Gestion des risques liés à la cybersécurité

personnes touch es

JPMorgan

Chase & Co.

(2014)

Home Depot

(2014)

Yahoo (2014)

incident divulgu

en 2016

Bureau de la

gestion du

personnel des

tats-Unis

(2014 - 2015)

R seau de

traitement

dop rations

bancaires

mondial SWIFT

(2016)

Cabinet

davocats Mos-

sack Fonseca

(2016)

76 millions de

m nages et 7 millions

de petites entreprises

touch s

56 millions de

personnes touch es

et 53 millions

dadresses de courriel

vol es

500 millions de

personnes touch es

18 millions de

personnes touch es,

dont 5,6 millions

dempreintes

digitales

Au moins 81 millions

de dollars vol s

2,6 To de donn es

sensibles sur

des politiciens,

des criminels,

des athl tes

professionnels, etc .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises5

Les co ts ne se limitent pas aux dommages : la responsabilit des atteintes la

protection des donn es peut tre imput e au conseil dadministration. Gregg Steinhafel,

chef de la direction et pr sident du conseil de Target, a d missionn tout juste apr s lincident

dont son entreprise a t victime2 . Un sort similaire a frapp Amy Pascal, qui a quitt ses

fonctions de chef de Sony Pictures dans la foul e du piratage de Sony .

CO TS GLOBAUX DU PIRATAGE DE TARGET EN 2013

Target a enregistr en 2013 et en 2014 des d penses de 162 millions de dollars

am ricains attribuables latteinte la protection des donn es, o des pirates se sont

introduits dans le r seau de lentreprise pour acc der aux renseignements sur les cartes

de cr dit et dautres donn es des clients, qui a touch 70 millions de clients3 . Target

a d clar que ce montant a t partiellement contrebalanc par des remboursements

dassurance de 46 millions pour 2014 et de 44 millions pour 2013 .

De plus, Target a accept de r gler pour 10 millions de dollars les actions collectives

intent es par ses clients4 . Les demandeurs doivent faire la preuve des dommages

r els (y compris, sans sy limiter, les charges frauduleuses port es aux cartes de cr dit),

ce qui peut diminuer les co ts, mais cela ne change rien pour Target si les dommages

ne sont pas r clam s en totalit . Au bout du compte, le co t du r glement sera

probablement sup rieur 10 millions de dollars, car :

les avocats des demandeurs ont exig des d pens de 6,75 millions de dollars;

Target a d payer les frais de gestion du r glement;

Target a aussi d adopter des protocoles de cybers curit et nommer un chef de la

s curit de linformation.

Enfin, le r glement NE couvre PAS les poursuites intent es contre Target par les

metteurs de cartes de cr dit qui ont d rembourser les frais frauduleux imput s aux

consommateurs touch s par le vol de leurs renseignements .

2

3

4

Target CEO resigns after data breach fallout , CNet online, 5 mai 2014, en ligne ladresse http://www .cnet .com/

news/target-ceo-gregg-steinhafel-resigns-after-data-breach-fallout/ .

Target Reports Fourth Quarter and Full-Year 2014 Earnings , Business Wire, 25 f vrier 2015, en ligne ladresse

http://www .businesswire .com/news/home/20150225005513/en/Target-Reports-Fourth-Quarter-Full-Year-2014-

Earnings# .VQdSZo7F-Sp .

Judge approves Targets $10m hack lawsuit deal , Toronto Star, 19 mars 2015, en ligne ladresse http://www .

thestar .com/business/2015/03/19/target-offers-10m-to-settle-hack-of-40-million-credit-cards .html .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises

6

PARTIE II: POURQUOI SE

PR PARER AUX RISQUES

Meilleurs r sultats

Les 72 premi res heures sont critiques. Les atteintes la protection des donn es

ne font pas toutes les manchettes, mais une attaque grave peut bouleverser une

organisation durant des mois . Les 72 heures suivant un incident sont particuli rement

chaotiques, puisquune multitude de probl mes doivent tre g r s au moyen

dinformations encore incompl tes .

