Gestion des risques liés à la cybersécurité - Guide pratique pour les entreprises

Gestion des risques liés à la cybersécurité ////////////////////////////////////////////////////////////////////////////////////////////////////// Guide pratique pour les entreprises McCarthy Tétrault LLP mccarthy.ca Gestion des risques liés à la cybersécurité ////////////////////////////////////////////////////////////////////////////////////////////////////// Guide pratique pour les entreprises 1 Gestion des risques liés à la cybersécurité TABLE DES MATIÈRES PARTIE I: Introduction . . . . . . . . . . . . . . . . . . . . . . . 3 Prolifération des données . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 Incidents de plus en plus importants et sophistiqués . . . . . . . . . . . . . . . 4 Incidents de plus en plus coûteux . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 PARTIE II: Pourquoi se préparer aux risques . . . . 6 Meilleurs résultats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Évolution des normes de diligence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 De la conformité à l’avantage concurrentiel . . . . . . . . . . . . . . . . . . . . . . . . 7 PARTIE III: Votre programme de préparation aux cyberrisques = cadre + plan . . . . . . . . . . . . . . 8 Cadre de cybersécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 Gouvernance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 Formation et politiques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 Accès des tiers et ententes de services TI . . . . . . . . . . . . . . . . . . . . . 13 Sécurité des TI, logiciels malveillants et surveillance . . . . . . . . . . . . . 14 Assurance contre les cyberrisques . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 Plan d’intervention . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18 PARTIE IV: Exécution efficace du plan d’intervention . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 Contenir les effets de l’incident . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 Réunir l’équipe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 Analyser l’incident . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22 Évaluer et gérer les conséquences juridiques . . . . . . . . . . . . . . . . . . . . . 24 Risque de litige – actions collectives . . . . . . . . . . . . . . . . . . . . . . . . . . 24 Risque réglementaire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25 Obligations relatives aux cartes de paiement et à la norme PCI DSS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 Guide pratique pour les entreprises 2 Gestion des risques liés à la cybersécurité Divulgation du risque par les sociétés ouvertes . . . . . . . . . . . . . . . . . 29 Couverture d’assurance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 Indemnisation et responsabilité des tiers ou des employés . . . . . . 31 Forces de l’ordre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 Protection des consommateurs/clients . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 Centres d’appel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 Services de protection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 Dédommagement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 Guide pratique pour les entreprises 3 Gestion des risques liés à la cybersécurité PARTIE I: INTRODUCTION Qui dit données dit possibilité de perte de données. La façon dont une organisation se prépare à une atteinte à la protection des données – et la gère si elle se produit – a un effet mesurable sur les répercussions d’une telle atteinte. En gérant efficacement un tel incident, qui peut coûter des millions de dollars et ruiner la réputation d’une organisation, on peut le maîtriser et réduire considérablement la gravité de ses conséquences. Par exemple, à la suite d’une atteinte très médiatisée à la protection des données par un logiciel malveillant installé sur les caisses en libre-service de Home Depot, deux sociétés canadiennes ont entamé des actions collectives, réclamant une indemnisation de 500 millions de dollars; les recours ont finalement été réglés pour un montant de 400 000 $. Cette réduction importante est justifiée, dit le juge, au vu de la réponse « exemplaire » de Home Depot [1] : Dans l’affaire en question, attendu : a) que Home Depot n’a apparemment commis aucun acte répréhensible; b) qu’elle a réagi rapidement et d’une manière responsable, généreuse et exemplaire aux actes criminels perpétrés contre elle par les pirates informatiques; c) que le comportement de Home Depot n’avait nul besoin d’être géré; d) que la probabilité que les membres du groupe aient gain de cause contre Home Depot tant sur le plan de la responsabilité que de la preuve de dommages consécutifs était négligeable, voire nulle; et e) que le risque d’échec devant les tribunaux et les frais de litige connexes étaient importants et immédiats, j’aurais approuvé