Les statistiques sur les violations de données donnent à réfléchir : si vous lisez régulièrement ce blog, vous aurez remarqué que les violations de données sont fréquentes et commencent souvent par une attaque d'ingénierie sociale complétée par du phishing.
En 2021, Cisco a enregistré que 90 % des violations de données commencent par du phishing, la plupart de ces violations reposant sur du spear-phishing ciblé. Une cyberattaque ou même un accident qui entraîne une perte de données a de nombreuses conséquences. Mais que se passe-t-il après une violation de données ? Quelqu'un doit généralement assumer la responsabilité d'avoir laissé la porte ouverte aux cybercriminels, alors qui porte la responsabilité en cas de violation de données ?
Les personnes impliquées dans une violation de données
Une violation de données a un impact considérable sur le personnel d'une organisation. Une cyberattaque touche le cœur même d'une entreprise, des hauts responsables aux employés :
Le PDG
Le PDG joue un rôle essentiel dans la façon dont la cybersécurité est perçue au sein de l'organisation. Une culture de la sécurité vient du haut vers le bas, et une violation de données reflète une faille dans cette culture. Les PDG sont également dans la ligne de mire des cybercriminels, avec des escroqueries telles que la fraude au PDG et la compromission d'e-mails d'entreprise (PDG) qui utilisent l'autorité du PDG pour commettre une fraude.
L'analyste Gartner résume la situation en prédisant que d'ici 2024, 75 % des PDG pourraient être personnellement responsables de violations de données cyber-physiques si leur entreprise ne s'est pas concentrée sur la cybersécurité ou n'a pas investi suffisamment dans ce domaine. Lorsqu'une violation de données se produit, un PDG doit être prêt à gérer la situation et à atténuer son impact sur l'entreprise.
Le chef de la sécurité ou le CISO (Chief Information Security Officer)
Le responsable de la sécurité est le premier interlocuteur évident en cas de problème de sécurité. Dans une enquête de Tripwire, 21 % des décideurs informatiques rejetteraient la responsabilité d'une violation de la sécurité sur le CISO. Cela n'est guère surprenant, car le travail du RSSI consiste à prendre des décisions sur les meilleures pratiques de sécurité et à superviser leur application.
Ainsi, en cas de violation des données, le RSSI ou le responsable de la sécurité sera celui qui, sur le terrain, ramassera les morceaux avec son équipe.
L'équipe de sécurité ou d'informatique
Les membres de l'équipe informatique ou de sécurité sont à l'avant-garde d'une violation de données aux côtés de leurs responsables. C'est à eux qu'il incombe d'identifier et de réagir à une violation de données. Cette tâche est effectuée soit en interne, soit par un fournisseur tiers de services de sécurité gérés. Toutefois, le délai d'identification d'une violation peut être long.
Par exemple, une enquête d'IBM a révélé qu'il faut, en moyenne, 212 jours pour détecter une violation et 75 jours pour la contenir. Cela représente une charge de travail considérable pour les informaticiens et les responsables de la sécurité, qui doivent donc se consacrer à des projets essentiels.
Responsable de la conformité
Le responsable de la conformité est soumis à une pression énorme après une violation de données. Il lui incombe de veiller à ce que les réglementations soient respectées après la violation. Cela signifie qu'il doit traiter avec le responsable de la réglementation pour l'informer des paramètres de la violation des données. En fonction de l'impact de la violation et de la loi, cela peut se faire dans les 24 heures suivant la découverte de la violation.
Les responsables de la conformité doivent également gérer les retombées considérables d'une violation, notamment les notifications aux clients et à la presse. Enfin, le responsable de la conformité devra collaborer avec le RSSI et d'autres personnes pour rectifier la situation à l'origine de la violation des données afin d'éviter qu'elle ne se reproduise.
Marketing et relations publiques
Le marketing peut sembler totalement étranger à la réponse à une violation de données, mais le marketing et les relations publiques doivent de plus en plus jouer un rôle. L'embarras et l'exposition nuisible de la marque sont souvent la conséquence d'une violation de données.
