Les organisations ont depuis longtemps conscience de la difficulté à traduire les cyber-risques en risques d'entreprise. Le manque de communication entre le RSSI et la direction est une réalité bien documentée. Mais existe-t-il des problèmes plus profonds ? Pour diverses raisons, la gestion des cyber-risques a pris de l'ampleur au fil des ans. Aujourd'hui, elle peut englober des domaines aussi variés que la sécurité traditionnelle, la protection de la vie privée, les risques liés à la chaîne d'approvisionnement, les aspects juridiques, la gouvernance de l'IA et la résilience opérationnelle. Cela crée inévitablement des silos de données, des lacunes en matière de couverture et des défis en matière de résilience.
Si la gouvernance intégrée est l'objectif, à quoi devrait ressembler le chemin à parcourir ?
Quand la visibilité et la propriété se fragmentent
La gestion des cyber-risques est devenue si complexe au fil des ans pour diverses raisons. Autrefois, la sécurité était bien plus simple. Les ressources informatiques étaient hébergées sur site et les organisations protégeaient leur périmètre pour se prémunir contre les menaces. Cette approche de type « château fort » a disparu avec l'avènement du cloud computing, du télétravail et des applications SaaS. L'étendue de la surface d'attaque s'est étendue aux technologies opérationnelles (OT), aux systèmes de l'Internet des objets (IoT), aux appareils mobiles, aux serveurs de périphérie et bien plus encore. Résultat : plus d'actifs informatiques, plus de complexité, et une supervision plus fragmentée.
L'infrastructure et les services d'IA représentent la dernière expansion en date. Les grands modèles de langage (LLM), les agents, les bases de données vectorielles, les pipelines d'apprentissage automatique, les API, les plugins et les serveurs cloud constituent une nouvelle cible à haut risque pour les attaques. À mesure que l'IA s'intègre davantage aux services critiques des entreprises, le risque de compromission, de vol et de manipulation de données augmente. L'IA fantôme est particulièrement préoccupante. Deux tiers (65 %) des organisations ont subi des incidents de sécurité liés à des agents d'IA au cours de l'année écoulée, et une proportion encore plus importante (82 %) soupçonne la présence d'agents non gérés dans leurs environnements.
Les chaînes d'approvisionnement sont également en cause. Une entreprise utilise en moyenne 61 outils de sécurité, et ce, uniquement pour la cybersécurité. Dans presque tous les secteurs, les organisations ont constitué un écosystème complexe de partenaires gérant tout, de la logistique aux services professionnels. À cela s'ajoutent les fournisseurs de solutions numériques. Les composants open source représentent une source de risques croissante.
Le dernier facteur est l'environnement réglementaire. Avec l'émergence de nouvelles lois visant à encourager la résilience opérationnelle et à protéger les données personnelles, l'intelligence artificielle, les objets connectés et autres technologies, la charge de travail des équipes de conformité s'est accrue. Dans certains cas (comme la norme NIS2), la direction générale est désormais tenue personnellement responsable en cas de non-conformité. De ce fait, la responsabilité est davantage transférée des équipes de sécurité vers les dirigeants d'entreprise.
Qu'est-ce que cela signifie
Selon le cabinet de recherche et de conseil Info-Tech Research Group , il existe trois principaux obstacles à la gestion intégrée des risques :
- Absence de processus matures, de langage commun, de culture du risque et d'outils modernes pour soutenir la gestion intégrée des risques
- L’évolution rapide des réglementations, l’émergence de nouvelles technologies et les réalités géopolitiques changeantes rendent difficile le maintien de pratiques proactives en matière de gestion des risques.
- La gestion des risques traitée comme un exercice de conformité plutôt que comme une capacité stratégique engendre des angles morts et des occasions manquées de renforcer la résilience.
Dans certains cas, les RSSI doivent gérer une charge de travail croissante. Une étude de l'Université de Cambridge montre que cela peut engendrer une gestion des risques réactive, une conformité purement formelle et, souvent, un épuisement professionnel. Une autre étude de l'agence IANS révèle que 52 % des RSSI estiment que leur périmètre d'action n'est plus pleinement gérable. Le rapport met en garde contre le risque de retards dans la mise en œuvre d'initiatives stratégiques importantes, et souligne que cette pression est particulièrement forte dans les petites structures.