l’abandon de l’action collective proposé par M. Lozanski, avec ou sans dépens et sans aucun avantage pour les membres du groupe présumés. Prolifération des données Les renseignements personnels se définissent comme les données pouvant servir à identifier une personne, et leur collecte crée des obligations de protection de la vie privée (expliquant l’existence de lois sur la protection de la vie privée). Avec les progrès technologiques, les organisations recueillent, conservent et transfèrent plus de renseignements personnels sur les consommateurs, les professionnels, les patients et les employés que jamais auparavant. L’accumulation de grandes quantités de renseignements personnels dans d’immenses bases de données augmente le risque d’accès non autorisé à ces informations ainsi que les conséquences qui peuvent en découler. Une seule atteinte à la protection des données personnelles peut aujourd’hui toucher des millions de personnes. L’adoption croissante d’identifiants biométriques (empreintes digitales ou vocales, reconnaissance faciale, etc. ) par les entreprises créent aujourd’hui de nouveaux risques, soit la perte ou la mauvaise utilisation de ces éléments d’identification immuables. 1 Lozanski v The Home Depot, Inc., 2016 ONSC 5447 (CanLII), http://canlii. ca/t/gt65j, parag. 74. Guide pratique pour les entreprises 4 Gestion des risques liés à la cybersécurité Incidents de plus en plus importants et sophistiqués au moyen de courriels frauduleux visant à amener par la tromperie des employés à fournir des Ces renseignements sont ensuite monnayés directement par leur utilisation dans le cadre de délits d’initiés, vendus à des concurrents (dans le cas d’une propriété intellectuelle ou d’un secret commercial) ou utilisés pour exiger une rançon. Les hauts dirigeants d’entreprise craignent de plus en plus les atteintes à la protection des données, et il est désormais communément admis que les sociétés ne doivent pas se demander si un tel incident se produira, mais quand . Incidents de plus en plus coûteux Les atteintes à la protection des données deviennent de plus en plus coûteuses. Si de nouveaux produits (comme les assurances contre les cyberrisques) contribuent à en défrayer les coûts, la réaction la plus fréquente au signalement d’un incident est une poursuite en justice (le plus souvent une action collective). Les dommages-intérêts octroyés ont certes été jusqu’ici relativement minimes, toutefois les coûts de gestion d’une atteinte à la protection des données peuvent être incroyablement élevés. La réglementation en la matière a un coût. De récentes modifications apportées à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada ont introduit l’obligation de notification d’une atteinte et une amende de 100 000 $ CA par atteinte en cas de non-respect de cette exigence – s’ajoutant aux frais financiers et aux coûts des atteintes à la réputation qu’engendrent les incidents liés à la confidentialité des données. Guide pratique pour les entreprises Col1 Col2 Col3 AUTRES MÉGA- INCIDENTS RÉCENTS AUTRES MÉGA- INCIDENTS RÉCENTS AUTRES MÉGA- INCIDENTS RÉCENTS 5 Gestion des risques liés à la cybersécurité Les coûts ne se limitent pas aux dommages : la responsabilité des atteintes à la protection des données peut être imputée au conseil d’administration. Gregg Steinhafel, chef de la direction et président du conseil de Target, a démissionné tout juste après l’incident dont son entreprise a été victime [2][. ] Un sort similaire a frappé Amy Pascal, qui a quitté ses fonctions de chef de Sony Pictures dans la foulée du piratage de Sony. 2 « Target CEO resigns after data breach fallout », CNet online, 5 mai 2014, en ligne à l’adresse http://www. cnet. com/ news/target-ceo-gregg-steinhafel-resigns-after-data-breach-fallout/ 3 « Target Reports Fourth Quarter and Full-Year 2014 Earnings », Business Wire, 25 février 2015, en ligne à l’adresse http://www. businesswire. com/news/home/20150225005513/en/Target-Reports-Fourth-Quarter-Full-Year-2014Earnings#. VQdSZo7F-Sp 4 « Judge approves Target’s $10m hack lawsuit deal », Toronto Star, 19 mars 2015, en ligne à l’adresse http://www. thestar. com/business/2015/03/19/target-offers-10m-to-settle-hack-of-40-million-credit-cards. html Guide pratique pour les entreprises 6 Gestion des risques liés à la cybersécurité PARTIE II: POURQUOI SE PRÉPARER AUX RISQUES Meilleurs résultats Les 72 premières heures sont critiques. Les atteintes à la protection des données ne font pas toutes les manchettes, mais une attaque grave peut bouleverser une organisation durant des mois. Les 72 heures suivant un incident sont particulièrement chaotiques, puisqu’une multitude de problèmes doivent être gérés au moyen d’informations encore incomplètes. Un plan d’intervention conçu d’avance pour une équipe formée et aguerrie aide grandement à éviter le chaos, car il tient les intervenants clés informés et concentre leurs efforts sur les