Le marché libre peut-il stimuler la cybersécurité ?
Est-il possible d’utiliser les mécanismes du marché pour encourager les organisations à accorder la priorité à la cybersécurité de manière appropriée ? C’est la question centrale d’une récente discussion organisée par l’Institut de Cybersécurité de l’Université de Nouvelle-Galles du Sud, en partenariat avec des experts du gouvernement, de l’industrie et du monde universitaire. Les échanges, menés sous la règle de Chatham House, sont particulièrement pertinents pour le développement de la Stratégie australienne de cybersécurité 2023-2030, qui vise à renforcer la cyber-maturité du pays à travers l’économie. Les incitations du marché pourraient jouer un rôle crucial dans la réalisation de deux priorités clés de cette stratégie : des entreprises et des citoyens résilients, et des technologies sécurisées.
Les participants ont souligné l’importance des incitations du marché, tout en insistant sur la nécessité d’adapter les approches aux différents publics. Des exemples positifs existent déjà dans d’autres secteurs. Par exemple, les producteurs d’œufs de poules élevées en plein air pratiquent des prix plus élevés pour leurs produits, et de nombreux consommateurs choisissent activement ces options en raison des avantages perçus.
Le gouvernement peut influencer les comportements souhaités de plusieurs manières. Cela inclut la définition de normes volontaires pour informer les consommateurs – comme les réglementations d’étiquetage en cours de développement pour l’Internet des Objets – et l’exigence de transparence et de responsabilité de la part des organisations concernant la gestion des risques de cybersécurité. Les agences gouvernementales peuvent également intégrer des normes et des certifications spécifiques dans leurs appels d’offres, notamment des évaluations via le Programme d’évaluateurs agréés InfoSec pour les systèmes traitant des données gouvernementales, et des exigences similaires pour les fournisseurs de la chaîne d’approvisionnement de la défense.
Une proposition discutée a été de modifier les règles de cotation des bourses australiennes pour lier les primes des membres du conseil d’administration aux performances en matière de cybersécurité. La décision récente de Qantas de réduire les incitations à court terme pour ses dirigeants suite à une importante cyberattaque pourrait servir de modèle. Le gouvernement pourrait également étudier l’utilisation du régime fiscal pour encourager des comportements spécifiques, par le biais d’incitations ciblées et d’allégements fiscaux.
L’éducation est également essentielle. Des campagnes de sensibilisation pourraient non seulement informer les consommateurs sur les questions à poser, mais aussi créer une attente sociétale en matière de cybersécurité. L’exemple des œufs de poules élevées en plein air illustre l’impact potentiel de la pression sociale. Il est également nécessaire de fournir des conseils plus ciblés aux différentes communautés d’utilisateurs finaux, afin de les aider à prendre des décisions éclairées en matière de risques liés à l’utilisation de la technologie.
L’assurance a été suggérée comme un autre élément clé, dans l’espoir qu’elle encouragerait les investissements dans la cybersécurité afin de réduire les primes. L’industrie maritime offre un parallèle intéressant, où les exigences des assureurs ont conduit les compagnies maritimes à mettre en œuvre des mesures anti-piratage efficaces.
Cependant, il a été généralement convenu que le secteur de l’assurance cybernétique ne fonctionne pas de manière optimale. Cela pourrait être dû à un manque de données fiables pour évaluer les risques, ainsi qu’à des inquiétudes concernant l’escalade des menaces et l’augmentation des primes à des niveaux prohibitifs. Les causes profondes de cette défaillance du marché restent floues et nécessitent des recherches supplémentaires.