Parcours
Comment contribuer à la cyberrésilience de votre organisation?
Piliers de la cyberrésilience organisationnelle
La cyberrésilience repose sur trois piliers fondamentaux.
Pour devenir cyberrésiliente ou maintenir son caractère cyberrésilient, votre organisation doit :
- intégrer les trois piliers fondamentaux à sa stratégie organisationnelle;
- adopter une vision proactive et à long terme pour la gestion des trois piliers fondamentaux en les alignant sur les objectifs stratégiques;
- promouvoir une culture organisationnelle favorable à la protection de l’actif informationnel.
Prévenez les incidents avant qu’ils ne surviennent
Si on imagine l’organisation comme un bateau partant à l’aventure sur les océans, la gestion des risques représente l’ensemble des activités menées avant le départ, à chaque escale et tout au long du voyage pour préparer le bateau à affronter le danger, qu’il s’agisse d’une tempête ou d’une attaque de pirates.
Les activités liées à la gestion des risques comportent trois principaux objectifs.
- Anticiper les cybermenaces et les risques associés
Déterminez les scénarios de risque par rapport aux menaces qui guettent votre organisation et vos vulnérabilités (par exemple : attaque par hameçonnage menant à un vol de données confidentielles, attaque par rançongiciel menant à un vol de renseignements personnels), et évaluez les cyberrisques. - Mettre en place des mécanismes de protection adaptés
Sécurisez les infrastructures informatiques, élaborez des politiques concernant les accès et les privilèges des personnes utilisatrices, menez régulièrement des simulations d’incidents et des tests de pénétration, faites des copies de sauvegarde des données, et élaborez des plans à suivre en cas d’incident. - Former le personnel à reconnaitre et à éviter les cybermenaces
Un personnel bien informé réduit les risques d’erreurs humaines.
Exemple
Une entreprise dont la majorité des ventes s’effectue en ligne prévoit de mettre en place des mécanismes permettant de rediriger le trafic vers un serveur Web de secours en cas d’attaque par déni de service distribué rendant le serveur principal inopérant.
Bien que cette approche ne puisse empêcher une telle attaque, elle permet de minimiser le temps d’indisponibilité du site Web de l’entreprise, de réduire l’impact sur les revenus et d’éviter une atteinte à sa réputation.
Le saviez-vous?
L’Office québécois de la langue française recommande l’emploi de gestion du risque ou de gestion des risques.
- Dans les années 1950, le concept de « risk management » se limitait à la gestion des risques couverts par les assurances.
- Dans les années 1970, son champ s’élargit à la prévention des pertes accidentelles d’exploitation.
- Depuis les années 1980, la gestion du risque est considérée comme une activité d’identification, de mesure et de maitrise économique des risques menaçant l’actif et les revenus d’une organisation.
Cette dernière acception n’est pas sans soulever quelques problèmes de frontière entre la gestion du risque et la gestion au sens strict. (Vitrine linguistique)
Réagissez rapidement et efficacement
Si le bateau est frappé par un iceberg et qu’il prend l’eau, il faut savoir comment colmater la brèche et remettre rapidement à flot l’embarcation.
Les activités liées à la gestion des incidents visent trois principaux objectifs.
- Détecter rapidement les incidents
Faites une surveillance continue via des outils de détection d’anomalies et des systèmes de réponses automatisés. - Restaurer rapidement les systèmes
Suivez le plan d’intervention en cas d’incident et le plan de reprise après sinistre. Par exemple, isolez les systèmes affectés, déterminez l’étendue de l’incident, notifiez les parties concernées, éliminez la menace, restaurez les systèmes à partir d’une copie de sauvegarde, vérifiez l’intégrité des données restaurées, testez le bon fonctionnement des systèmes. - Réagir efficacement pour limiter l’impact négatif
Mettez en place des processus clairs de gestion de crise, impliquez les parties prenantes clés, encouragez une communication fluide.
Exemple
Les organisations qui utilisent intensivement l’intelligence artificielle (IA) pour prévenir et détecter des incidents, de même que pour y répondre et mener les enquêtes nécessaires, réduisent significativement le temps moyen de détection et le temps moyen de correction – deux mesures clés en gestion des incidents – ainsi que le cout moyen d’un incident de confidentialité. L’IA permet de réduire ces délais de près de trois mois et de générer des économies pouvant atteindre 2 millions de dollars. [1]
Assurez la résilience face aux cyberattaques
Il faut empêcher le bateau de couler : il faut le garder à flot, quelles que soient les circonstances.
Les activités liées à la continuité des affaires visent à :
- restaurer rapidement les opérations en suivant le plan de continuité des activités.
Exemple
Une municipalité est victime d’une attaque par rançongiciel, rendant ses infrastructures technologiques inopérantes pendant près de quatre semaines. Durant cette période, le personnel non spécialisé en TI s’efforce de maintenir les services essentiels à la population en adoptant des méthodes alternatives :
- communication via radio, téléphone et texto, en raison de l’inaccessibilité du serveur courriel;
- gestion des transactions à l’aide d’une base de données manuelle et de documents papier, en attendant le rétablissement de l’accès aux systèmes
- utilisation de solutions infonuagiques non affectées par l’attaque;
- acceptation des paiements en espèces et par virement bancaire en l’absence de systèmes de facturation numériques.
Grâce à ces mesures, la municipalité parvient à limiter l’impact de l’attaque et à assurer un service minimal à sa population jusqu’à la restauration complète de ses infrastructures.
Une culture organisationnelle favorable à la protection de l’actif informationnel
Le caractère cyberrésilient d’une organisation repose, entre autres, sur la capacité des membres du personnel à adopter des comportements sécuritaires. Pour ce faire, la culture organisationnelle doit intégrer la protection de l’actif informationnel à plusieurs niveaux :
- Sensibilisation et formation du personnel
Mettez en place des programmes adaptés aux différents niveaux de responsabilité. - Encouragement à l’engagement
Récompensez les comportements sécuritaires, instaurez un processus de signalement simplifié. - Leadership et transparence
Engagez-vous visiblement, en tant que direction, dans la gestion des cyberrisques. Partagez clairement vos politiques de cybersécurité et vos attentes. Soyez transparent lors de cyberincidents. - Amélioration continue
Mettez en place une culture d’amélioration continue de la cybersécurité. Celle-ci devrait permettre à l’organisation de mieux s’adapter aux menaces émergentes et ne devrait pas être perçue comme une contrainte punitive. Dans le but de continuellement vous améliorer, surveillez l’évolution des cybermenaces, procédez à des audits réguliers, suivez l’évolution des indicateurs de performance et valorisez le retour d’expérience.
Termes vus dans cette page
[1] IBM (2024). Rapport 2024 sur le coût d’une violation de données.
