La faille SolarWinds montre pourquoi la cybersécurité doit être une priorité au niveau du conseil d'administration

Le piratage de SolarWinds en décembre 2020 a mis en lumière la facilité avec laquelle les chaînes d'approvisionnement logicielles et systèmes peuvent être compromises lorsqu'une organisation ne dispose pas d'une politique de cybersécurité robuste.

Le communiqué officiel de la CISA indique qu'un acteur de menace persistante avancée (APT) a commencé à cibler des agences gouvernementales américaines, des infrastructures critiques et des entités du secteur privé dès mars 2020, faisant preuve de patience, de sécurité opérationnelle et de techniques sophistiquées. La CISA avertit que l'élimination de cet acteur des environnements compromis sera hautement complexe et ardue. Les vecteurs d'infection détaillés et les mesures d'atténuation sont décrits dans le communiqué ici.

Ces détails font écho aux analyses d'embedded.com et d'EE Times, renforçant le rôle crucial de la sécurité de l'IoT et l'expertise des professionnels de la sécurité de l'industrie des semi-conducteurs.

Il reste stupéfiant que des violations puissent se produire même lorsque les gouvernements sont obsédés par la sécurité, mais restent vulnérables via des systèmes tiers qui négligent les protections adéquates. Je me souviens, en tant qu'ancien contractant pour le gouvernement britannique, de la formation rigoureuse en matière de sécurité et de sensibilisation requise — ne jamais laisser un ordinateur portable dans une voiture verrouillée, le garder toujours sur soi ou à portée de vue. Ces pratiques illustrent l'élément humain qui peut être négligé.

En fin de compte, l'incident SolarWinds souligne un fossé fondamental en matière de politique : la cybersécurité doit-elle être la seule responsabilité des concepteurs de matériel et de logiciels, ou doit-elle être ancrée aux plus hauts niveaux de la gouvernance d'entreprise ?

Woodside Capital Partners, un conseiller de premier plan en finance d'entreprise, a publié un rapport intitulé Sept leçons pour les PDG, administrateurs, membres du conseil d'administration et sociétés de capital-investissement, rédigé par le directeur général Nishant Jadhav. Le rapport soutient que l'attaque de la chaîne d'approvisionnement SolarWinds démontre le besoin urgent d'une compréhension plus approfondie de la cybersécurité aux niveaux exécutif et du conseil d'administration. À une époque où les menaces persistantes avancées peuvent se cacher invisiblement, protéger la réputation et la valeur de l'entreprise n'a jamais été aussi critique.

Le rapport insiste sur le fait que les membres du conseil doivent être en mesure de confirmer, en langage clair, que leur organisation dispose d'une assurance cyber robuste. Voici les sept leçons :

Leçon 1 : Adopter une mentalité « sécurité d'abord », pas « conformité d'abord » — de haut en bas

Une approche « sécurité d'abord » signifie que l'équipe dirigeante et le conseil comprennent les risques spécifiques auxquels leur entreprise fait face et ceux qu'elle crée pour ses clients et partenaires. Une posture « conformité d'abord » se contente de cocher des cases réglementaires et offre un filet de sécurité figé et à court terme. Les cybermenaces évoluent rapidement, donc des validations trimestrielles par le conseil de la posture de menace de l'entreprise sont essentielles.

Leçon 2 : Les RSSI doivent faire partie de l'équipe de direction

Les RSSI efficaces pensent au-delà de l'informatique et envisagent chaque vecteur de menace potentiel — y compris les fuites de données involontaires provenant de rôles en contact avec la clientèle et les risques découlant du déploiement de nouvelles technologies. En rendant les RSSI responsables au niveau exécutif, les organisations garantissent que les recommandations de sécurité sont mises en œuvre et que l'exposition au risque est mesurée en continu.

Leçon 3 : Évaluer les RSSI avec des KPI pour une protection et une remédiation continues

Au lieu de limoger un RSSI après une violation, concentrez-vous sur sa capacité à allouer un budget de sécurité approprié, à sensibiliser l'ensemble de l'organisation à la cybersécurité et à modéliser les réponses aux menaces externes comme SolarWinds. Les KPI doivent refléter à la fois la disponibilité opérationnelle et la capacité de l'entreprise à atténuer les attaques et à s'en remettre.

Leçon 4 : Un partenaire de confiance ne garantit pas la sécurité

L'affaire SolarWinds prouve qu'aucun partenaire ne peut être considéré comme immunisé contre les risques. La mise en place d'environnements cloisonnés (air-gapped) pour le développement de nouveaux produits peut réduire le risque d'infiltration provenant de fournisseurs de confiance.

Leçon 5 : Compromettre la sécurité n'est pas un levier de profit

Woodside Capital propose une « note cyber » comme indicateur de valorisation reflétant les investissements technologiques, la formation, les politiques de protection continue et la remédiation rapide. Des notes cyber plus élevées sont corrélées à des valorisations d'entreprise plus élevées. Les sociétés de capital-investissement devraient privilégier les notes cyber plutôt que la rentabilité à court terme.

Leçon 6 : Réévaluer l'assurance cyber au niveau du conseil d'administration

De nombreuses polices couvrent les pertes financières dues aux violations de données, mais peuvent exclure les attaques de la chaîne d'approvisionnement ou les menaces parrainées par des États. Les RSSI devraient impliquer les conseils pour obtenir une assurance couvrant ces scénarios et s'étendant sur les conséquences prolongées d'une attaque.

Leçon 7 : Protection continue de la réputation

Les violations peuvent survenir à tout moment, impactant la performance de l'entreprise. Les entreprises doivent démontrer que la cybersécurité est un facteur de différenciation clé — par des investissements continus, de l'éducation et une remédiation transparente. En établissant une assurance cyber et en la communiquant aux clients et partenaires, les sociétés peuvent protéger leur réputation sur le long terme.

Le rapport de Woodside Capital répertorie également des entreprises en phase de croissance qui fournissent des solutions complètes d'assurance cyber, de la gestion des risques à l'assurance cyber. Le rapport complet est disponible ici.