Les dirigeants de la cybersécurité cachent-ils les incidents à leurs supérieurs ?
Certaines choses sont mieux laissées non dites… et pour un nombre alarmant de leaders de la cybersécurité, cela comprend des incidents de cybersécurité importants.
Selon un rapport de septembre de la société de cybersécurité et de conformité VikingCloud, 48% des dirigeants de la cybersécurité ont admis ne pas signaler un cyber-incident matériel à leur conseil d’administration et à l’équipe de direction exécutive au cours de la dernière année. Plus troublant encore, près de neuf sur dix (86%) de ces dirigeants affirment ne pas avoir signalé plusieurs violations.
Le rapport de VikingCloud est basé sur une enquête en ligne auprès de 200 dirigeants de cybersécurité occupant des postes de direction et supérieurs. La majorité des entreprises interrogées (72%) étaient basées aux États-Unis, où la SEC oblige les sociétés publiques à divulguer les incidents de cybersécurité «matériels» dans les quatre jours ouvrables suivant leur découverte.
Silence stratégique. Les dirigeants de la sécurité avaient plusieurs raisons de ne pas informer leurs supérieurs. Près de la moitié (41%) ont déclaré qu’ils n’avaient pas partagé d’incidents avec leurs équipes de direction car ils pensaient pouvoir les gérer en interne sans divulgation formelle.
La crainte de représailles a également joué un rôle important, 40% des professionnels affirmant qu’ils n’avaient pas signalé un incident de cybersécurité par peur d’une réaction punitive de la part de leur équipe de direction. D’autres répondants ont souligné le manque de protocoles de signalement internes ou de canaux sécurisés permettant de signaler les incidents sans risque de sanction, ou encore la crainte de nuire à la réputation et aux finances de l’entreprise si l’incident devenait public.
Un changement de culture nécessaire. Le rapport souligne que la sous-déclaration des incidents de cybersécurité représente un risque majeur pour les entreprises, car elle «masque l’ampleur réelle des attaques et l’exposition de l’entreprise, conduisant à une confiance excessive dans les défenses». VikingCloud recommande aux organisations de cultiver une culture de sécurité forte.
«Une défense solide en matière de cybersécurité nécessite la création d’une culture de sécurité d’entreprise qui offre un espace sûr pour signaler tous les incidents », indique le rapport. « Il incombe à la direction exécutive, en matière de cybersécurité et au-delà, de mettre en place des protocoles de signalement clairs et d’établir une culture d’apprentissage et d’amélioration continue. »