Améliorer la gestion des cyberrisques : de la sécurité à la résilience

À l’échelle mondiale, le temps nécessaire pour découvrir une violation de données a considérablement diminué depuis 2017. Par rapport à la médiane mondiale, il a toutefois fallu quatre mois de plus aux entreprises dans la région Asie-Pacifique pour découvrir ces incidents. Le nombre d’utilisateurs d’Internet a augmenté 10 fois plus rapidement que la population mondiale, ce qui accroît de manière exponentielle les occasions d’attaque. Par exemple, en 2018, les coûts totaux associés à la cybercriminalité ont bondi d’un tiers depuis 2016 pour atteindre les 600 milliards de dollars, mais les investissements en cybersécurité n’ont augmenté que de 10 % au cours de la même période.

Ces tendances signifient qu’à l’ère numérique actuelle, il est essentiel et urgent de prendre des mesures afin d’accroître la résilience aux cyberrisques.

Les menaces et techniques d’infiltration en constante évolution ont rendu les stratégies de cyberdéfense traditionnelles insuffisantes et inefficaces, et la rapidité de changement amplifiée par la transformation numérique ne peut être traitée par des moyens conventionnels. À l’échelle mondiale, les lois sont modifiées pour suivre l’évolution de la cybercriminalité et comprendre des niveaux supplémentaires de responsabilités fiduciaires qu’il revient aux entreprises d’assumer.

Par conséquent, les modèles opérationnels actuels devraient redéfinir une culture de résilience sur les lieux de travail comme stratégie fondamentale, tout en renforçant la cyberrésilience sur le plan d’une gestion des risques de bout en bout.

Ce rapport met en évidence trois impératifs stratégiques visant à renforcer la cyberrésilience :

• Comprendre (connaître vos menaces) : repérer les cybermenaces et les réglementations propres à l’entreprise et à l’industrie exige des stratégies solides incluant des considérations interdisciplinaires.
• Mesurer (se connaître) : quantifier l’incidence financière potentielle de l’exposition aux cyberrisques pour la comparer au niveau d’appétit pour le risque acceptable pour le conseil d’administration. Cela déterminera le montant d’investissement nécessaire pour atténuer et transférer tout risque restant.
• Gérer (savoir ce que vous pouvez faire) : contrôlez et atténuez les risques informatiques en mettant en place des plans d’action clairs basés sur vos compétences et capacités de protection contre les cybercriminels.

Il est peu efficace et peu pratique de s’attendre à ce que les entreprises dament chaque fois le pion aux cybercriminels, mais celles-ci devraient au moins être en mesure de suivre l’évolution rapide des cybermenaces tout en veillant à respecter les lois et la réglementation qui sont continuellement modifiées.

« Les cyberattaques sont peut-être inévitables, mais l’on peut empêcher que les systèmes soient compromis et que les violations de données affectent les entreprises. »

Une approche axée sur la gestion des risques de bout en bout est l’élément essentiel qui distingue les entreprises résilientes des autres sur le plan de la réduction des cyberrisques et des dommages, et de la récupération rapide en cas d’incidents de violation.