Un plan dintervention con u davance pour une quipe form e et aguerrie

aide grandement viter le chaos, car il tient les intervenants cl s inform s et

concentre leurs efforts sur les priorit s identifi es . Plus important encore, ce plan

aide organiser les urgences et peut freiner les r actions parpill es ou le besoin

irr pressible de faire quelque chose . De plus, une intervention rigoureusement

orchestr e r duit les co ts et emp che les fournisseurs externes de prendre trop de

place, aider pr server les preuves permettant d tablir que lorganisation a suivi les

normes de diligence applicables et minimise le risque datteinte la r putation .

volution des normes de diligence

Un plan con u, document et ex cut avec soin est essentiel pour limiter

les pertes de donn es et les perturbations dans lorganisation . Mais surtout,

il contribue minimiser la responsabilit envers les tiers et les organismes de

r glementation, pourvu quil soit r guli rement mis jour en fonction de l volution

des risques et des mesures pour les contrer .

Une organisation pourra, si elle est poursuivie, voir son plan dintervention

(et sa mise en Suvre) valu par un tribunal pour en d terminer le caract re

raisonnable. Avec les nouveaux risques et les nouvelles menaces qui surgissent

chaque semaine (et les mesures dintervention et correctifs correspondants), un

plan dintervention ne saurait tre un document statique . Le tribunal charg d valuer

le caract re raisonnable dun plan dintervention en cas dincident tiendra compte

non seulement des documents pr par s par lorganisation, mais aussi du respect

des politiques, de lattribution des ressources techniques, financi res et humaines

appropri es, ainsi que du degr de participation de la haute direction la cr ation et

la gestion du plan .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises7

Le caract re raisonnable dun plan peut tre valu la lumi re des directives

r glementaires propres au secteur. Par exemple, le 27 septembre 2016, les

Autorit s canadiennes en valeurs mobili res (ACVM) ont publi lAvis 11-332 du

personnel des ACVM Cybers curit (l Avis 2016 ) et indiqu que selon elles, il

nest plus suffisant pour les entit s r glement es de simplement mettre en Suvre

un plan dintervention r actif en cas datteinte la s curit . Il faut plut t, selon les

ACVM, un cadre de cybers curit proactif afin de mieux g rer et de r duire les

cyberrisques . Les ACVM d finissent un cadre de cybers curit comme un ensemble

de ressources organisationnelles, notamment des politiques, du personnel, des

processus, des pratiques et des technologies servant valuer et att nuer les

cyberrisques et les cyberattaques (se reporter la rubrique Divulgation du risque

par les soci t s ouvertes ci-apr s pour une analyse plus d taill e de lAvis 2016) .

De la conformit lavantage concurrentiel

Alors que la protection des donn es tait auparavant consid r e comme

un difficile effort de conformit qui ne rapportait rien, les entreprises

avis es r alisent petit petit quune protection am lior e des donn es et

des mesures dintervention robustes peuvent leur procurer un avantage

concurrentiel. Dans une tude r alis e en 2015, 25 pour cent des r pondants ont

estim que la haute direction de leur organisation assimile la s curit un avantage

concurrentiel .5 Fait encore plus r v lateur, 59 pour cent dentre eux ont affirm que

les cadres sup rieurs seront du m me avis dici 2018.

5

Ponemon Institute Research Report, 2015 Global Megatrends in Cybersecurity, f vrier 2015 . Dans

le cadre du sondage, 1 006 chefs de la technologie de linformation et de la s curit des TI, au fait des

strat gies de cybers curit de leur organisation aux tats-Unis, au Royaume-Uni/en Europe et au Moyen-

Orient/en Afrique du Nord, ont t interrog s . En ligne ladresse http://www .raytheon .com/news/rtnwcm/

groups/gallery/documents/content/rtn_233811 .pdf .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises

8

PARTIE III: VOTRE PROGRAMME DE

PR PARATION AUX CYBERRISQUES

= CADRE + PLAN

Si une atteinte la protection des donn es semble

presque in vitable, elle peut ne pas tre une

catastrophe. Les organisations pr par es un tel

incident dans le cadre de leur programme de gestion et

de pr vention des risques li s la cybers curit sont

beaucoup plus susceptibles de conna tre un d nouement

favorable en cas dincident (voire de l viter totalement)

que celles qui adoptent une approche ponctuelle . Dans

le contexte datteintes la protection des donn es, un

d nouement favorable se traduit par un processus

de r solution dincident qui attire peu lattention des

m dias, r duit les co ts (notamment ceux associ s un

possible litige), limite latteinte la r putation, minimise

lintervention des actionnaires et implique un examen

limit de la part des organismes de r glementation .