priorités identifiées. Plus important encore, ce plan aide à organiser les urgences et peut freiner les réactions éparpillées ou le besoin irrépressible de « faire quelque chose ». De plus, une intervention rigoureusement orchestrée réduit les coûts et empêche les fournisseurs externes de prendre trop de place, aider à préserver les preuves permettant d’établir que l’organisation a suivi les normes de diligence applicables et minimise le risque d’atteinte à la réputation. Évolution des normes de diligence Un plan conçu, documenté et exécuté avec soin est essentiel pour limiter les pertes de données et les perturbations dans l’organisation . Mais surtout, il contribue à minimiser la responsabilité envers les tiers et les organismes de réglementation, pourvu qu’il soit régulièrement mis à jour en fonction de l’évolution des risques et des mesures pour les contrer. Une organisation pourra, si elle est poursuivie, voir son plan d’intervention (et sa mise en œuvre) évalué par un tribunal pour en déterminer le caractère raisonnable. Avec les nouveaux risques et les nouvelles menaces qui surgissent chaque semaine (et les mesures d’intervention et correctifs correspondants), un plan d’intervention ne saurait être un document statique. Le tribunal chargé d’évaluer le caractère raisonnable d’un plan d’intervention en cas d’incident tiendra compte non seulement des documents préparés par l’organisation, mais aussi du respect des politiques, de l’attribution des ressources techniques, financières et humaines appropriées, ainsi que du degré de participation de la haute direction à la création et à la gestion du plan. Guide pratique pour les entreprises 7 Gestion des risques liés à la cybersécurité Le caractère raisonnable d’un plan peut être évalué à la lumière des directives réglementaires propres au secteur. Par exemple, le 27 septembre 2016, les Autorités canadiennes en valeurs mobilières (ACVM) ont publié l’Avis 11-332 du personnel des ACVM – Cybersécurité (l’« Avis 2016 ») et indiqué que selon elles, il n’est plus suffisant pour les entités réglementées de simplement mettre en œuvre un plan d’intervention réactif en cas d’atteinte à la sécurité. Il faut plutôt, selon les ACVM, un « cadre de cybersécurité » proactif afin de mieux gérer et de réduire les cyberrisques. Les ACVM définissent un cadre de cybersécurité comme « un ensemble de ressources organisationnelles, notamment des politiques, du personnel, des processus, des pratiques et des technologies servant à évaluer et à atténuer les cyberrisques et les cyberattaques » (se reporter à la rubrique « Divulgation du risque par les sociétés ouvertes » ci-après pour une analyse plus détaillée de l’Avis 2016). De la conformité à l’avantage concurrentiel Alors que la protection des données était auparavant considérée comme un difficile effort de conformité qui ne rapportait rien, les entreprises avisées réalisent petit à petit qu’une protection améliorée des données et des mesures d’intervention robustes peuvent leur procurer un avantage concurrentiel. Dans une étude réalisée en 2015, 25 pour cent des répondants ont estimé que la haute direction de leur organisation assimile la sécurité à un avantage concurrentiel. [5] Fait encore plus révélateur, 59 pour cent d’entre eux ont affirmé que les cadres supérieurs seront du même avis d’ici 2018. 5 Ponemon Institute Research Report, “2015 Global Megatrends in Cybersecurity” , février 2015. Dans le cadre du sondage, 1 006 chefs de la technologie de l’information et de la sécurité des TI, au fait des stratégies de cybersécurité de leur organisation aux États-Unis, au Royaume-Uni/en Europe et au MoyenOrient/en Afrique du Nord, ont été interrogés. En ligne à l’adresse http://www. raytheon. com/news/rtnwcm/ groups/gallery/documents/content/rtn_233811. pdf Guide pratique pour les entreprises 8 Gestion des risques liés à la cybersécurité PARTIE III: VOTRE PROGRAMME DE PRÉPARATION AUX CYBERRISQUES = CADRE + PLAN Si une atteinte à la protection des données semble presque inévitable, elle peut ne pas être une catastrophe. Les organisations préparées à un tel incident dans le cadre de leur programme de gestion et de prévention des risques liés à la cybersécurité sont beaucoup plus susceptibles de connaître un dénouement favorable en cas d’incident (voire de l’éviter totalement) que celles qui adoptent une approche ponctuelle. Dans le contexte d’atteintes à la protection des données, un « dénouement favorable » se traduit par un processus de résolution d’incident qui attire peu l’attention des médias, réduit les coûts (notamment ceux associés à un possible litige), limite l’atteinte à la réputation, minimise l’intervention des actionnaires et implique un examen limité de la part des organismes de réglementation. Un programme de cybersécurité se compose d’un cadre de cybersécurité et d’un plan d’intervention. Un cadre de cybersécurité se veut proactif et consiste en un