RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
page 31 - Numéro 428 du 18 décembre 2015
Abonnement gratuit sur
Reportage
en gardant à l’esprit que les administrateurs conservent
la responsabilité ultime de la gestion de tous les risques
qui pèsent sur l’organisme.
*
Quels sont les principaux actifs qui doivent être pro-
tégés ?
*
Quelles sont les protections en place ?
*
Qui est en charge de leur protection ?
*
Quel niveau de cyber-sécurité est-il considéré
comme « acceptable » (tolérance) ?
*
Quel est la qualité des moyens de réaction mis en
place pour répondre à un incident de cyber-sécurité
qui surviendrait ?
Bien entendu, la sécurité absolue n’existe pas, le
risque zéro est une asymptote hors d’atteinte ou à des
coûts exponentiels. Un adversaire déterminé et sans
contrainte budgétaire finira toujours par franchir même
les barrières les plus solides quel que soit le niveau de la
faiblesse, la technologie, la protection physique, ou les
hommes ! Donc, il revient à chaque organisme de fixer
le point d’équilibre qui lui convient entre le niveau de la
menace résiduelle et le coût de la cyber-sécurité.
La cyber-sécurité doit être intégrée dans le cadre
de gestion des risques et de la gouvernance de tout
organisme, et le registre des risques doit clairement
inclure les vulnérabilités dans le domaine avec une
évaluation des risques bruts, des risques résiduels, et des
opérations de maintien ou d’amélioration de la sécurité.
Les programmes de sécurité dans lemonde cyber doivent
être holistiques et prendre en compte les personnes,
la culture, les processus et les mesures techniques.
Il ne s’agit donc pas d’un défi technique à laisser au
département informatique, mais au contraire de mettre
en place une approche intégrée pour la prévention et la
protection de façon à limiter en probabilité et en impact
les cyber-événements,mais aussi les détecter rapidement
et préparer des réponses rapides et efficaces.
Que la menace viennent de hackers amateurs,
d’entreprises criminelles à but lucratif, voire d’espionnage
d’état, dans tous les cas un des points de faiblesse dont
l’importance grandit est la multiplication des supports
mobiles, voire des supports personnels puisque
beaucoup d’organismes tolèrent, voire encouragent,
l’utilisation d’équipements personnels dans le cadre des
activités professionnelles.
Quelles sont alors les considérations dans le domaine
qui doivent remonter à l’attention des comités d’audit.
L’organisme a-t-il
:
*
identifié les actifs critiques de la chaîne d’informa-
tion à protéger en cas de cyber-attaque ? – qu’il
s’agisse de données financières, de données opéra-
tionnelles, de données sur les salariés, de données
sur les partenaires, ou sur la propriété intellectuelle
–
*
mis en place des processus d’intelligence pour com-
prendre les menaces qui les actifs de l’organisme,
dans tous les pays où il est présent ?
*
développé une approche pour quantifier le niveau
de tolérance au risque cyber qu’il acceptera pour
chacun de ses actifs-information ?
*
mise en place des contrôles pour prévenir et proté-
ger ses actifs, détecter et préparer les réponses en
cas de cyber-attaque, y compris la gestion des consé-
quences et l’incident et du retour d’expérience ?
*
prévu les moyens pour suivre l’efficacité des mesures
en place, y compris, là où cela s’impose, des essais
indépendants pour tester, revoir et renforcer les
contrôles ?
*
défini les conditions d’amélioration continue, voire
de transformation des systèmes de contrôle pour
répondre à l’évolution permanente des menaces
cyber, et accompagné la démarche de la définition
d’indicateurs de performance appropriés ?
Il est clair que la cyber-sécurité est devenue une source
d’avantage concurrentiel et un défi pour la préservation
et la création de valeur qui plus même que obligations
légales et réglementaires, imposent aux administrateurs,
et en première instance aux membres du comité d’audit,
de prendre le problème à bras le corps, pour relever le
défi permanent.
L’approche intégrée GRC est-elle le cheval
de Troie des auditeurs dans le domaine des
risques ?
Il est important de garder à l’esprit que la GRC est une
activité que les organismes doivent mettre en place
et pratiquer, non pas quelque chose à acheter. Bien
entendu, les offres technologiques pour améliorer le
processus de GRC ne manquent pas, pour le rendre
plus efficient, plus efficace, plus agile. Toutefois, l’achat
d’une solution informatique ne suffit pas à effectuer une
greffe vivante. De fait, tous les organismes pratiquent la
GRC, mais certains avec succès, d’autres moins. Aucun
dirigeant aujourd’hui accepterait de reconnaitre qu’il n’a
pas de gouvernance en place au sein de son organisme,
qu’il ne gère pas les risques, et encore moins qu’il ne se
préoccupe pas de conformité.
Que l’organisme fasse référence à l’acronyme GRC, ou
on, qu’il utilise une autre étiquette, ou même aucun,
