L'honnêteté est la meilleure solution - même en cas de fuite de données !

La fuite des flux de données n'est évidemment pas un problème purement informatique. Mais les DSI, de par leur position dans l'entreprise, ont la possibilité de veiller à ce qu'une gestion honnête soit la seule approche possible.

L'enquête en question a été menée cette année lors de la conférence RSA aux États-Unis. Certaines conclusions sont encore plus surprenantes ; après tout, une grande partie des plus de 1000 personnes interrogées travaille pour des entreprises américaines.

Contrairement à de nombreux pays d'Asie et d'Europe, l'obligation de déclaration est très stricte aux États-Unis. Cela signifie que la dissimulation de fuites de données est tout simplement illégale !

Pourtant, de nombreuses entreprises préfèrent taire une fuite de données : les dommages causés par les pénalités de conformité, les frais de nettoyage ou la presse négative sont énormes ! Les clients ou les investisseurs pourraient également faire faux bond - sans parler du cours des actions.

Des affaires risquées

Si les cybercriminels veulent compromettre votre organisation, vous devez partir du principe qu'ils réussiront ! En tant que DSI ou responsable de la sécurité, vous devriez au moins encourager une culture d'ouverture.

Le signalement d'incidents de sécurité ou de "simples" soupçons devrait être accueilli favorablement et ne pas avoir de connotation négative. Ce n'est qu'à cette condition qu'il y a une chance de détecter à temps d'éventuels incidents.

Pour cela, il faut un certain cadre. La première étape consiste en une analyse complète des risques. Ce n'est qu'ensuite que l'on peut s'asseoir avec la direction.

Il s'agit en premier lieu de décider quel risque elle est prête à assumer. Chaque organisation a ici des idées différentes. Celles qui sont prêtes à assumer un risque plus élevé investiront moins dans la sécurité de l'information que l'inverse.

Une fois cette décision prise, il s'agit d'investir le budget correspondant dans des outils de gestion et de réduction des risques. Le service informatique aura ainsi créé de bonnes conditions pour "assurer ses arrières".

Après tout, il ne devrait plus y avoir de raison de dissimuler des fuites de données. Si cela se produit, c'est souvent en raison d'incertitudes, d'un manque de structures ou de l'absence d'une base de décision basée sur les risques.

Malheureusement, rares sont ceux qui forment explicitement leurs collaborateurs sur le code de conduite souhaité. Dans les grandes organisations, on dit souvent "apprendre par soi-même". Dans les petites et moyennes entreprises, même cela n'est guère le cas. Il en résulte que les incidents "s'enlisent" parfois dans le département informatique.

Le code de conduite, un point aveugle ?

Il est donc d'autant plus important de définir explicitement un code de conduite ("code of conduct"). Celui-ci devrait également contenir des règles très claires sur le signalement d'incidents et de soupçons, mais aussi sur la manière de les traiter.

Bien sûr, cela implique un certain effort. Il est toutefois plus judicieux de faire ces efforts avant. En cas d'urgence, chacun sait alors comment se comporter - et la probabilité que tout se passe bien est nettement plus élevée qu'avec des décisions ad hoc prises en panique dans le feu de l'action.

De même, chaque incident peut être considéré comme une possibilité d'amélioration et non comme un échec. C'est une possibilité d'apprendre et de se réunir à nouveau avec la direction avec les connaissances acquises.

Que ce soit pour aiguiser ou renforcer son propre profil - ou pour discuter (espérons-le) d'une augmentation du budget. Et comme si cela ne suffisait pas, il y a aussi le règlement général sur la protection des données de l'Union européenne. Lorsque celui-ci entrera prochainement en vigueur, nous aurons ici des obligations et des devoirs de déclaration aussi stricts qu'aux États-Unis, y compris des sanctions très sensibles en cas d'infraction.

Cela devrait donc être une autre bonne raison de se préparer et d'introduire une approche basée sur les risques dans l'entreprise. En effet, dans ce contexte légal, l'honnêteté est ce qu'il y a de plus durable - et c'est le meilleur moyen d'améliorer la sécurité.