ensemble de ressources organisationnelles, notamment des politiques, du personnel, des processus, des pratiques et des technologies servant à évaluer et à atténuer les cyberrisques et les cyberattaques. Un plan d’intervention doit être réactif. Il s’agit d’une initiative prise à l’échelle de l’entreprise, qui établit un protocole pour toute l’organisation, attribue les responsabilités et définit des mesures de suivi des efforts organisationnels déployés pour résoudre les incidents. Il doit comprendre des éléments précis et couvre un vaste éventail de disciplines. Surtout, il doit être exhaustif et détaillé, et ne pas se résumer à de simples cases à cocher ou listes de choses à faire. Certains éléments clés d’un programme de cybersécurité sont présentés ci-après. Guide pratique pour les entreprises 9 Gestion des risques liés à la cybersécurité Gouvernance La cybersécurité ne vise pas qu’à contrer les risques liés aux technologies de l’information. Elle tient également compte des risques à l’échelle de l’entreprise. C’est pourquoi elle devrait faire partie du mandat général de gestion des risques du conseil d’administration. Le conseil d’administration doit se pencher sur la question de la cybersécurité. En juin 2014, Luis Aguilar, commissaire de la Securities and Exchange Commission (SEC), s’est adressé à la Bourse de New York pour parler des risques liés à la cybersécurité pour le conseil d’administration, précisant que les incidents ont gagné en fréquence et en complexité et qu’ils sont devenus plus coûteux pour les entreprises [6][. ] Il a mis l’accent sur le rôle des conseils d’administration, soulignant leur responsabilité de s’assurer du caractère adéquat des mesures de cybersécurité de l’entreprise dans le cadre de leur rôle de surveillance des risques. Les organismes de réglementation commencent à abandonner le principe de la conformité volontaire. Le 13 septembre 2016, le ministère des Services financiers (DFS) de l’État de New York a annoncé un nouveau projet de règlement sur la cybersécurité (le « Règlement ») applicable aux banques, aux compagnies d’assurance et aux autres institutions financières réglementées par le DFS. Le Règlement vise à protéger tant les systèmes d’information des entités réglementées que les renseignements non publics sur les clients qu’ils contiennent contre la menace croissante de cyberattaques et de cyberinfiltrations. Il exige, entre autres, quatre mesures de protection importantes : a) établir un programme de cybersécurité; b) établir une politique de cybersécurité; c) nommer un chef de la sécurité de l’information; et d) répondre aux exigences de signalement et de consignation des incidents. Au Canada, l’approche a été jusqu’ici quelque peu différente. Si aucune juridiction canadienne n’a encore adopté un règlement semblable, les ACVM ont publié l’Avis 2016 après avoir constaté que de nombreux émetteurs ne communiquaient pas pleinement leur exposition aux cyberrisques. Les ACVM ont également indiqué qu’elles comptent revoir l’information fournie par certains des plus grands émetteurs. (Pour en savoir plus à ce sujet, se reporter à la rubrique « Divulgation du risque par les sociétés ouvertes » ci-après. ) 6 « Boards of Directors, Corporate Governance and Cyber-Risks: Sharpening the Focus », U . S. Securities Exchange Commission, en ligne à l’adresse Guide pratique pour les entreprises 10 Gestion des risques liés à la cybersécurité Les tribunaux ont également commencé à prendre en compte le rôle des administrateurs dans la gestion des risques liés à la cybersécurité. Le 20 octobre 2014, un tribunal du New Jersey a rejeté une action oblique intentée par des actionnaires de Wyndham Worldwide Corp. (WWC), qui réclamaient des dommages-intérêts, notamment des administrateurs et des dirigeants, au motif de plusieurs atteintes à la protection des données [7][. ] Cette décision a été la première rendue aux États-Unis dans le cadre d’une telle procédure. Des poursuites similaires ont été intentées dans le district du Minnesota contre les 13 administrateurs et dirigeants de Target. Les demandeurs ont soulevé des allégations de violation de l’obligation fiduciaire et de gaspillage des actifs de la société, entre autres choses. Les actionnaires ont critiqué non seulement la conduite des administrateurs et des dirigeants avant la fuite des données, alléguant que l’incident s’est produit par leur faute, mais aussi leur réaction après la découverte de la fuite, blâmant les administrateurs et dirigeants d’avoir mal agi dans leur manière de communiquer l’incident, de mener l’enquête et de remédier à l’atteinte. Ces plaintes ont également été rejetées [8] que les administrateurs et les dirigeants peuvent adopter pour les prémunir de toute responsabilité à l’égard des atteintes à la protection des données. risques liés à la cybersécurité de leur organisation. 