PRINCIPAUX

L MENTS

1. Gouvernance

2. Formation et politiques

3. Acc s des tiers et ententes de

services TI

4. S curit des TI, logiciels

malveillants et surveillance

5. Assurance contre les

cyberrisques

6. Plan dintervention

Un programme de cybers curit se compose dun cadre de cybers curit et dun plan

dintervention . Un cadre de cybers curit se veut proactif et consiste en un ensemble

de ressources organisationnelles, notamment des politiques, du personnel, des processus,

des pratiques et des technologies servant valuer et att nuer les cyberrisques et

les cyberattaques . Un plan dintervention doit tre r actif . Il sagit dune initiative prise

l chelle de lentreprise, qui tablit un protocole pour toute lorganisation, attribue les

responsabilit s et d finit des mesures de suivi des efforts organisationnels d ploy s pour

r soudre les incidents . Il doit comprendre des l ments pr cis et couvre un vaste ventail

de disciplines . Surtout, il doit tre exhaustif et d taill , et ne pas se r sumer de simples

cases cocher ou listes de choses faire .

Certains l ments cl s dun programme de cybers curit sont pr sent s ci-apr s .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises9

Gouvernance

La cybers curit ne vise pas qu contrer les risques li s aux technologies de

linformation. Elle tient galement compte des risques l chelle de lentreprise .

Cest pourquoi elle devrait faire partie du mandat g n ral de gestion des risques du

conseil dadministration .

Le conseil dadministration doit se pencher sur la question de la cybers curit .

En juin 2014, Luis Aguilar, commissaire de la Securities and Exchange Commission

(SEC), sest adress la Bourse de New York pour parler des risques li s la

cybers curit pour le conseil dadministration, pr cisant que les incidents ont

gagn en fr quence et en complexit et quils sont devenus plus co teux pour les

entreprises6 . Il a mis laccent sur le r le des conseils dadministration, soulignant leur

responsabilit de sassurer du caract re ad quat des mesures de cybers curit de

lentreprise dans le cadre de leur r le de surveillance des risques .

Les organismes de r glementation commencent abandonner le principe de la

conformit volontaire. Le 13 septembre 2016, le minist re des Services financiers

(DFS) de l tat de New York a annonc un nouveau projet de r glement sur la

cybers curit (le R glement ) applicable aux banques, aux compagnies dassurance

et aux autres institutions financi res r glement es par le DFS . Le R glement vise

prot ger tant les syst mes dinformation des entit s r glement es que les

renseignements non publics sur les clients quils contiennent contre la menace

croissante de cyberattaques et de cyberinfiltrations . Il exige, entre autres, quatre

mesures de protection importantes : a) tablir un programme de cybers curit ;

b) tablir une politique de cybers curit ; c) nommer un chef de la s curit de

linformation; et d) r pondre aux exigences de signalement et de consignation des

incidents .

Au Canada, lapproche a t jusquici quelque peu diff rente. Si aucune

juridiction canadienne na encore adopt un r glement semblable, les ACVM

ont publi lAvis 2016 apr s avoir constat que de nombreux metteurs ne

communiquaient pas pleinement leur exposition aux cyberrisques . Les ACVM ont

galement indiqu quelles comptent revoir linformation fournie par certains des

plus grands metteurs . (Pour en savoir plus ce sujet, se reporter la rubrique

Divulgation du risque par les soci t s ouvertes ci-apr s .)

6

Boards of Directors, Corporate Governance and Cyber-Risks: Sharpening the Focus , U .S .