Un rapport sur les coûts financiers d'une cyberattaque a révélé que 71 % des directeurs marketing étaient convaincus que le coût le plus élevé d'un incident de sécurité était la perte de valeur de la marque. En outre, une enquête menée par Okta et YouGov a révélé que 39 % des employés britanniques ont perdu confiance dans une entreprise qui a fait un usage abusif de leurs données.
La confiance est brisée lorsqu'une violation de données se produit. Cela affecte matériellement le marketing et les relations publiques d'une entreprise. Les spécialistes du marketing d'une organisation doivent s'efforcer de résoudre l'impact d'une violation de données sur la marque de l'organisation.
Employés
La responsabilité directe de la prévention et des conséquences d'une violation de données peut incomber à la haute direction. Cependant, les employés sont également touchés : de la baisse du moral à l'augmentation du niveau de stress en passant par les mesures disciplinaires pour exposition accidentelle de données, les employés font partie du spectre de responsabilité plus large d'une violation de données. Par conséquent, les employés doivent faire partie d'une culture générale de la sécurité afin de les responsabiliser.
Conséquences réelles des violations de données
L'impact d'une violation de données n'inclut pas seulement des conséquences financières ; les employés sont matériellement affectés, perdant souvent leur emploi, et certains peuvent même se retrouver en prison. Par exemple, un rapport de 2018 de Shred-IT a révélé que 30 % des entreprises britanniques ayant subi une violation de données ont mis fin au contrat d'un employé pour cause de négligence.
Voici quelques exemples de violations récentes de données qui montrent l'impact considérable sur une organisation et qui finit par porter le chapeau :
Uber: la société de location de voitures a subi une violation de données en 2016 qui a touché 57 millions de clients. Cependant, le responsable de la sécurité (Joe Sullivan) chez Uber n'a pas divulgué la violation. Au lieu de cela, le responsable de la sécurité aurait dit à son personnel de garder la connaissance de la violation "étroitement contrôlée" et de présenter l'incident dans le cadre d'un programme de primes aux bugs. M. Sullivan est même allé jusqu'à payer les pirates informatiques 100 000 dollars dans le cadre de ce programme, les pirates acceptant de signer des accords de non-divulgation dans le cadre de l'accord.
Le résultat de tous ces subterfuges a dévasté à la fois Uber et le responsable de la sécurité. Sullivan a récemment été reconnu coupable de ne pas avoir divulgué la brèche et risque un maximum de cinq ans de prison pour obstruction et trois ans pour une accusation de méprise. Quant à Uber, l'entreprise a été condamnée à une amende de 148 millions de dollars (130 millions de livres sterling) en 2018.
DWP (Department for Work and Pensions): en 2010, 26 employés ont été licenciés pour avoir "fouiné dans les données personnelles". Les données étaient stockées dans le système d'information client (CIS) du ministère du travail et des pensions (DWP). Les problèmes ont été imputés à un "régime de sécurité laxiste" et à de mauvaises procédures de suivi des notifications et des alertes.
Singhealth: une violation de données chez Singhealth en 2018 a affecté 1,5 million de patients. En conséquence, deux employés, le chef d'équipe Citrix et le responsable de la réponse aux incidents de sécurité, ont été jugés négligents et ont donc été licenciés. De même, des amendes personnelles ont été infligées à cinq cadres supérieurs, dont le PDG.
Comment éviter les conséquences personnelles d'une violation des données ?
Les données sont l'affaire de tous, et la sécurité des données devrait faire partie intégrante de votre stratégie de sécurité. Cet objectif est réalisable si une entreprise s'efforce de développer une culture de la sécurité qui imprègne l'ensemble de l'organisation. Comme on le voit ici, nous partageons tous les conséquences d'une violation de données.
Toutefois, ces conséquences peuvent être maîtrisées en créant une culture de la sécurité dans laquelle chaque membre de l'organisation reçoit une formation sur le mode de fonctionnement des cybercriminels, sur son rôle dans la protection des données et sur la manière de repérer les tentatives d'hameçonnage.
