Alors que les violations de données font désormais partie intégrante du monde des affaires, comment le débat a-t-il évolué et que révèlent les incidents récents sur les bonnes — et les mauvaises — réponses aux incidents ?

Il y a à peine cinq ans, une entreprise victime d'une violation de données faisait l'objet d'un examen minutieux, comprenant des mois d'enquête sur les circonstances et les raisons de l'attaque, notamment si des données sensibles avaient été exposées.

Bien que ce niveau de surveillance persiste, il est désormais largement admis que les cyberattaques auront lieu, ciblant notamment les entreprises de premier plan. Cela a été particulièrement flagrant récemment lorsque des sociétés comme Coca-Cola , Ernst & Young , Craneware et Abbott ont toutes reconnu avoir été victimes de cyberincidents à quelques mois d'intervalle.

Au-delà de la violation elle-même, ces révélations dans de multiples secteurs d'activité sur une courte période mettent en lumière une tendance plus générale. Face à la difficulté croissante de prévenir les cyberincidents, clients, autorités de réglementation et partenaires examinent avec une attention accrue la manière dont les organisations réagissent, se rétablissent et communiquent en cas de problème.

Comment le débat a-t-il évolué et que révèlent les récentes violations de données sur les bonnes — et les mauvaises — réponses aux incidents ?

Changer les attentes

Les attentes concernant les incidents de cybersécurité ont évolué. Il y a dix ans, les organisations étaient principalement jugées sur le simple fait d'avoir subi une violation de données. Aujourd'hui, les parties prenantes comprennent qu'« aucune organisation n'est à l'abri », affirme Doug Jewitt, consultant en sécurité chez Infinity Group.

Il explique comment l'accent a évolué vers la rapidité avec laquelle une organisation identifie un incident, la transparence de sa réponse et l'efficacité de son rétablissement. « On attend désormais clairement des organisations de toutes tailles qu'elles mettent en place des contrôles techniques adaptés. »

Les récentes révélations concernant Coca-Cola, Ernst & Young, Craneware et Abbott démontrent qu'une communication opportune et substantielle peut modérer la réaction des parties prenantes, explique Tracey Hannan-Jones, directrice du conseil en sécurité de l'information chez UBDS Group. « Le silence, les retards ou les déclarations vagues alimentent les spéculations et causent souvent des dommages à la réputation disproportionnés par rapport à l'incident technique. Une organisation incapable d'expliquer ce qui s'est passé, les mesures qu'elle prend et les zones d'ombre qui subsistent démontre son manque de préparation. »

La différence entre une bonne et une mauvaise réaction repose sur la « visibilité et le contexte », explique Jeremy Leasher, architecte de sécurité chez Binalyze. Il estime que la récente attaque contre l'organisation de soins de santé Stryker illustre parfaitement les risques encourus.

« La déclaration initiale laissait entendre qu’il n’y avait ni ransomware ni malware, et que l’incident était maîtrisé », explique Leasher à IO.

Techniquement, c'était exact, mais lorsqu'il est apparu que l'attaque provenait d'un outil d'administration de confiance plutôt que d'un logiciel malveillant, cela n'a plus eu d'importance, explique Leasher. « Stratégiquement, il semblait que Stryker n'avait pas compris la menace. »

Rôles des régulateurs

Parallèlement, les organismes de réglementation jouent désormais un rôle clé dans la définition des réponses aux incidents, notamment en ce qui concerne les attentes en matière de signalement et de divulgation.

La mise à jour générale du règlement britannique sur la protection des données ( RGPD ) exige la notification des violations de données personnelles dans un délai de 72 heures. Par ailleurs, la Financial Conduct Authority ( FCA) , la directive européenne sur les réseaux et systèmes d'information (DIR-2) et la Securities and Exchange Commission (SEC) américaine imposent des obligations de notification supplémentaires. « Les autorités de régulation évaluent de plus en plus non seulement si la notification a eu lieu, mais aussi sa rapidité, sa qualité, son exactitude et son suivi », explique Hannan-Jones, du groupe UBDS.

L'une des principales conséquences pratiques réside dans le facteur temps, explique David Dumont, associé chez Hunton. Il souligne que de nombreuses obligations de déclaration imposent des délais très courts. « Les organisations peuvent donc être contraintes de consacrer un temps et des ressources considérables à l'évaluation des obligations de notification et à la préparation des formulaires réglementaires presque immédiatement après avoir pris connaissance d'un incident, souvent alors même que les faits sont encore en cours d'établissement. »

Dans le même temps, le rôle du régulateur est de plus en plus crucial, affirme Paul Wiggins, expert en données chez Freeths. Il souligne qu'en vertu de la loi sur l'utilisation et l'accès aux données (Data Use and Access Act ), le Bureau du commissaire à l'information du Royaume-Uni (ICO) dispose de pouvoirs de contrôle renforcés. « L'ICO devrait jouer un rôle de filtre réglementaire, dans l'espoir de résoudre les litiges portant sur des montants faibles », explique-t-il à IO.