Securities Exchange Commission, en ligne ladresse <http://www .sec .gov/News/Speech/Detail/

Speech/1370542057946> .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises10

Les tribunaux ont galement commenc prendre en compte le r le des

administrateurs dans la gestion des risques li s la cybers curit . Le 20 octobre

2014, un tribunal du New Jersey a rejet une action oblique intent e par des actionnaires de

Wyndham Worldwide Corp . (WWC), qui r clamaient des dommages-int r ts, notamment

des administrateurs et des dirigeants, au motif de plusieurs atteintes la protection des

donn es7 . Cette d cision a t la premi re rendue aux tats-Unis dans le cadre dune telle

proc dure . Des poursuites similaires ont t intent es dans le district du Minnesota contre les

13 administrateurs et dirigeants de Target . Les demandeurs ont soulev des all gations de

violation de lobligation fiduciaire et de gaspillage des actifs de la soci t , entre autres choses .

Les actionnaires ont critiqu non seulement la conduite des administrateurs et des dirigeants

avant la fuite des donn es, all guant que lincident sest produit par leur faute, mais aussi

leur r action apr s la d couverte de la fuite, bl mant les administrateurs et dirigeants davoir

mal agi dans leur mani re de communiquer lincident, de mener lenqu te et de rem dier

latteinte . Ces plaintes ont galement t rejet es8 .

Le jugement contient des exemples de m thodes de surveillance des cyberrisques

que les administrateurs et les dirigeants peuvent adopter pour les pr munir de toute

responsabilit l gard des atteintes la protection des donn es .

la lumi re de la d cision rendue dans laffaire Wyndham, nous pr sentons ici des exemples

de mesures que les dirigeants et administrateurs peuvent appliquer pour cerner et valuer les

risques li s la cybers curit de leur organisation .

ACTIONS DES DIRIGEANTS ET ADMINISTRATEURS*

I

S

E

U

Q

T

I

L

O

P

R diger des politiques de cybers curit et adopter des proc dures et des contr les internes,

notamment sur le moment et la m thode de divulgation;

Mettre en Suvre des m thodes de d tection des incidents li s la cybers curit .

I

S

N

O

T

A

N

M

O

N

I

Nommer un chef de linformation ou un chef de la s curit de linformation exp riment pour

rencontrer r guli rement et conseiller le conseil dadministration

Songer aussi nommer au conseil un expert des questions de cybers curit (ou commander une

pr sentation dexpert sur le sujet) et cr er un comit des risques dentreprise

7

Palkon ex rel. Wyndham Worldwide Corp. v. Holmes, No . 2:14-cv-01234 (D .N .J ., 20 octobre 2014) [ Wyndham ] .

8 Mary Davis et al. v. Gregg W. Steinhafel et al., No . 0:14-cv-00203 (D . Minn ., 18 juillet 2014) .

Gestion des risques li s la cybers curit Guide pratique pour les entreprises11

T

E

S

N

E

M

A

X

E

S

T

R

O

P

P

A

R

Examiner les budgets annuels des programmes de protection de la vie priv e et de s curit des

TI.

Recevoir r guli rement des rapports sur les atteintes la protection des donn es et les

cyberrisques

Comprendre clairement qui, au sein de la direction, est le premier responsable de la surveillance

des risques li s la cybers curit et de lapplication de pratiques ad quates et efficaces de gestion

I

N

O

T

A

T

N

E

R

O

I

D terminer les risques g rer et att nuer directement, et ceux qui peuvent tre transf r s gr ce

une assurance.

• Tir es de laffaire Wyndham, de la pr sentation du commissaire de la SEC Luis A . Aguilar dat e du 10 juin 2014 et du document intitul

Framework for Improving Critical Infrastructure Cybersecurity du National Institute of Standards and Technology, accesible en ligne ladresse

<http://www .nist .gov/cyberframework/upload/cybersecurity-framework-021214-final .pdf>

Formation et politiques

Les politiques et proc dures de lorganisation constituent les l ments cl s dun programme

de gestion des risques li s la cybers curit . Si leur contenu peut varier, les politiques pr sentent

toutefois des l ments communs . Par exemple, quel que soit leur objet pr cis, sont-elles r dig es

en langage clair et compr hensible par les employ s de tous les niveaux? Peut-on les consulter

facilement (sont-elles affich es sur un intranet, par exemple)? Les employ s re oivent-ils une

formation en bonne et due forme?

Le programme de chaque organisation comportera des particularit s variables selon la juridiction, le

secteur dactivit et la tol rance au risque de lorganisation .

