Le développement d’une culture de conformité est tout aussi important que la création d’une culture d’entreprise au sein des organisations. Des organisations telles qu’Equifax et Capital One font l’objet d’un véritable tollé médiatique lorsque des données dont elles ont la charge sont exposées ; cependant, les fuites de données peuvent prendre des formes très diverses et être d’ampleur variable. L’une des plus préjudiciables est la fuite accidentelle de données par l’intermédiaire d’un salarié. Les conséquences d’une telle exposition des données peuvent être considérables pour une organisation, car non seulement la perte de données sensibles est embarrassante et nuit à la réputation, mais elle peut également avoir un impact sur votre niveau de conformité et entraîner de lourdes amendes.
La mise en place d’une « culture de conformité en matière de cybersécurité » peut contribuer à éviter que votre entreprise ne vienne grossir les rangs des victimes de manquements à la conformité ; voici comment et pourquoi.
Quand de bons initiés deviennent accidentellement de mauvais initiés
De nombreux secteurs sont confrontés au simple problème des accidents et des erreurs d’origine humaine, tels que la mauvaise configuration d’une base de données ou l’envoi par erreur d’un e-mail sensible. Ces incidents de cybersécurité sont, malheureusement, bien trop fréquents : le rapport 2021 de Verizon sur les enquêtes relatives aux fuites de données révèle que 22 % des incidents de sécurité étaient dus à des acteurs internes.
Certaines menaces internes peuvent certes être d’origine malveillante, mais celles qui sont accidentelles peuvent tout de même avoir un impact considérable sur la conformité d’une entreprise – l’Université nationale australienne (ANU) en est un exemple typique. Un cadre supérieur de l’université a accidentellement exposé 700 Mo de données comprenant des noms, des adresses, des numéros d’identification fiscale, des coordonnées bancaires, etc. L’incident s’est produit lorsqu’une campagne de spear-phishing, qui a ciblé avec succès les adresses e-mail de dizaines de membres du personnel de l’ANU, a permis à des pirates informatiques d’accéder au réseau à l’aide d’un identifiant et d’un mot de passe privilégiés.
Les e-mails mal acheminés constituent une autre cause fréquente de fuites de données. Il est très facile de se tromper lors de l’envoi d’un e-mail : l’utilisation du champ « cc » au lieu du champ « bcc » est un moyen courant de partager accidentellement des informations sensibles. C’est ce qui est arrivé à Sonos en 2020, lorsqu’un employé a accidentellement divulgué plus de 450 adresses e-mail en ajoutant les adresses des clients dans le champ « cc » au lieu du champ « bcc » alors qu’il répondait à leurs réclamations. L’incident a été signalé à l’ICO par un client lésé figurant dans la liste des destinataires en « cc ».
Un moyen efficace de lutter contre ce comportement consiste à sensibiliser les collaborateurs à l’impact que peuvent avoir de simples accidents ou des e-mails de hameçonnage sur le niveau de conformité d’une organisation. Si elle est menée à bien, cette démarche visant à impliquer les collaborateurs sur les questions de conformité permettra de mettre en place une culture cohérente en matière de conformité à la cybersécurité.
Comment instaurer une culture de conformité en matière de cybersécurité
La formation à la conformité nécessite une bonne compréhension des lois et réglementations qui s’appliquent à votre organisation. Ces réglementations vont de pair avec la cybersécurité en ce qui concerne les lois sur la protection des données, telles que la loi britannique sur la protection des données (DPA 2018) et le Règlement général sur la protection des données (RGPD) de l’Union européenne. Sensibiliser les collaborateurs à la conformité est la voie à suivre pour instaurer une culture de conformité en matière de cybersécurité.
L’utilisation du terme « culture » est importante. Une culture d’entreprise englobe des idées, des coutumes et, surtout, des comportements. Le comportement humain est à l’origine de nombreuses fuites de données accidentelles, en particulier celles liées au phishing. L’envie de cliquer est forte chez les êtres humains, car nous avons été conditionnés à utiliser les ordinateurs d’une certaine manière, tant à la maison qu’au travail. Pour remédier à cela et instaurer à la place une culture d’entreprise fondée sur la connaissance et la compréhension des interactions entre la cybersécurité et la conformité, il faut commencer par la direction et étendre cette démarche à l’ensemble de l’organisation.
5 étapes pour instaurer une culture de conformité axée sur la cybersécurité :
- Investissez dans la sécurité et la conformité : défendez et encouragez les changements nécessaires pour sensibiliser l’ensemble du personnel aux exigences en matière de conformité. Cela nécessitera un investissement en temps, en ressources et en moyens financiers ; un engagement de la part du conseil d’administration est indispensable pour instaurer cette culture de la conformité.
- Mettez en place un programme de conformité motivant pour favoriser un changement de culture: une culture de conformité en matière de cybersécurité permet de dépasser les barrières et de remettre en question les comportements bien ancrés. Il est essentiel de remettre en question ces comportements de manière ludique et motivante. Organisez des sessions de formation qui impliquent activement les collaborateurs et la direction.
- Favorisez la compréhension et la connaissance en matière de conformité: les personnes ne peuvent pas changer leurs habitudes ni respecter une politique si elles ne comprennent pas pourquoi on leur demande d’agir ainsi. Expliquez à vos collaborateurs les raisons et les enjeux des exigences de conformité. Mettez en place un programme de conformité efficace qui définisse leur rôle dans la préservation de la sécurité des données et le respect de la conformité.
- La sécurité et la conformité concernent tout le monde: la mise en place d’une nouvelle culture de la conformité est une démarche collective. Votre programme doit refléter cette réalité. Tous les services de votre organisation sont des partenaires à part entière dans la construction de votre culture de conformité en matière de cybersécurité. Cependant, tous les aspects de cette culture ne se valent pas, et les programmes doivent être adaptés à chaque service spécifique. Par exemple, le service des ressources humaines peut avoir besoin de mettre l’accent sur les erreurs d’envoi d’e-mails, tandis que le service informatique peut devoir se concentrer davantage sur les erreurs de configuration des bases de données et des serveurs. Tous doivent être informés des exigences réglementaires et des politiques de conformité applicables à votre secteur d’activité et à votre zone géographique.
- Retour d’expérience et amélioration continue de la culture d’entreprise : les réglementations évoluent, les collaborateurs oublient ce qu’ils ont appris lors des formations et les systèmes sont mis à jour. Instaurer une culture de conformité qui intègre les efforts en matière de cybersécurité et de conformité n’est pas une tâche ponctuelle. Le programme doit être régulièrement mis à jour et mis en œuvre. L’une des façons d’évaluer votre culture de cybersécurité et de conformité consiste à être à l’écoute de vos collaborateurs. Cela contribue également à renforcer leur implication dans la construction de cette culture et à garantir la conformité.
Nos collaborateurs sont les garants ultimes des données que nos organisations génèrent, partagent, stockent et éliminent. Votre personnel doit être conscient des conséquences de ses actes sur la conformité de l’entreprise et du rôle qu’il joue dans le maintien de cette conformité. Cependant, il ne suffit pas de simplement transmettre ce message !
Pour faire évoluer des comportements et des croyances profondément ancrés, une culture de la conformité doit constituer une valeur fondamentale qui tienne compte des enjeux liés aux menaces actuelles en matière de cybersécurité et des exigences réglementaires en matière de sécurité des données ; et, comme pour tout changement culturel, celui-ci ne peut être efficace qu’avec l’adhésion des personnes concernées par ce changement.