7 Palkon ex rel. Wyndham Worldwide Corp. v. Holmes , No. 2:14-cv-01234 (D. N. J., 20 octobre 2014) [« Wyndham »]. 8 Mary Davis et al. v. Gregg W. Steinhafel et al. , No. 0:14-cv-00203 (D. Minn., 18 juillet 2014). Guide pratique pour les entreprises 11 Gestion des risques liés à la cybersécurité Formation et politiques Les politiques et procédures de l’organisation constituent les éléments clés d’un programme de gestion des risques liés à la cybersécurité. Si leur contenu peut varier, les politiques présentent toutefois des éléments communs. Par exemple, quel que soit leur objet précis, sont-elles rédigées en langage clair et compréhensible par les employés de tous les niveaux? Peut-on les consulter facilement (sont-elles affichées sur un intranet, par exemple)? Les employés reçoivent-ils une formation en bonne et due forme? Le programme de chaque organisation comportera des particularités variables selon la juridiction, le secteur d’activité et la tolérance au risque de l’organisation. Voici des exemples de particularités que pourraient inclure la formation et les politiques : SÉCURITÉ DES TI L’organisation offre-t-elle à l’équipe de sécurité de l’information des outils et de la formation pour l’orienter? Une politique à cet effet peut inclure les éléments suivants : Contrôle des accès et gestion des mots de passe Connexions réseau et gestion du pare-feu Gestion des virus et des maliciels, y compris l’installation des mises à jour et des correctifs, et mécanismes de contrôle des changements Chiffrement, notamment en transit Sécurité des réseaux, y compris du réseau sans fil Guide pratique pour les entreprises 12 Gestion des risques liés à la cybersécurité Préparation à l’intervention et à la résolution des incidents touchant les données, incluant un mécanisme de signalement des incidents Accès à distance aux réseaux de l’organisation Élimination des actifs informatiques, des dispositifs et des données (y compris une politique en matière de conservation des données) Poursuite des activités et reprise après sinistre UTILISATION ACCEPTABLE DES ACTIFS INFORMATIQUES L’organisation possède-t-elle des politiques en langage clair sur l’utilisation acceptable par les employés des systèmes et actifs d’information, du courriel et des autres services de communications, d’Internet, des appareils, etc ? La politique de l’organisation explique-t-elle l’utilisation acceptable des médias sociaux à des fins professionnelles et/ou l’échange autorisé de messages concernant l’organisation sur les médias sociaux? L’organisation possède-t-elle une politique sur l’utilisation d’équipement personnel de communication (« BYOD ») à des fns professionnelles? L’organisation possède-t-elle une politique sur le travail à domicile/télétravail et l’utilisation d’appareils mobiles et/ou de supports de stockage de données portables (clés USB, disques durs portables, etc )? SENSIBILISATION ET FORMATION DU PERSONNEL L’organisation publie-t-elle des politiques officielles sur la formation régulière du personnel, et tientelle un registre des employés qui ont suivi et réussi cette formation? La formation a-t-elle lieu à l’accueil des nouveaux employés, au moment des changements de poste, et/ou sur une base régulière, et/ou en cas de révision importante d’une politique? Est-elle documentée, et/ou les employés doivent-ils attester qu’ils l’ont suivie et réussie? Les employés qui quittent l’organisation reçoivent-ils un rappel de leurs obligations en matière de retour des actifs informationnels? CONTRÔLE PRÉALABLE DES FOURNISSEURS L’organisation possède-t-elle une politique établissant les critères normaux et suffisants de contrôle préalable de tous les fournisseurs qui auront accès à ses systèmes informatiques? (Pour les fournisseurs de biens ou de services informatiques, le contrôle préalable qui déterminera la négociation et l’application des modalités relatives à la cybersécurité de leur contrat est important, et il est traité plus en détail ci-après, dans l’encadré intitulé « Exemples de contrôles préalables du fournisseur ».) Guide pratique pour les entreprises 13 Gestion des risques liés à la cybersécurité En cas d’atteinte à la protection des don- nées, l’organisme de réglementation et, s’il y a poursuite, l’avocat du demandeur demand- eront probablement à obtenir les politiques de l’organisation. Il serait donc judicieux que l’avocatconseil examine toutes les politiques avant leur rédaction définitive. Accès des tiers et ententes de services TI Les privilèges d’utilisateur constituent les contrôles d’accès les plus simples. Il s’agit de droits accordés à un utilisateur pour lui permettre d’accéder aux systèmes et aux données de l’entreprise. Le principe le plus répandu est celui du « moindre privilège », par lequel l’utilisateur ne reçoit que le niveau d’accès nécessaire pour s’acquitter de ses fonctions. Ce principe s’applique non seulement aux employés, mais aussi aux fournisseurs et aux autres tiers. Souvent, les relations