Voici des exemples de particularit s que pourraient inclure la formation et les politiques :

S CURIT DES TI

Lorganisation offre-t-elle l quipe de s curit de linformation des outils et de la formation pour

lorienter? Une politique cet effet peut inclure les l ments suivants :

Contr le des acc s et gestion des mots de passe

Connexions r seau et gestion du pare-feu

Gestion des virus et des maliciels, y compris linstallation des mises jour et des correctifs, et

m canismes de contr le des changements

Chiffrement, notamment en transit

S curit des r seaux, y compris du r seau sans fil

Gestion des risques li s la cybers curit Guide pratique pour les entreprises

12

Pr paration lintervention et la r solution des incidents touchant les donn es, incluant un m canisme de

signalement des incidents

Acc s distance aux r seaux de lorganisation

limination des actifs informatiques, des dispositifs et des donn es (y compris une politique en

mati re de conservation des donn es)

Poursuite des activit s et reprise apr s sinistre

UTILISATION ACCEPTABLE DES ACTIFS INFORMATIQUES

Lorganisation poss de-t-elle des politiques en langage clair sur lutilisation acceptable par les

employ s des syst mes et actifs dinformation, du courriel et des autres services de communications,

dInternet, des appareils, etc .?

La politique de lorganisation explique-t-elle lutilisation acceptable des m dias sociaux des fins

professionnelles et/ou l change autoris de messages concernant lorganisation sur les m dias

sociaux?

Lorganisation poss de-t-elle une politique sur lutilisation d quipement personnel de

communication ( BYOD ) des fins professionnelles?

Lorganisation poss de-t-elle une politique sur le travail domicile/t l travail et lutilisation

dappareils mobiles et/ou de supports de stockage de donn es portables (cl s USB, disques durs

portables, etc .)?

SENSIBILISATION ET FORMATION DU PERSONNEL

Lorganisation publie-t-elle des politiques officielles sur la formation r guli re du personnel, et tient-

elle un registre des employ s qui ont suivi et r ussi cette formation?

La formation a-t-elle lieu laccueil des nouveaux employ s, au moment des changements de

poste, et/ou sur une base r guli re, et/ou en cas de r vision importante dune politique? Est-elle

document e, et/ou les employ s doivent-ils attester quils lont suivie et r ussie? Les employ s qui

quittent lorganisation re oivent-ils un rappel de leurs obligations en mati re de retour des actifs

informationnels?

CONTR LE PR ALABLE DES FOURNISSEURS

Lorganisation poss de-t-elle une politique tablissant les crit res normaux et suffisants de contr le

pr alable de tous les fournisseurs qui auront acc s ses syst mes informatiques?

(Pour les fournisseurs de biens ou de services informatiques, le contr le pr alable qui d terminera la

n gociation et lapplication des modalit s relatives la cybers curit de leur contrat est important, et il

est trait plus en d tail ci-apr s, dans lencadr intitul Exemples de contr les pr alables du

fournisseur .)

Gestion des risques li s la cybers curit Guide pratique pour les entreprises13

En cas datteinte la protection des don-

n es, lorganisme de r glementation et, sil y

a poursuite, lavocat du demandeur demand-

eront probablement obtenir les politiques de

lorganisation. Il serait donc judicieux que lavocat-

conseil examine toutes les politiques avant leur

r daction d finitive .

Acc s des tiers et ententes

de services TI

Les privil ges dutilisateur constituent les

contr les dacc s les plus simples. Il sagit de droits

accord s un utilisateur pour lui permettre dacc der

aux syst mes et aux donn es de lentreprise . Le

principe le plus r pandu est celui du moindre

privil ge , par lequel lutilisateur ne re oit que le

niveau dacc s n cessaire pour sacquitter de ses

fonctions .

Ce principe sapplique non seulement aux

employ s, mais aussi aux fournisseurs et aux

autres tiers. Souvent, les relations de ce type sont

r gies par des contrats, qui peuvent aussi devenir des

l ments cl s de la pr paration aux risques li s la

cybers curit en tablissant les dispositions relatives

la pr vention, latt nuation et la r solution des

risques .

