Comment empêcher les cyberattaques de faire exploser votre bilan

La menace des cyberattaques – et l’impact potentiel sur les bilans des entreprises – ne devrait que croître. Les avancées technologiques dans des domaines tels que l’IA générative et l’automatisation ont renforcé les acteurs de la menace, entraînant des menaces nouvelles et évolutives. Dans ce contexte, il devient de plus en plus crucial pour les conseils d’administration d’aligner la gestion des cyber-risques de leur organisation sur leurs besoins commerciaux. Les cyberattaques sont avant tout un risque pour l’intégrité d’une entreprise. Ils peuvent endommager les composants les plus fondamentaux d’une entreprise, de l’intégrité des données client à l’infrastructure informatique, tout en ayant un impact sur la propriété intellectuelle, la réputation, l’évaluation et même le moral du personnel de l’entreprise. Comment les membres du conseil d’administration et les hauts dirigeants devraient-ils gérer ce type de risque commercial ? La connaissance apporte le pouvoir, et plus la direction d’entreprise connaît l’impact du cyber-risque sur l’entreprise, mieux elle peut fournir un leadership efficace.

En tant que dirigeant d’une entreprise de cybersécurité, j’ai une expérience directe de la mesure dans laquelle les entreprises ont été ciblées par des cyberattaques. Nous avons tous vu des gros titres récurrents sur les ransomwares ; mais les entreprises sont également confrontées à des attaques par déni de service distribué (DDoS), à des violations de la chaîne d’approvisionnement et à des attaques de phishing, entre autres.

Selon un récent Rapport Forrester, l’année dernière, 1 milliard d’enregistrements ont été exposés dans les 35 principales violations ; 2,6 milliards de dollars volés dans les neuf principales violations de crypto-monnaie ; et 2,7 milliards de dollars d’amendes imposées aux 35 principaux contrevenants. Voici quelques exemples :

• Lapsus$ a affirmé avoir volé 1 téraoctet de données cruciales à une société de puces à semi-conducteurs Nvidia. Ils ont exigé 1 million de dollars une rançon et fait des demandes supplémentaires.
• Google étouffé un DDoS attaque contre un client de Google Cloud Armor, la comparant à “la réception de toutes les requêtes quotidiennes adressées à Wikipédia (l’un des sites Web les plus fréquentés) en seulement 10 secondes”.
• Les actions de la société ont plongé lorsque la société d’authentification Okta a annoncé que les enregistrements d’environ 2,5 % de sa clientèle avaient été exposés dans un attaque de la chaîne d’approvisionnement.
• Un nouveau record a été enregistré pour Hameçonnageavec plus de 1 270 000 attaques enregistrées au cours du seul troisième trimestre 2022, selon le Groupe de travail anti-hameçonnage.

Le coût d’une violation de données

Le coût moyen d’une violation de données a atteint 4,35 millions de dollars en 2022, selon IBM Rapport sur le coût d’une violation de données 2022ce qui représente une augmentation de 2,6 % par rapport à 2021 et de 12,7 % par rapport à 2020.

Pour les ransomwares, les coûts sont différents : le paiement moyen en 2021 était d’environ 1,85 million de dollars, soit plus du double du chiffre de 760 000 $ de 2020, par an. Rapport SpyCloud.

Et ce ne sont que des coûts directs ; les coûts indirects sont plus élevés. Ils comprennent:

• Perte d’activité, en raison de l’interruption des activités et des pertes de revenus
• Clients perdus et coût d’acquisition de nouveaux clients
• Pertes de réputation et diminution de l’achalandage
• Amendes réglementaires et poursuites judiciaires, lorsque les attaques mènent à des recours collectifs

Les cybermenaces se multiplient

La montée des tensions géopolitiques, en particulier autour du conflit russo-ukrainien et des relations américano-chinoises, a créé un effet d’entraînement dans lequel la cyberguerre parrainée par l’État a un impact sur le secteur privé. Conclusion : les entreprises deviennent souvent des dommages collatéraux.

La menace des cyberattaques – et l’impact potentiel sur les bilans des entreprises – ne devrait que croître. Les progrès technologiques dans des domaines tels que l’IA générative et l’automatisation ont renforcé les acteurs de la menace, ce qui a conduit à menaces nouvelles et évolutives.

