Alors que la résilience est imposée par un nombre croissant de réglementations, comment chaque organisation peut-elle y contribuer ?

Par Kate O'Flaherty

Les entreprises du Royaume-Uni sont confrontées à un problème préoccupant : les cyberattaques ont désormais un impact mesurable sur le PIB. Des rapports du Centre de surveillance de la cybersécurité (CMC) et de l’ONS suggèrent que le piratage de Jaguar Land Rover (JLR) en est un exemple. croissance du PIB ralentiel'économie n'ayant progressé que de 0.1 % au cours du trimestre allant de juillet à septembre, la production automobile ayant été ramenée à son plus bas niveau en 73 ans.

Les incidents cybernétiques importants coûtent à l'économie britannique 14.7 milliards de livres sterling par an (environ 0.5 % du PIB), et les attaques liées à la propriété intellectuelle pourraient à elles seules coûter jusqu'à 8.5 milliards de livres sterling, selon Une étude du département des sciences, de l'innovation et de la technologie et d'Alma Economics.

Si des incidents majeurs isolés tels que le Attaque JLR Si une cyberattaque peut avoir un impact mesurable sur le PIB, l'effet cumulatif de milliers d'attaques de moindre ampleur est susceptible d'être encore plus important. Ce constat préoccupant fait de la cybersécurité un risque économique systémique, qui dépasse le cadre des entreprises et du secteur informatique.

As la résilience Face à un nombre croissant de réglementations, comment chaque organisation peut-elle contribuer à minimiser l'impact des cyberattaques sur l'économie britannique ?

L'impact des coûts

Les chiffres de l'ONS sont nouveaux, mais l'impact financier était déjà présent. Chaque fois qu'une rançon de données est versée ou qu'une entreprise est victime d'une fraude, l'impact est environ cinq fois supérieur à la valeur des opportunités perdues et des coûts de récupération, explique Harry Mason, responsable des services clients chez Mason Infotech, fournisseur de services informatiques gérés. IO.

Il cite la faille de sécurité chez JLR en exemple : « L’attaque a interrompu la production pendant plusieurs semaines, créant un énorme retard à rattraper une fois la production relancée. À cela s’ajoutent les dommages causés à la réputation de l’entreprise par la couverture médiatique et la perte de confiance des consommateurs. »

Bien que, pour les PME, le coût associé aux cyberattaques puisse être moindre, il n’en est pas moins dommageable et peut, à terme, entraîner la faillite des entreprises, prévient-il.

Aujourd'hui, les ransomwares modernes, les compromissions de messagerie professionnelle, les attaques par mauvaise configuration du cloud et les campagnes de vol de données entraînent des « temps de récupération plus longs et des coûts de remédiation plus élevés », explique Dominic Carroll, directeur de portefeuille chez e2e Assure. IO« Les attaquants détruisent de plus en plus souvent les sauvegardes ou restent inactifs jusqu'à l'expiration des délais de conservation des journaux, ce qui signifie que les organisations ne peuvent pas facilement reconstituer ce qui s'est passé ni se rétablir complètement, prolongeant ainsi les perturbations de l'activité. »

Les attaques très médiatisées perpétrées contre le Royaume-Uni cette année ont mis en lumière le rôle crucial de ces organisations pour l'économie, explique Carroll. « Nous ne pouvons tout simplement pas nous permettre de perdre une telle productivité, ni de dépendre des renflouements gouvernementaux », prévient-il.

L'une des répercussions les plus importantes sur l'économie en général concerne l'investissement. Dans un marché déjà frileux face au risque, attirer des investisseurs sera encore plus difficile en cas de menace de cyberattaque ou d'interruption de service informatique, explique Mason. « Pour les entreprises, cela signifie qu'elles doivent se concentrer pleinement sur la mise en place d'une stratégie de sécurité efficace afin d'attirer et de fidéliser clients et investisseurs. »

Cadres de cyber-résilience et de conformité

Dans ce contexte économique difficile, les cadres de cyber-résilience et de conformité tels que ISO 27001, Réseau et systèmes d'information 2 (NIS 2) et Cyber ​​Essentials sont plus importantes que jamais pour toutes les entreprises.