EXEMPLES DE FACTEURS

D VALUATION DU PROFIL

DE RISQUE EN MATI RE

DE CYBERS CURIT

DUNE ORGANISATION

Lorganisation volue-t-elle dans un secteur

o un cadre r glementaire dicte les

mesures de cyberprotection? Par exemple,

dans le secteur des services financiers

au Canada, lentente devra respecter

les r glements existants et mergents

promulgu s par le BSIF, lOCRCVM et les

ACVM .

Lorganisation fait-elle affaire dans plusieurs

juridictions? O les donn es sont-elles

recueillies, trait es et stock es?

Sagit-il dune soci t ferm e, ou dune

soci t ouverte comportant de nombreux

actionnaires et assujettie un contr le des

changes?

Des renseignements personnels ou

donn es m dicales personnelles seront-

ils trait s? Le cas ch ant, il faudra tenir

compte des lois sur la protection de la vie

priv e .

La solution TI servira-t-elle au commerce de

type B2B ou B2C?

La solution TI pr voit-elle lintervention de

tiers comme des fournisseurs de services

dh bergement ou de paiement?

Lorganisation conserve-t-elle ses

donn es sur place, dans un centre de

donn es local ou dans le nuage?

On rencontre deux sc narios contractuels habituels : celui de la prestation directe

de services TI ou celui de la fourniture dun produit ou service qui exigera que le

fournisseur acc de aux syst mes informatiques (par exemple, un fournisseur de

services d clairage doit acc der aux syst mes de contr le environnemental des

locaux de lorganisation) . Un contr le pr alable raisonnable est n cessaire dans les

deux cas, mais plus approfondi dans le premier .

Pour un contrat de services TI, le point de d part est la d termination des

risques li s la cybers curit (voir ci-contre).

Gestion des risques li s la cybers curit Guide pratique pour les entreprises14

De plus, un contr le pr alable ad quat du fournisseur

est essentiel pour conclure le meilleur contrat possible .

La structure et les l ments de la solution propos e,

ainsi que les capacit s, les certifications, les pratiques

de gestion des risques et les ressources financi res

du fournisseur, sont tous des l ments explorer (voir

ci-contre) .

Un fois le profil de risque en mati re de cybers curit

de lorganisation tabli, et un contr le pr alable

rigoureux du fournisseur effectu , l quipe des

services juridiques est en mesure dadapter lentente

de services TI propos e en fonction des dispositions

applicables sur la pr vention, latt nuation et la

r solution des atteintes la protection des donn es .

EXEMPLES DE

CONTR LES PR ALABLES

DU FOURNISSEUR

Quel est le cadre de s curit du

fournisseur? Quelles politiques et

proc dures sont en place pour en assurer

lint grit ?

Le fournisseur autorisera-t-il les essais

de p n tration et lexploration dautres

vuln rabilit s?

Les installations du fournisseur sont-elles

v rifi es en fonction de contr les internes

reconnus? Le fournisseur proc de-t-il

des audits internes, et est-il pr t en

communiquer les r sultats au client?

O se trouvent les centres de service du

fournisseur? O les donn es sont-elles

trait es et stock es?

quelle assurance contre les cyberrisques

le fournisseur souscrit-il, et a-t-il pr sent

des demandes dindemnit au cours des

cinq derni res ann es?

Certaines des plus importantes dispositions de

lentente concernent la r partition des risques.

Linfluence r ciproque des d clarations, des garanties,

des indemnisations et des responsabilit s est en

g n ral fortement contest e dans le domaine de

la cybers curit , car la jurisprudence volue sans

cesse . Une organisation aura int r t consulter des

avocats externes exp riment s dans ce domaine pour

d terminer comment il convient daborder ces questions et pour explorer les diverses

avenues possibles .

Le fournisseur respecte-t-il les normes

de s curit reconnues dans lindustrie (y

compris, sil y a lieu, celles qui concernent

linformatique en nuage)?

S curit des TI, logiciels malveillants et

surveillance

Les d fenses TI de lorganisation constituent un aspect vital de la gestion

des risques sont-elles ad quates, jour et adapt es aux menaces connues? Il

est important que lorganisation sabonne un service d valuation des menaces

exhaustif et l gitime (les bulletins sur la cybers curit et les documents sur les

meilleures pratiques du Centre canadien de r ponse aux incidents cybern tiques

(CCRIC), par exemple)9 . Il...