David Mudd, responsable mondial de l’assurance de la confiance numérique, BSI, partage trois conseils pour aider les organisations comme la vôtre à gérer et à sécuriser leurs données, qu’elles proviennent de leurs opérations, de leur personnel et de leurs partenaires, de leurs clients ou de leurs utilisateurs.
Le nouveau paysage des données et de la confidentialité
À l’ère du numérique, les organisations considèrent les données comme une ressource vitale. Si la disponibilité des données améliore la productivité et la communication, elle entraîne également des défis liés à la gouvernance, à la cybersécurité et à la confiance numérique.
Il est impératif de maîtriser le stockage des données, la sécurité d’accès et les processus de gestion. Cela va au-delà de l’efficacité opérationnelle, car les violations peuvent avoir de graves conséquences financières et réputationnelles, notamment en raison de réglementations sur la protection de la vie privée comme le RGPD.
De multiples tendances influent sur la sécurité des données, notamment les coûts de la cybercriminalité, les attaques de la chaîne d’approvisionnement, l’augmentation des vulnérabilités, les risques de rançongiel et les facteurs liés au personnel interne.
Implications financières
Selon les données de Cybersecurity Ventures, le coût de la cybercriminalité devrait atteindre 8 000 milliards de dollars en 2023. Les statistiques du gouvernement britannique datant de 2021 montrent que 39 % des entreprises britanniques ont signalé des atteintes à la cybersécurité au cours d’une année, et parmi elles, 27 % ont indiqué que ces atteintes se produisaient chaque semaine. L’impact financier d’une telle fréquence de violations pourrait rapidement s’accumuler, le coût moyen de chaque violation étant estimé à environ 8 500 livres.
De plus, selon IBM, seulement 21 % des entreprises qualifient leur planification de la cybersécurité de « mature », ce qui signifie qu’elles pourraient être mal préparées, contribuant ainsi à l’augmentation des coûts prévue.
Que peut-on donc faire pour combler cette lacune et protéger les données?
Meilleures pratiques en matière de gestion et de sécurité des données
Bien qu’il n’existe pas de solution unique, il y a des exemples de meilleures pratiques dont peuvent bénéficier les organisations de toutes tailles, qu’il s’agisse de petites entreprises ou de géants mondiaux.
Voici trois conseils pour vous mettre sur la voie de la confiance dans la capacité de votre organisation à gérer et à protéger les données :
1. Garder toujours à l’esprit l’objectif final
Les organisations peuvent prospérer dans le monde numérique dynamique en exploitant ses avantages tout en minimisant les risques de cybersécurité. Un système de gestion de la sécurité de l’information efficace est essentiel à cet égard, car il fournit une solution centralisée qui rassemble les personnes, les processus et les technologies.
Dès le premier jour, ce système devrait :
- Évaluer les risques et les opportunités au niveau de l’entreprise
- Se concentrer sur les objectifs de gestion et de protection des données
- Mettre en œuvre des contrôles des meilleures pratiques pour atténuer les risques
- Définir les responsabilités et les délais d’action
- Contrôler et améliorer en permanence, en tenant compte de l’évolution des risques et des pratiques commerciales
En comprenant les exigences liées à la conception, à la mise en œuvre et à la maintenance d’un système efficace, les organisations peuvent s’engager sur la bonne voie pour instaurer la confiance, maximiser les avantages et garantir une gestion et une protection efficaces des données.
2. Penser au-delà de la protection
Il est essentiel de protéger votre organisation contre les risques liés à la cybersécurité. Toutefois, les défenses peuvent être percées par des personnes qualifiées qui ont l’intention de le faire et qui disposent du temps nécessaire.
Outre la protection de l’organisation et des données personnelles, l’accent mis sur la détection des menaces, l’identification des activités suspectes et l’efficacité de la réponse et de la reprise après un incident de cybersécurité peut être essentiel pour renforcer la résilience.
Le cadre de cybersécurité du NIST se concentre sur ces thèmes clés et guide les organisations vers la mise en œuvre d’une posture de cybersécurité qui s’aligne sur les risques de leur entreprise.
Bien que le NIST CSF ne soit pas conçu pour être un système certifiable, il peut être adopté dans des cadres certifiables comme ISO/IEC 27001, ce qui permet de combiner les meilleures pratiques pour protéger les données et instaurer la confiance.
3. Adopter une approche fondée sur les risques
Pour les novices en matière de cybersécurité, comprendre les enjeux et les implications des cyberrisques, ainsi qu’une gestion efficace des risques, peut sembler décourageant. Comment prioriser les actions à entreprendre? Pour faciliter le processus d’évaluation des risques, il existe des guides de bonnes pratiques et des normes qui se concentrent spécifiquement sur les risques liés à la cybersécurité :
Les lignes directrices sur la gestion des risques liés à la sécurité de l’information (ISO/IEC 27005) s’appuient sur les concepts et les meilleures pratiques en matière de gestion des risques à l’échelle mondiale et aident les organisations à les évaluer et à les traiter.
L’Institut national des normes et de la technologie (NIST) des États-Unis a créé un Cadre de cybersécurité (CCA), qui donne également des conseils sur la gestion des cyberrisques.
ISO/IEC 27001, la norme internationale pour la gestion de la sécurité de l’information, est conçue pour traiter de la cybersécurité et de la protection de la vie privée. Elle aligne les meilleures pratiques du consensus mondial sur l’approche du système de gestion de l’ISO, offrant ainsi une base pour établir la confiance.
La flexibilité de la norme ISO/IEC 27001 permet de l’intégrer à d’autres contrôles et cadres de sécurité pertinents.
Le document d’accompagnement ISO/IEC 27002 fournit des contrôles de référence et des conseils détaillés pour la mise en œuvre pratique, qui peuvent être classés par ordre de priorité en fonction du risque. Vous pouvez demander une certification accréditée basée sur cette norme mondiale fondée sur des exigences, ce qui renforce la confiance dans leurs capacités de gestion et de protection des données.
Renforcer la cyberrésilience
Les risques de cyberattaques et de violations ne peuvent être ignorés, car ils peuvent entraîner des pertes financières considérables et nuire à la réputation. Cependant, en adoptant une attitude proactive, vous pouvez renforcer vos défenses et établir des stratégies solides.
