background image
Soutien technique

Entrevue d’expert : de la cybersécurité à la cyber résilience

Le rapport du Forum économique mondial (FEM) cite, une fois de plus, les cyberattaques comme l’une des plus grandes menaces qui pèseront sur le monde dans les années à venir. En effet, les attaques technologiques sont devenues les menaces de notre temps. L'édition 2020 du rapport sur les risques mondiaux place les risques technologiques derrière cinq grands défis environnementaux tels que : les phénomènes météorologiques extrêmes, l'échec des mesures de lutte contre le changement climatique, les catastrophes naturelles, la perte de biodiversité et les catastrophes environnementales d'origine humaine.


De plus, il est démontré que les crises sous toutes leurs formes (organisationnelles, sanitaires, etc.) ont maintenant des ramifications sur la cybersécurité des organisations, les rendant plus vulnérables aux attaques informatiques.

 

En effet, certains fraudeurs n’hésitent pas à exploiter la détresse des gens. Certaines institutions de santé et gouvernementales en ont malheureusement fait l’expérience.
 

 

Alors quels sont les meilleurs moyens de prévention? Quel est notre rôle et comment être proactifs face à cette menace grandissante?

Il va sans dire, le marketing autour de la cybersécurité joue toujours la carte de la peur. Formulations ternes et obscures couplées aux mérites de « La » solution la plus efficace pour contrer ces attaques. Cependant, au RISQ nous pensons qu’une solution technique seule n’est pas la méthode la plus profitable.

La prise de conscience des enjeux de la cybersécurité dans les organisations est essentielle. Les effets d’une attaque, d’une défaillance technique ou encore d’une négligence humaine peuvent avoir de gros impacts. Il est donc primordial de l’envisager comme une affaire technique certes, mais également comme une affaire de bon sens. Sensibiliser les équipes internes, les étudiants et autres utilisateurs permet de contribuer à un niveau élevé de sécurité.


Adopter une approche de la cybersécurité plus positive

Au RISQ, la cybersécurité est au cœur de nos préoccupations. Notre écosystème au Québec ne manquant pas d’experts, nous avons donc rencontré Benoit Dupont, Titulaire de la Chaire de recherche du Canada en Cybersécurité et Professeur titulaire à l’école de criminologie de l’Université de Montréal, pour pousser un peu plus la réflexion.

Il faut comprendre que la cybersécurité est l’affaire de tous, introduit-il. La cybersécurité anxiogène que l’on ne connaît que trop bien n’apporte rien, ce qu’il faut développer c'est une cyberculture au sein même des organisations. Adopter une approche globale de même que faire de la prévention en interne et infuser la cybersécurité à tous les niveaux des organisations fera la différence. Les processus et procédures doivent être décrits clairement, ainsi que le la formulation d'un engagement de la direction en matière de cybersécurité.


Aller plus loin avec le concept de cyber résilience

La cyber résilience est le dernier né d’une longue série de concepts de sécurisation qui repose sur l’acceptation que les attaques peuvent arriver en tout temps et qu'il faut en atténuer les impacts. En effet, malgré tous les efforts de protection qui sont mis en place au sein des organisations, certaines attaques seront malheureusement réussies. C’est un fait, il est alors de mise de se préparer au pire et de faire en sorte de combler au mieux les brèches.

Ne sous-estimez pas l’humain dans le cas d’une cyberattaque, il n’est pas réduit au maillon le plus faible, mais il constitue au contraire un atout incontournable qui doit être renforcé.


Comment se préparer à être cyber résilient?

La cyber résilience est un défi majeur du 21e siècle. Pour Benoit Dupont, les deux termes cybersécurité et cyber résilience sont très distincts, cependant, l’un ne va pas sans l’autre.

La cyber résilience c’est l’étape au-delà de la cybersécurité. C’est la capacité d’apprendre de ces incidents et de s’adapter à leurs évolutions. Voici une définition simple pour mieux comprendre :

 

  • Cybersécurité : implique de connaître le risque pour le stopper, il est mesurable.
  • Cyber résilience : apprendre à gérer les risques imprévisibles que vous ne connaissez pas.


La clé de la préparation? S’organiser en amont et collaborer. La cyber résilience est un processus d’amélioration continue. Dans un premier temps, développez une préparation qui concerne tous les membres de votre organisation. Familiarisez l’ensemble de vos équipes avec le fait que les services peuvent être interrompus. Développez des aptitudes, des pratiques et des processus complémentaires de résilience. Voici quelques points pour vous guider :

 

  • Tenez-vous informés de l’évolution des risques et des menaces, notamment par des organismes de partage de l’information comme le CCTX
  • Favorisez le partage d’information avec vos pairs, parlez de ces sujets avec votre écosystème, vos clients, etc.
  • Renforcez les communications régulières entre les TI et les usagers afin que chacun puisse comprendre les contraintes de l'autre
  • Établissez des réseaux à l’interne, mais aussi à l’externe pour vous préparer à rétablir rapidement les services
  • Automatiser tout ce qui peut l’être pour limiter l’erreur humaine
  • Entraînez-vous régulièrement, par le biais de simulations, à rétablir les services. L’acquisition de réflexes vous aidera à mieux gérer l’inattendu
  • Apprenez sans cesse à vous adapter


Comme tout processus de gestion de crise, la cyber résilience doit être mise en place en amont des attaques et doit surtout permettre de les surmonter. Dans le monde du digital, rien ne s’improvise et aucune organisation ne peut être complètement à l’abri d’un agresseur déterminé d’avance.

Autant que possible nous devons apprendre à minimiser l’erreur humaine, et accélérer le temps de réponse aux attaques pour limiter les impacts. L’agilité est aujourd’hui la pièce maîtresse pour relever les défis de la sécurité informatique. Apprendre à fonctionner avec les répercussions négatives qu’une attaque peut avoir sans trop perturber votre organisation et toujours apprendre.

Infolettre du RISQ