Nouvelles cybermenances et réglementations – les entreprises doivent agir immédiatement

En étant de plus en plus dépendantes des technologies, les entreprises sont davantage exposées aux cyberrisques. Selon le rapport sur les risques mondiaux 2019, les chefs d’entreprise ont de nouveau affirmé que les cyberattaques comptent parmi les cinq principaux risques et que ce risque devrait s’accroître cette année.

Alors que les risques environnementaux comptent, depuis cette année, parmi les cinq principaux risques, les cybermenaces qui évoluent rapidement et risquent d’avoir des répercussions économiques de plus en plus importantes demeurent la menace la plus urgente. Comment l’ont souligné les directeurs des cyberrisques de Marsh lors de la webémission sur le contexte des cyberrisques en 2019 qui a eu lieu récemment, les entreprises ne disposent que d’un délai de 12 à 18 mois pour se protéger contre les cyberrisques.

Faire de ces risques urgents une priorité

Les cyberrisques sont dynamiques, en évolution et en expansion constante, et visent continuellement de nouvelles cibles en essayant de déjouer nos prévisions et nos hypothèses. Contrairement aux types de risques plus habituels, comme les catastrophes naturelles, les cyberrisques sont plus difficiles à gérer pour les entreprises. Au fil des ans, les cyberrisques ont évolué des simples tactiques d’hameçonnage et de vol de données à des programmes malveillants sophistiqués qui détournent les systèmes. Cela a entraîné des dommages et des pertes s’élevant à des milliards de dollars, ce qui souligne la nécessité de faire de la gestion des cyberrisques une priorité d’affaires essentielle continue.

Et les sociétés sont de plus en plus exposées aux risques. L’utilisation accrue de nouveaux appareils numériques et technologies au sein des entreprises offre aux pirates une plus grande brèche, de nouvelles vulnérabilités et de nouvelles failles à exploiter pour perturber les activités des sociétés. 

À l’échelle mondiale, une vague de nouvelles réglementations – comme le Règlement général sur la protection des données (RGPD) – donne lieu à des enjeux de plus en plus importants sur le plan de la responsabilité de la direction, de la communication de l’information liée aux risques et des pratiques liées aux données, et peut entraîner des pénalités financières importantes. Cette situation devrait se poursuivre puisque les organismes de réglementation se concentrent de plus en plus sur la confidentialité, particulièrement en ce qui concerne le courtage de données, et cherchent à tenir les entreprises responsables de leur utilisation des nouvelles technologies et des technologies émergentes. Les trois quarts des participants à la webémission étaient d’ailleurs d’accord que ces mesures sont nécessaires et croient que les gouvernements devraient en faire plus pour réglementer le cyberespace. 

Gérer les cyberrisques

Les organismes de réglementation ne sont toutefois pas les seuls responsables de la gestion des cyberrisques; les entreprises doivent elles-mêmes prendre des mesures concrètes dès maintenant. Elles doivent considérer ces risques comme étant un risque stratégique en prenant les mesures suivantes :

1. Faire preuve de la même discipline et de la même rigueur qu’elles le feraient pour d’autres risques stratégiques, en déterminant qu’il s’agit d’une fonction fondamentale et continue de résolution de problèmes.
2. Quantifier les cyberrisques et leurs répercussions économiques afin d’optimiser la répartition des investissements et des évaluations du rendement des capitaux investis. 
3. Éviter de considérer les cyberrisques comme étant uniquement un enjeu technologique ou de déléguer la gestion de ceux-ci au service informatique. Veiller plutôt à impliquer toutes les parties prenantes clés à l’échelle de l’organisation.
4. Dresser une vue d’ensemble des cyberrisques liés à la chaîne d’approvisionnement et quantifier l’exposition aux cyberrisques liés aux fournisseurs.
5. Se procurer une assurance distincte contre les cyberrisques qui appuiera les efforts en matière de technologie et d’atténuation des risques.
6. Élaborer une stratégie de gestion des cyberrisques qui répond aux besoins actuels de gestion des risques et tient compte des éventuelles attentes des organismes de réglementation.

Évoluant plus rapidement que tout autre type de risque, les cyberrisques peuvent entraîner de graves conséquences financières et des dommages importants aux infrastructures, et nous ne savons pas encore quelle sera l’ampleur de celles-ci ni de quelles façons elles toucheront les entreprises.  Les organisations ne doivent pas uniquement mettre en place un plan de gestion annuel, attendre à l’année suivante ou utiliser des tactiques. Il est temps pour toutes les entreprises d’agir avec empressement pour se protéger contre les cyberrisques et de commencer à les gérer au moyen de mesures stratégiques, quantitatives et de résilience.

Écoutez l’enregistrement de la webémission 2019 Cyber Landscape: New Regulations, Risks, and Management Expectations(Contexte des cyberrisques en 2019 : nouvelles réglementations et attentes en matière de gestion et nouveaux risques).