Alors que les cyberattaques se multiplient, voici comment les PDG peuvent améliorer la cyber-résilience

Stimuler la cyber-résilience intersectorielle

• Reconnaître que la cybersécurité est un catalyseur commercial stratégique.

• Comprendre les moteurs économiques et l'impact du cyber-risque.

• Aligner la gestion des cyberrisques sur les besoins de l'entreprise.

• Assurez-vous que la conception organisationnelle prend en charge la cybersécurité.

• Intégrer l'expertise en cybersécurité dans la gouvernance du conseil.

• Encourager la résilience systémique et la collaboration.

Le principe représente une approche sensiblement différente de la résilience par rapport à comment les organisations déléguer la cybersécurité à l'informatique, avoir une perception erronée de la nature stratégique du cyber-risque et garder les failles secrètes.

Comprendre par la simulation

Le tableau de bord reproduit fidèlement l'écosystème de prise de décision en matière de cyberrisques. Il prend en compte la posture de défense actuelle et le développement de tactiques d'attaque, les cyberincidents émergents et l'évolution des organisations en termes de personnes, de processus et de technologie. Le tableau de bord des risques cyber fournit les moyens de faire des projections selon les indicateurs de performance de la stratégie de cybersécurité d'une organisation. Ce travail peut être facilement adapté à d'autres analyses stratégiques. Les CAM du MIT ont utilisé une approche de simulation ajoutée pour comprendre le comportement organisationnel lors de l'adaptation des principes de cyber-risque du Forum.

Le PDG cyber-conscient (CC-CEO)

Ce PDG est peut-être au courant des principes mais ne les a pas encore (encore) adoptés. Ce PDG se concentre sur le respect raisonnable des normes de sécurité et contrôle les coûts de sécurité. L'augmentation de la charge de travail et le manque de ressources de sécurité conduisent à une approche plus réactive du cyber-risque.

Le PDG résilient au WEF (WEF-CEO)

La sensibilisation stratégique favorise la cyber-résilience

Nous observons une différence significative lorsque l'on compare la force de la posture de défense représentée par le nombre d'incidents de sécurité/actifs compromis. Le PDG qui suit les principes du cyber-risque du Forum (le WEF-CEO) devrait avoir jusqu'à 85 % moins d'incidents cybernétiques (voir Figure 1) par rapport au CC-CEO.

Figure 1. Incidents cumulés sur 60 mois pour la stratégie de gestion des risques cyber du CC-CEO et du WEF-CEO. Image : MIT CAMS

Les efforts en matière de cyber-risque et la hiérarchisation des tâches du WEF-CEO permettent une intervention précoce qui limite les comportements contradictoires, tandis que l'équipe du CC-CEO répond souvent plus lentement, ce qui profite finalement à l'adversaire.

Des informations similaires peuvent être observées dans le profil de risque (voir Figure 2) concernant une distribution de fréquence d'occurrence potentielle d'incidents cybernétiques en faveur du PDG du WEF, principalement lorsqu'un grand nombre d'incidents cybernétiques peut nécessiter que les équipes informatiques aident les équipes de sécurité. Ces situations, connues sous le nom d'effets d'entraînement, nécessitent une redéfinition des priorités des tâches informatiques, généralement au détriment de la livraison du projet informatique.

Figure 2. Le profil de cyber-risque est basé sur la répartition des incidents de sécurité potentiels sur 60 mois pour la stratégie de gestion des cyber-risques du CC-CEO et du WEF-CEO. L'analyse de sensibilité est effectuée avec une plage de certitude de 95 %. L'adoption des principes de cyber-risque du Forum démontre que les organisations individuelles peuvent améliorer considérablement leur cyber-résilience sans augmenter les coûts. Image : MIT CAMS

Une approche résiliente n'augmente pas les coûts

Le WEF-CEO a probablement des coûts inférieurs à ceux du CC-CEO (voir Figure 3). La principale différence entre ces deux scénarios réside dans l'attribution des priorités des tâches et les efforts du personnel de sécurité en matière de cyber-risque. Le CC-CEO a des efforts continus qui nécessitent des ressources humaines supplémentaires pour soutenir les processus d'intervention et de récupération, exécuter des recherches post-mortem et ajuster et améliorer les capacités de sécurité en conséquence. La sécurité dès la conception mise en œuvre par le PDG du WEF a un ajustement et une amélioration proactifs continus des capacités (y compris une automatisation continue) et a mis en place des tableaux de bord et des rapports réguliers sur les cyber-risques au niveau du conseil d'administration.

Figure 3. Ressources (ETP) sur 60 mois pour la stratégie de gestion des risques cyber du CC-PDG et du WEF-PDG. Image : MIT CAMS

L'adoption des principes de cyber-risque du Forum démontre que les organisations individuelles peuvent améliorer considérablement leur cyber-résilience sans augmenter les coûts. Dans ces simulations, l'adoption des principes s'est avérée précieuse. Dans la pratique, l'interdépendance et la connectivité entre les organisations introduisent de nouvelles interdépendances, qui seront explorées par d'autres recherches et simulations. Cependant, les conclusions actuelles en elles-mêmes plaident en faveur des organisations pour qu'elles adoptent les principes du cyber-risque du Forum.