que le RSSI fasse preuve d’initiative et vienne voir le conseil d’administration pour dire : « Bonjour, vous en avez
sans doute déjà entendu parler.

Laissez-moi vous expliquer ce que nous mettons en place ici.

Cela contribue à instaurer la confiance en montrant que les RSSI sont attentifs.

Vous savez, je sais que nous construisons une nouvelle usine en Inde.

Voici quelques réflexions et préoccupations à ce sujet,

mon point de vue en tant que RSSI.

Voici le genre de questions sur lesquelles nous devrions nous pencher.

Je pense qu’en étant proactif, on fait preuve de vigilance, on démontre ses compétences et on
renforce la confiance.

Et je pense que cela permet vraiment au RSSI de contribuer au bon fonctionnement de l’entreprise.

Alors Shawn, je n’avais jamais pensé à ce que tu viens de dire et j’adore cette idée.

Et le directeur financier est, de la même manière, lié au président du comité d’audit.

Si un problème se profile, du genre

on risque d’avoir des difficultés à verser les salaires ou tout autre problème financier,
on fait appel à l’auditeur.

Une relation de confiance s’est établie entre ces deux personnes.

Il n’y a aucune raison.

Il n’y a aucune bonne raison pour qu’un entrepreneur n’en fasse pas de même.

Soyez proactif dans vos communications.

Vous savez, je me dis aussi : quelles questions le conseil d’administration devrait-il poser ?

Ce n’est pas ça, c’est juste d’un point de vue général.

Connaissons-nous réellement tous nos systèmes critiques pour l’entreprise ?

Avons-nous une visibilité sur toutes les identités humaines et non humaines ?

Et sommes-nous prêts pour la prochaine vague d’identités avec les agents ?

Comprenons-nous réellement tous les comptes privilégiés et analysons-nous réellement le dark
web à la recherche, par exemple, de nos identifiants et autres éléments de ce type ?

Si vous, si nous, ne pouvons pas répondre à ces questions devant le conseil d’administration, c’est pour moi un signal d’alarme indiquant
que nous ne disposons pas des capacités dont nous avons besoin.

Nous ne sommes pas vraiment préparés à cela, c’est-à-dire à être une entreprise résiliente.

Plus tôt dans la conversation, j’ai mentionné qu’il pourrait être utile pour un conseil d’administration de compter
parmi ses membres une personne ayant une expérience en informatique et en cybersécurité.

Pour vous donner un exemple concret : je siège au conseil d’administration d’une entreprise qui était en train de changer de système RH
, une transition qui, comme tout le monde le sait, comporte toujours des risques.

Mais nous en avions été informés.

C’est moi, au sein du conseil d’administration, qui ai vraiment permis de cerner le risque, car je posais des questions
en m’appuyant sur mon expérience de la migration de ces systèmes

ce qui a vraiment aidé le conseil d’administration à cerner la situation.

Et d’ailleurs, cela s’est avéré très utile pour le PDG, car il n’était pas issu du milieu informatique.

Cela a donc vraiment mis en évidence le risque, et la discussion approfondie qui s’en est suivie – du type « je comprends
que c’est un risque et voici comment je le gère » – est une discussion importante que les conseils d’administration doivent

lorsqu’ils procèdent à des changements dans leur système ou même lorsqu’ils cherchent à comprendre leurs systèmes critiques.

Le RSSI doit donc comprendre qu’il s’adresse

aux personnes chargées de la supervision de l’entreprise.

Il doit leur expliquer quels sont les risques réels pour l’activité et les risques d’entreprise,
puis les présenter en termes commerciaux.

Et il doit réellement discuter du plan et défendre ce dont il aura besoin de
la part des membres de son conseil d’administration.

C’est tout à fait vrai.

J’ai eu affaire à de nombreux conseils d’administration et à de nombreux RSSI.

Et je sais que parfois, les RSSI sont réticents à le faire parce que

leur supérieur hiérarchique est peut-être présent à la réunion et qu’ils ne souhaitent pas fournir
toutes les informations qu’ils devraient communiquer, car le conseil d’administration a une responsabilité fiduciaire et

il doit avoir une vision globale des risques encourus.

Mais ils hésitent à le faire, et je conseillerais aux RSSI de s’y prendre
de manière professionnelle et appropriée ; cela demande parfois du courage, et vous devrez peut-être

briser un peu la glace, mais je pense qu’il faut le faire ; et si vous vous trouvez dans une situation
où vous estimez ne pas pouvoir fournir les informations légitimes et autorisées que le conseil d’administration est

est tenu de connaître ou devrait connaître, si vous ne vous trouvez pas dans un environnement propice
à cela, vous devez chercher un autre emploi.

C’est difficile.

Pour vous raconter une anecdote personnelle, sans entrer dans les détails, en tant que DSI ministériel,

j’ai de nombreux DSI de composante sous mes ordres, et il y a eu un problème dans l’une d’entre elles : le
DSI de cette composante avait peur de s’adresser à ses supérieurs.

Je l’ai fait à sa place.

Cela ne devrait pas se passer ainsi.

Il faut le faire.

Et une fois que j’ai parlé à la direction, on pouvait lire la surprise sur leurs visages, mais
ils ont aussi compris qu’il fallait bien faire quelque chose.

Vous avez donc raison, c’est difficile de briser la barrière, mais il faut le faire.

Je l’ai fait avec respect.

Je l’ai fait simplement.

Et nous nous sommes attelés à régler le problème.

Je crois avoir déjà dit à de nombreux membres de conseils d’administration que, lorsqu’on est assis autour de la table, il faut
créer un environnement propice à une discussion ouverte.

Si, en tant qu’administrateur, vous êtes assis là à essayer de prendre quelqu’un en flagrant délit et
que vous créez un climat qui restreint le libre dialogue, vous êtes un problème.

Vous créez des problèmes pour ce conseil d’administration.

L’ambiance doit être propice.

Elle doit être collaborative.

Et encore une fois, nous poursuivons tous le même objectif, n’est-ce pas ?

Nous voulons que l’entreprise réussisse.

Nous voulons minimiser les risques, nous voulons satisfaire nos clients.

C’est ce que nous devons faire en tant qu’entreprise.

Le conseil d’administration a une responsabilité de supervision.

Le RSSI a une responsabilité d’exécution.

Mais ensemble, vous devez créer un environnement propice à cela.

Et si, en tant que membre du conseil d’administration, vous ne créez pas cet environnement, vous devez chercher
ailleurs.

Mais nous devons communiquer sur les risques et les atténuer.

Exactement.

Et ensemble, nous formons une équipe.

Et nous devons le faire de manière « délicieuse », parce que j’aime ce mot.

« Ravissant ».

Eh bien, ça a été un vrai plaisir de discuter avec vous deux, John et Shawn, merci.

Et voilà, c’est la fin de notre podcast SHIFT.

Je suis Melissa Hathaway, et vous écoutiez « Communiquer sur les risques cybernétiques au sein du conseil d’administration ».