En fin de compte, la gestion des risques cloisonnée nuit à l'organisation en augmentant l'opacité et le risque de violation de données, affirme Dom Glavach, CISO de Black Duck.
« Lorsque les silos créent un manque de supervision, notamment avec l'accélération du développement de l'IA, des risques émergent au niveau des chaînes d'approvisionnement logicielles, des flux de travail et des opérations commerciales. Une responsabilité partagée est indispensable pour suivre le rythme, car les cyber-risques touchent la sécurité, les produits, la confidentialité, la conformité et les fournisseurs », explique-t-il à IO (anciennement ISMS.online). « Lorsque les silos entravent la supervision, les organisations se retrouvent avec des angles morts, des doublons, une réactivité accrue et des difficultés à prouver l'efficacité des contrôles à l'échelle de l'organisation. »
Il est temps d'intégrer
Alors, quelle est la prochaine étape pour les organisations ? Info-Tech propose un plan en quatre points pour une gestion intégrée des cyber-risques :
- Établir des objectifs et une gouvernance
- Mettre en place des mécanismes pour identifier et évaluer les risques
- Élaborer des options de réponse aux risques
- Élaborer un plan d'outillage, de surveillance et de reporting
Pour Muhammad Yahya Patel, vCISO EMEA chez Huntress, deux domaines clés devraient être prioritaires.
« Premièrement, un cadre de contrôle commun auquel toutes les fonctions se rattachent, afin que lorsque le RSSI rend compte des contrôles de sécurité, le délégué à la protection des données (DPO) des contrôles de confidentialité et le responsable de la gouvernance de l'IA des risques liés aux modèles, ils se réfèrent tous à la même taxonomie des risques sous-jacente, et que le conseil d'administration puisse avoir une vue d'ensemble », explique-t-il à IO.
« Ensuite, il convient de s'intéresser à la dimension fournisseur, car c'est là que les défaillances de gouvernance sont les plus criantes actuellement. La plupart des organisations disposent de processus de gestion des risques liés aux tiers qui sont ponctuels : une évaluation lors de l'intégration, un questionnaire lors du renouvellement. Ce qui leur manque, c'est une visibilité continue sur la mise en place des contrôles sur lesquels elles s'appuyaient lors de l'évaluation. Un suivi continu de la sécurité des fournisseurs, intégré à votre analyse interne des risques, est indispensable. »
Où les cadres de référence sont utiles
Ronald Lewis, responsable de la gouvernance de la cybersécurité chez Black Duck , compare ce processus au réglage fin d'une horloge ancienne, où chaque fonction est un rouage.
« Chaque rouage a un rôle précis, mais aucun ne fonctionne indépendamment. Si un seul rouage est mal aligné, tourne trop vite, trop lentement ou dans la mauvaise direction, tout le système dérive. C'est exactement ainsi que se comporte le risque cyber dans les environnements cloisonnés. Les contrôles ne sont pas défaillants parce qu'ils sont mal conçus ; ils sont défaillants parce qu'ils ne sont pas synchronisés avec les décisions prises ailleurs », explique-t-il.
« Ce niveau de synchronisation ne se produit pas naturellement. Il nécessite un cadre. Qu'il s'agisse de la norme ISO 27001, du NIST ou d'un modèle interne bien construit, l'objectif est d'établir un langage commun, une taxonomie cohérente et des lignes de traçabilité claires entre les risques, les contrôles et la responsabilité. »
Lewis explique qu'un cadre solide favorise l'intégration entre les domaines.
« Elle crée le lien entre la protection de la vie privée, la sécurité, les risques liés aux tiers, la gouvernance de l'IA et la résilience opérationnelle. Elle permet de voir non seulement les risques individuels, mais aussi leurs interactions et leur évolution », conclut-il. « Sans cette structure, il est impossible d'obtenir une supervision intégrée. Grâce à elle, les différents éléments peuvent s'aligner, chacun œuvrant indépendamment, mais dans la même direction, vers un objectif unique et mesurable : une compréhension et une gestion cohérentes des cyber-risques à l'échelle de l'entreprise. »
Élargissez vos connaissances
Podcast : Hameçonnage à des fins malveillantes S2 E2 : Vous êtes conforme. Êtes-vous résilient ?
Blog : Pourquoi la cyber-résilience reste un objectif lointain pour de nombreuses entreprises britanniques