Dans ce contexte, il devient de plus en plus crucial pour les conseils d’administration d’aligner la gestion des cyber-risques de leur organisation sur leurs besoins commerciaux.

La cybersécurité en tant que risque commercial clé

Les cyberattaques sont avant tout un risque pour l’intégrité d’une entreprise. Ils peuvent endommager les composants les plus fondamentaux d’une entreprise, de l’intégrité des données client à l’infrastructure informatique, tout en ayant un impact sur la propriété intellectuelle, la réputation, l’évaluation et même le moral du personnel de l’entreprise.

Comment les membres du conseil d’administration et les hauts dirigeants devraient-ils gérer ce type de risque commercial ? La connaissance apporte le pouvoir, et plus la direction d’entreprise connaît l’impact du cyber-risque sur l’entreprise, mieux elle peut fournir un leadership efficace.

Les bilans des cyber-risques peuvent fournir des informations

Selon le rapport du Forum économique mondial, Principes de gouvernance du conseil d’administration en matière de cyber-risque, 37 % des organisations sont tout à fait d’accord pour dire que la quantification des risques conduit à une meilleure gestion des cyber-risques. Mais quelle est la meilleure façon de quantifier les risques ?

Un bilan des cyberrisques est un moyen de cartographier l’impact financier potentiel des cyberévénements. La création d’un bilan implique :

1. Standardisation: Choisir un cadre de quantification du risque cyber, par exemple en s’appuyant sur Analyse factorielle du risque informationnel (FAIR), un cadre de modèle quantitatif standard international fournissant le risque opérationnel et la sécurité de l’information
2. Priorisation : Définir les principales cybermenaces d’une organisation et quantifier la probabilité de ces menaces
3. Cartographie : Relier la probabilité des cybermenaces aux cyberrisques en termes financiers et les associer aux futurs cyberinvestissements

Cela crée un grand livre qui peut être utilisé par les responsables de la sécurité de l’information (CISO) pour décrire l’analyse de rentabilisation des efforts de cybersécurité qui montrent un retour sur investissement positif.

Comment les conseils d’administration doivent gérer le cyber-risque

Principes de gouvernance du conseil d’administration en matière de cyber-risque introduit six principes pour les conseils d’administration pour commencer :

• Comprendre que la cybersécurité est un catalyseur commercial stratégique: Les entreprises doivent analyser la cybersécurité dans le contexte des implications stratégiques, dans le cadre du risque d’entreprise.
• Comprendre les moteurs économiques et les impacts du cyber-risque: Les entreprises devraient définir l’appétit pour le cyber-risque en termes financiers afin d’aider à éclairer la prise de décision.
• Aligner la gestion des cyber-risques sur les besoins de l’entreprise: La direction devrait intégrer l’analyse des cyber-risques dans les décisions d’affaires.
• Veiller à ce que la conception organisationnelle soutienne la cybersécurité: La direction doit s’assurer que la fonction de cybersécurité est représentée de manière adéquate.
• Intégrer l’expertise en cybersécurité dans la gouvernance du conseil d’administration: Des sessions régulières entre la direction et le conseil d’administration doivent fournir des mises à jour sur les incidents, les tendances et les vulnérabilités.
• Encourager la résilience systémique: Le conseil d’administration doit s’assurer que la direction a des plans pour améliorer la résilience grâce à une collaboration avec le secteur public.

Trouver le bon équilibre – d’un point de vue commercial

Les conseils d’administration ont besoin d’une compréhension approfondie des principaux risques auxquels l’entreprise est confrontée et doivent être en mesure de quantifier leur impact potentiel. Les décisions concernant les coûts d’investissement peuvent alors être mises en balance avec le coût potentiel de pas Prendre part.

En alignant la gestion des cyber-risques sur les besoins de l’entreprise, les organisations peuvent créer un profil de sécurité qui s’aligne sur l’appétit pour le risque défini. Ce processus nécessite d’encourager la collaboration entre les fonctions du RSSI, du directeur de la technologie et du directeur de l’information, qui doivent tous être impliqués dans l’analyse de chaque scénario cybernétique.