Rapidité, transparence et précision

Bien que les attaques continuent de toucher les entreprises, de nombreux experts estiment que ces dernières gèrent de mieux en mieux les incidents de cybersécurité. Dray Agha, responsable senior du centre des opérations de sécurité EMEA chez Huntress, explique que cette amélioration est principalement due à la diminution de la stigmatisation liée aux violations de données. « Les entreprises prennent conscience que les incidents sont inévitables, ce qui leur permet de concentrer leurs efforts non plus sur la dissimulation du problème, mais sur la réduction des interruptions de service. »

Il est désormais important que les organisations trouvent le juste équilibre entre rapidité, transparence et précision lors d'un incident.

Réagir efficacement à une violation de données nécessite plusieurs étapes clés. Selon Wiggins de Freeths, il est essentiel de disposer des politiques et de l'équipe adéquates pour « intervenir rapidement le moment venu ».

Il souligne l'importance d'une équipe comprenant des conseillers externes — avocats, spécialistes des relations publiques et assureurs spécialisés en cybersécurité — qu'il juge « fondamentale » pour définir la stratégie et la réponse à un incident. « De plus, il est essentiel de se montrer disposé à rassurer et à soutenir les personnes concernées, ainsi qu'à dialoguer avec les partenaires de la chaîne d'approvisionnement qui subissent les répercussions de l'incident. »

Les organisations qui réagissent le mieux à une violation de données sont celles qui ont planifié à l'avance, affirme Leasher de Binalyze.

En substance, il estime qu'ils devraient être capables de répondre rapidement aux trois questions fondamentales : « L'attaquant a-t-il toujours accès ? Comment est-il entré ? Qu'a-t-il emporté ? »

La communication et la transparence sont essentielles et peuvent faire « toute la différence entre un incident de cybersécurité qui se transforme en simple défi commercial ou en crise de réputation », souligne Jewitt d'Infinity Group. « Les clients, les partenaires et les autorités de réglementation comprennent que les enquêtes prennent du temps, mais ils attendent de l'honnêteté, des mises à jour régulières et des explications claires sur ce qui est connu, ce qui fait encore l'objet d'une enquête et les mesures prises. »

« L’essentiel est de communiquer ce que l’on sait, de reconnaître ce que l’on ignore et de s’engager à fournir des mises à jour régulières », explique Jewitt. « Attendre des informations parfaites peut retarder des décisions cruciales, mais tirer des conclusions hâtives peut nuire à la confiance. »

Gouvernance solide

Une gouvernance solide est essentielle à une gestion efficace des incidents. Cela implique de garantir une responsabilité clairement définie, des processus établis et une prise de décision éclairée avant même qu'une crise ne survienne.

Une gouvernance solide permet de prendre des décisions rapidement et avec assurance en situation de crise, affirme Jewitt. « Une attribution claire des responsabilités, des procédures d’escalade établies et des rôles bien définis éliminent l’incertitude lorsque le temps est compté. Les organisations qui investissent dans la gouvernance en amont d’un incident sont généralement mieux préparées à gérer les exigences réglementaires, la communication avec les parties prenantes et les efforts de rétablissement lorsqu’un incident survient. »

« Une réponse efficace aux incidents ne s’improvise pas », affirme Hannan-Jones d’UBDS Digital. « La détection est importante, mais un confinement rapide repose sur une autorité clairement définie et une coordination rigoureuse. Les équipes techniques, juridiques, de communication et de direction doivent collaborer dès le départ. Les cyberincidents affectant les données, la propriété intellectuelle ou les opérations sont des événements commerciaux, et non de simples problèmes informatiques. L’implication visible du conseil d’administration est essentielle. »

La norme ISO 27001 peut renforcer l'état de préparation lorsqu'elle est utilisée comme cadre opérationnel, mais la certification seule est insuffisante, affirme Hannan-Jones. « Des plans non testés, des responsabilités mal définies et des exercices exclusivement informatiques engendrent un faux sentiment de sécurité. »

Elle affirme qu'une résilience efficace repose sur quatre capacités mises en pratique : « Détecter, contenir, réagir et se rétablir. »

Élargissez vos connaissances

Blog : Pourquoi la cyber-résilience reste un objectif lointain pour de nombreuses entreprises britanniques

Podcast : De la salle de réunion à la salle de pause : bâtir une culture de conformité

Blog : Comment les équipes de sécurité peuvent-elles se préparer à un avenir post-mythe ?