de ce type sont régies par des contrats, qui peuvent aussi devenir des éléments clés de la préparation aux risques liés à la cybersécurité en établissant les dispositions relatives à la prévention, à l’atténuation et à la résolution des risques. On rencontre deux scénarios contractuels habituels : celui de la prestation directe de services TI ou celui de la fourniture d’un produit ou service qui exigera que le fournisseur accède aux systèmes informatiques (par exemple, un fournisseur de services d’éclairage doit accéder aux systèmes de contrôle environnemental des locaux de l’organisation). Un contrôle préalable raisonnable est nécessaire dans les deux cas, mais plus approfondi dans le premier. Pour un contrat de services TI, le point de départ est la détermination des risques liés à la cybersécurité (voir ci-contre). Guide pratique pour les entreprises De plus, un contrôle préalable adéquat du fournisseur est essentiel pour conclure le meilleur contrat possible. La structure et les éléments de la solution proposée, ainsi que les capacités, les certifications, les pratiques de gestion des risques et les ressources financières du fournisseur, sont tous des éléments à explorer (voir ci-contre). Un fois le profil de risque en matière de cybersécurité de l’organisation établi, et un contrôle préalable rigoureux du fournisseur effectué, l’équipe des services juridiques est en mesure d’adapter l’entente de services TI proposée en fonction des dispositions applicables sur la prévention, l’atténuation et la résolution des atteintes à la protection des données. Certaines des plus importantes dispositions de général fortement contestée dans le domaine de cesse. Une organisation aura intérêt à consulter des avocats externes expérimentés dans ce domaine pour déterminer comment il convient d’aborder ces questions et pour explorer les diverses avenues possibles. Sécurité des TI, logiciels malveillants et surveillance Les défenses TI de l’organisation constituent un aspect vital de la gestion des risques - sont-elles adéquates, à jour et adaptées aux menaces connues? Il est important que l’organisation s’abonne à un service d’évaluation des menaces exhaustif et légitime (les bulletins sur la cybersécurité et les documents sur les meilleures pratiques du Centre canadien de réponse aux incidents cybernétiques (CCRIC), par exemple) [9][. ] Il existe aussi des groupes d’industrie et sectoriels voués au partage de l’information. À titre d’exemple, le Comité sur les paiements et les infrastructures de marché de la Banque des règlements internationaux a publié 9 Ressources du Centre canadien de réponse aux incidents cybernétiques, en ligne à l’adresse Guide pratique pour les entreprises 15 un rapport sur les pratiques de cybersécurité actuelles des institutions financières [10] La Banque du Canada a adopté la norme conseillée par le Comité en matière de gestion des risques pour les institutions financières désignées, soulignant que les « projets de coopération qui facilitent la mise en commun de l’information renforcent la cybersécurité en créant un espace de discussion propice à l’échange de pratiques exemplaires et de renseignements sur les menaces, ainsi qu’à l’établissement de réseaux de confiance intersectoriels [11] » . Une organisation doit donc installer des logiciels standards de protection contre les virus et les maliciels, et en assurer la mise à jour régulière et documentée, protéger ses réseaux, y compris les réseaux sans fil, contre les attaques internes et externes au moyen de méthodes normalisées, comme des pare-feu et des systèmes de détection continuelle des logiciels malveillants, procéder régulièrement à des essais de pénétration (idéalement exécutés par un tiers indépendant) et mettre en place des solutions techniques de détection et de blocage des activités ou des accès suspects. Les attaques d’ingénierie sociale doivent aussi être envisagées, et les organisations devraient penser à former leurs employés sur les façons d’éviter d’être victime d’hameçonnage, sur les dangers des « mauvais jumeaux » (points d’accès Wi-Fi illicites qui semblent être des points 10 « Cyber resilience in financial market infrastructures », Committee on Payments and Market Infrastructures, novembre 2014, en ligne à l’adresse 11 « Résilience du système financier canadien : l’apport de la cybersécurité », Banque du Canada, décembre 2014, en ligne à l’adresse Gestion des risques liés à la cybersécurité Guide pratique pour les entreprises 16 Gestion des risques liés à la cybersécurité d’accès légitimes offerts sur place, mais qui en réalité ont été créés par des pirates pour intercepter les communications sans fil; les utilisateurs bernés connectent leur ordinateur portable ou téléphone mobile au point d’accès frauduleux du pirate, qui se présente comme un fournisseur légitime) et sur les clés USB qui semblent avoir été égarées, mais qui en fait ont été délibérément