« Des cadres comme ceux-ci fournissent des lignes directrices structurées et des bonnes pratiques pour aider les organisations à identifier, gérer et réduire l’impact des cyber-risques », explique Emma Hastings-Bray, directrice juridique chez Blacks Solicitors.

L'adoption de ces cadres peut également témoigner de l'engagement d'une entreprise en matière de conformité et de responsabilité envers ses clients, partenaires, conseils d'administration et autorités de réglementation. « Ces cadres peuvent contribuer à garantir que la cyber-résilience soit intégrée au niveau du conseil d'administration, et fournir des indicateurs mesurables pour évaluer les performances et respecter les exigences britanniques en matière de protection des données », ajoute Hastings-Bray.

Ces réglementations sont particulièrement importantes car elles se concentrent sur la chaîne d'approvisionnement – ​​un facteur essentiel pour renforcer la sécurité nationale, explique Carroll.

Il souligne que la norme NIS2 exige désormais des entités concernées qu'elles évaluent les risques liés aux chaînes d'approvisionnement critiques. Parallèlement, les États-Unis ont vu l'introduction de Certification du modèle de maturité de la cybersécurité (CMMC 3.0), qui rendra obligatoire la sécurité dans la chaîne d'approvisionnement pour tous les contrats du ministère de la Défense à partir d'octobre 2026.

Plus près de chez nous, le Projet de loi sur la cybersécurité et la résilience Selon Carroll, cela officialise la sécurité de la chaîne d'approvisionnement pour les organisations concernées.

Planification structurée de la résilience

Face à la menace que représentent les cyberattaques pour le PIB, une planification structurée de la résilience contribuera à réduire l'impact cumulatif.

Selon Carroll, une planification structurée de la résilience permet aux organisations de « rompre le cercle vicieux des répercussions économiques » causées par les cyberattaques. « Lorsque les entreprises valident régulièrement leur couverture de détection, effectuent des simulations d'attaques et intègrent des mesures de confinement rapides à leurs opérations, les incidents ne se transforment plus en pannes de plusieurs semaines, mais en perturbations de courte durée. Ce simple changement permet d'éviter d'importantes pertes de production pour l'économie. »

Selon Kerry Parkin, fondatrice de The Remarkables, une planification structurée de la résilience peut contribuer à atténuer l'impact économique des cyberattaques en empêchant que les incidents ne dégénèrent en perturbations prolongées. « Lorsque les organisations planifient leur réponse technique et communicationnelle, elles se rétablissent plus rapidement. »

Dans ce cadre, une stratégie de communication claire « permet aux dirigeants d’agir rapidement, de tenir les gens informés et d’éviter la confusion qui nuit à la confiance tout au long des chaînes d’approvisionnement », explique-t-elle.

Le tableau de la résilience nationale

La cybersécurité et la conformité étant inscrites à l'agenda national, les efforts de chaque entreprise comptent dans le tableau d'ensemble de la résilience.

Les entreprises pensent souvent qu'elles sont trop petites pour avoir une quelconque importance, mais « un seul maillon faible peut exposer tout un réseau », souligne Parkin.

Dans cette optique, la mise en place de bonnes pratiques de cybersécurité, l'élaboration d'un plan de communication bien rodé et la transparence quant aux vulnérabilités renforcent l'organisation, ainsi que l'économie dans son ensemble, explique-t-elle.

La réglementation impose déjà aux entreprises d'identifier les menaces que représentent les cyberattaques et de s'y préparer. Par exemple, en vertu de la loi britannique sur la protection des données, toutes les organisations sont légalement tenues de mettre en œuvre des mesures appropriées pour protéger les données personnelles, explique Hastings-Bray. « La résilience doit être une priorité pour chaque entreprise, depuis l'évaluation des chaînes d'approvisionnement et la réalisation des vérifications préalables jusqu'à la formation de référents internes en matière de sécurité et la formation continue du personnel. »

Les conséquences économiques négatives des cyberattaques constituent assurément un facteur de motivation pour les entreprises. Cependant, collectivement, « un travail considérable reste à accomplir » pour garantir que chacun prenne la sécurité au sérieux, affirme Mason. « C'est particulièrement important pour les dirigeants, car ils ont la capacité d'impulser le changement et de s'assurer que l'adhésion se diffuse à tous les niveaux de l'entreprise. »