Grâce à cette approche, le conseil d’administration peut demander à voir une réelle réduction des risques. En parallèle, les responsables de la sécurité peuvent créer des alliés au sein des unités commerciales en les aidant à réduire le risque d’impact commercial.

Cartographier les «joyaux de la couronne»

La première étape de la gestion des cyber-risques consiste à prioriser où se loger. Les organisations peuvent tirer parti d’un cadre sectoriel tel que le AT&CT D’ONGLET pour fournir un aperçu des angles morts grâce à une visibilité consolidée des menaces. MITRE fournit une base aux équipes d’opérations de sécurité pour développer et tracer un cadre pour les règles de détection, qui sont spécifiques aux menaces et vulnérabilités uniques d’une organisation.

Des frameworks comme MITRE permettent de améliorer la couverture et la réponse aux menaces en examinant des paramètres tels que l’industrie, la géolocalisation et le leadership. Avec MITRE, les organisations peuvent identifier quelles menaces, ainsi que quels aspects du paysage technologique, sont les plus susceptibles d’entraîner des dommages. En utilisant MITRE pour cartographier les actifs commerciaux clés, un plan personnalisé de réduction des risques commerciaux peut être développé.

Réduction des coûts

Compte tenu de l’impact du ralentissement macroéconomique, la plus grande question à laquelle de nombreux cadres supérieurs sont confrontés est de savoir comment maintenir une cybersécurité efficace avec des ressources plus limitées. C’est là qu’interviennent l’automatisation et l’intelligence artificielle (IA), car elles ont le potentiel de réduire les dépenses d’atténuation des risques.

Selon IBM Coût d’une violation de données en 2022, les organisations qui déploient l’IA et l’automatisation ont engagé en moyenne 3 millions de dollars de moins en coûts de violation. L’IA était leur plus grande économie de coûts ; ceux qui déploient l’IA et l’automatisation ont détecté les failles plus rapidement, minimisant ainsi l’impact sur les opérations. Une autre stratégie de réduction des coûts implique des solutions cloud avancées qui permettent d’économiser considérablement sur les coûts d’ingestion et de stockage des données.

Commencez par trouver le bon talent

Pour réussir tout cela, les organisations doivent avoir les bons talents en place. Mais c’est plus facile à dire qu’à faire. Pour faire simple : il y a plus d’emplois en cybersécurité que de professionnels disponibles. Selon le (ISC)², la main-d’œuvre de la cybersécurité est passée à 4,7 millions de personnes en 2022, le plus grand nombre de travailleurs jamais enregistré. Pourtant, plus de 3,4 millions de postes restaient ouverts. C’est une situation difficile.

La détection et la réponse gérées (MDR) peuvent remédier au manque de talents disponibles. Les fournisseurs de MDR sont des services externalisés qui peuvent fournir aux organisations des capacités d’opérations de sécurité avancées et travailler en collaboration avec ces organisations pour remédier aux menaces une fois qu’elles sont découvertes. Ils offrent un accès aux meilleurs professionnels qui fournissent des informations sur les décisions liées à la feuille de route et qui peuvent gérer les menaces existantes, nouvelles et en évolution. Les entreprises constatent qu’un fournisseur de services MDR avancé permet de faire plus avec moins – en maintenant l’évolutivité tout en réduisant le nombre de têtes.

Dans le climat actuel, les fournisseurs de MDR sont de plus en plus pertinents. Il ne s’agit pas seulement de ressources et de la façon de les utiliser, mais aussi de la façon de construire une feuille de route pour aller de l’avant. Changer d’orientation pour évaluer la cybersécurité en tant que risque commercial – tout en investissant des efforts spécifiquement sur les menaces qui représentent le plus grand danger – peut aider à garantir qu’une entreprise est prête à détecter et à réagir assez rapidement pour protéger les actifs clés de l’organisation. Et c’est le vrai but.

Avec la menace croissante des cyberattaques, les chefs d’entreprise devraient considérer la cybersécurité comme un catalyseur commercial stratégique. En illustrant l’analyse de rentabilisation de la cybersécurité, c’est-à-dire en alignant la gestion des cyberrisques sur les objectifs commerciaux d’une organisation, il devient possible de prendre des décisions actuelles et futures concernant la cybersanté de l’organisation dans des termes compréhensibles par le conseil d’administration.