infectées par un logiciel malveillant et laissées sur place. Cyberassurance Alors que le nombre, la portée et l’impact des atteintes à la sécurité des données ne cessent d’augmenter, les organisations cherchent à transférer les risques connexes, le plus souvent en obtenant une police d’assurance : si le risque est assurable, il est transférable. Marsh Inc., courtier d’assurance d’envergure mondiale, affirme que le nombre d’organisations ayant acheté une cyberassurance aux États-Unis a augmenté de 33 % entre 2011 et 2012, et que le secteur de l’assurance commerciale dont l’expansion est la plus rapide au monde est celui des cyberassurances [12] En général, une assurance contre les risques liés à la cybersécurité offre deux protections : une couverture des pertes directes du titulaire de la police et une couverture d’assurance responsabilité qui protège des réclamations de tiers. COUVERTURE DES RISQUES PROPRES AU TITULAIRE : Coûts associés à la détermination de la portée d’un incident et aux mesures palliatives Coûts des avis aux personnes dont les renseignements personnels ont été compromis Services de relations publiques pour contrecarrer la publicité négative pouvant découler d’une enquête Coûts de réponse aux enquêtes du gouvernement Coûts de remplacement du matériel ou des logiciels endommagés Coûts d’intervention face au vandalisme des données électroniques de l’entreprise Coûts de l’interruption des activités d’affaires 12 « Companies turn to cyber insurance after Ashley Madison and other high-profile hacks », CBC News, 14 octobre 2015, en ligne à l’adresse http://www. cbc. ca/news/canada/kitchener-waterloo/companies-turnto-cyber-insurance-after-ashley-madison-and-other-high-profile-hacks-1. 3270756. Guide pratique pour les entreprises 17 Gestion des risques liés à la cybersécurité COUVERTURE D’ASSURANCE RESPONSABILITÉ ENVERS LES TIERS : Responsabilité à l’égard de l’accès aux renseignements personnels des clients Transmission d’un virus ou d’un logiciel malveillant à un client ou à un partenaire d’afaires Défaut d’aviser un tiers de ses droits en vertu de la réglementation pertinente en cas d’atteinte à la protection des données Possibles préjudices imputables à la publicité (par les médias électroniques, tels que l’utilisation non autorisée ou la contrefaçon d’œuvres protégées par le droit d’auteur ainsi que les poursuites pour diffamation, calomnie et atteinte à la réputation) Une assurance contre les risques liés à la cybersécurité peut aussi couvrir la crise suivant une atteinte à la protection des données, notamment les frais liés à la gestion de l’incident (enquête, mesures correctives, avis obligatoires, établissement d’un centre d’appel, gestion des relations publiques, vérifications de crédit des personnes concernées) et les frais juridiques (amendes ou frais de poursuite ou de défense). Toute couverture d’assurance est subordonnée aux modalités de la police. Les organisations doivent donc se poser quelques questions et faire examiner leur police par un conseiller en la matière. EXEMPLES DE QUESTIONS RELATIVES À UNE CYBERASSURANCE : Quels contrôles de sécurité peut-on mettre en place pour réduire la prime? Faudra-t-il se soumettre à un quelconque examen des risques de sécurité? Qu’attend-on de l’organisation en matière de réduction ou de limitation des risques? L’assureur accorde-t-il un rabais pour les années sans réclamation? Peut-on présenter une demande de règlement si une intrusion n’est détectée que des mois ou des années plus tard, soit hors de la période de couverture? Qui prend la décision de payer ou de ne pas payer la rançon? Guide pratique pour les entreprises 18 Gestion des risques liés à la cybersécurité Plan d’intervention Jusqu’à présent, nous avons orienté la discussion sur les éléments proactifs d’un plan de cybersécurité. Un autre aspect important d’un programme de cybersécurité est le plan d’intervention réactif. L’efficacité d’un plan d’intervention en cas d’incident dépend au bout du compte de l’appui de la direction. L’étape suivante dans l’élaboration d’un plan d’intervention efficace consiste à réunir la bonne équipe. Le plan d’intervention doit s’appliquer à l’échelle de l’entreprise et mettre à profit l’expérience d’une équipe de représentants des principales parties prenantes au sein de l’organisation. Habituellement, elle sera formée de cadres supérieurs des services juridiques, des relations publiques et du marketing, du service à la clientèle, des ressources humaines, de la gestion de la sécurité/des risques de l’entreprise et des TI. Idéalement, des conseillers externes préexaminés et présélectionnés seront également impliqués. Les responsabilités de l’équipe et les détails du plan font l’objet de la partie IV ciaprès. Une fois le plan d’intervention rédigé, il ne doit pas reposer dans un tiroir. Les organisations doivent former et exercer leur personnel et procéder à des simulations d’incidents afin de développer des automatismes. Celles qui se préparent le mieux mènent régulièrement des simulations de crise pour mettre leurs plans à l’épreuve, augmenter la sensibilisation des dirigeants et perfectionner leurs capacités d’intervention. De plus, elles invitent souvent un conseiller externe expérimenté, pour avoir traité des dizaines d’incidents, à participer à la simulation afin d’évaluer la réaction de l’organisation. Guide pratique pour les entreprises 19 Gestion des risques liés à la cybersécurité PARTIE IV: EXÉCUTION EFFICACE DU PLAN D’INTERVENTION Que faire durant les 72 premières heures. Un plan d’intervention détaillé doit être préparé en avance , testé, et bien compris des membres de l’organisation. Il aidera un groupe diversifié à concerter efficacement ses efforts en cas de crise et préviendra les communications bien consultées pour l’élaboration du plan d’intervention. Chacune d’elle devra désigner parmi leur groupe un responsable pour a) l’exécution des dispositions du plan qui touchent le groupe; et b) assurer les suivis auprès de la direction. Plusieurs étapes reconnues doivent faire partie du plan d’intervention : 1. Contenir les effets de l’incident Les atteintes à la protection des données ne sont pas toutes le fait de redoutables pirates qui s’attaquent aux systèmes informatiques des organisations. Les incidents physiques (qui ne sont pas d’origine électronique, comme un employé qui quitte l’entreprise en emportant des renseignements avec lui, la perte de dossiers ou d’appareils et le vol d’ordinateurs portables) sont toujours monnaie courante. Soulignons que le plan d’intervention de l’organisation ne doit pas s’appliquer seulement en cas de brèche électronique, mais aussi en cas d’incident physique critique. En fonction de la nature et de la portée de l’incident physique, il peut convenir ou ne pas convenir Guide pratique pour les entreprises 20 Gestion des risques liés à la cybersécurité d’exécuter le plan et de réunir l’équipe d’intervention. Quelle que soit la situation, la première chose à faire est de lancer une enquête et d’agir rapidement pour limiter la perte des données. Pour ce faire, on peut restreindre l’accès des employés et du public aux secteurs touchés et, au besoin, remplacer les serrures et les cartes d’accès. L’organisation doit déterminer s’il est nécessaire d’aviser la police. Si une enquête interne ou externe est en cours, il faudra notamment dresser la liste des actifs perdus ou affectés, obtenir les renseignements de suivi et les vidéos de surveillance disponibles (le cas échéant) et, si l’incident implique l’inconduite d’un employé, envisager les conséquences de cette enquête du point de vue des RH. En cas d’incident électronique (un piratage ou une autre atteinte à l’infrastructure des TI ayant entraîné la perte de données ou une infiltration, par exemple), il est probable que les dégâts soient plus difficiles à contenir et que l’organisation doive mettre en œuvre son plan et réunir l’équipe d’intervention. La décision dépendra en grande partie de l’importance de l’incident et du type de renseignements touchés. 2. Réunir l’équipe S’il y a lieu, il faut communiquer avec les membres de l’équipe, les réunir et les mettre au courant de la situation. L’utilisation du téléphone seulement (et, dans certains cas, de nouveaux téléphones mobiles) pourrait être nécessaire afin d’éviter l’utilisation d’un système de courriel compromis et, de ce fait, les fuites. Des canaux de communication sécurisés (téléphones, ordinateurs portables, réseaux) doivent également être mis à la disposition de la haute direction et d’autres employés clés. Une fois le plan d’intervention amorcé, les canaux de communication, les structures de signalement et les responsabilités devraient être clairs. Au moment de décider de ces canaux et structures, il est essentiel d’avoir déjà envisagé la manière la plus efficace pour faire intervenir les conseillers juridiques internes et externes afin de préserver le secret professionnel (le cas échéant). La composition de l’équipe peut varier en fonction de l’organisation et de la nature de l’incident, mais ses responsabilités seront généralement les suivantes : SERVICES JURIDIQUES/CONFORMITÉ Mettre en œuvre, avec un conseiller juridique externe, un protocole de préservation du secret professionnel Déterminer comment aviser les personnes touchées, les médias, la police, les organismes de réglementation gouvernementaux et autres tiers (émetteurs de cartes de crédit, banques, etc ) Guide pratique pour les entreprises 21 Gestion des risques liés à la cybersécurité Établir des relations avec un conseiller juridique externe avant qu’un incident se produise et gérer les services-conseils externes pendant l’intervention Gérer l’ensemble des avis statutaires dans toutes les juridictions ainsi que les communications avec les commissaires à la protection de la vie privée,...