Quatre moyens de dynamiser la résilience au cyberâge

Dans notre monde en constante évolution, les données sont devenues le bien le plus précieux de toute entreprise. Celle-ci doit absolument être protégée, mais elle doit tout autant réduire sa cyberexposition et se rendre résiliente aux cyberattaques, ou à tout le moins, les minimiser.

Que seraient les conséquences d’une violation de données sur votre entreprise? Pourrait-elle s’en remettre? C’est sur ce genre de questions que se sont penchés près de 100 propriétaires d’entreprise et d’entrepreneurs lors de la discussion virtuelle #EmergingBiz Cyber Talk : Scaling Through Resiliency tenue par Startup Peel le 24 juillet 2019.

Tirés de la discussion la Souveraine Assurance propose quatre enseignements que toute entreprise peut mettre à profit pour gérer sa cyber exposition.

Ont participé à la discussion Scaling Through Resiliency
(en haut, de gauche à droite) Jean Nickerson, Silicon Halon; Charles Finlay, Rogers Cybersecure Catalyst; Daniel Bishun, Brampton Entrepreneur Centre; Melloney Campbell, Startup Peel; Julie Palacios, Souveraine Assurance;
(en bas, de gauche à droite) Ajay K. Sood, Symantec Canada et Takara Small, CBC Metro Mornings, animatrice.

1. Informer et éduquer

« L’éducation est la clé, et la responsabilité n’incombe pas uniquement aux TI. C’est la responsabilité de chacun. »

La formation des employés sur la cybersécurité est indispensable. Dans la configuration d’une entreprise, l’erreur humaine est le maillon le plus faible de la chaîne de sécurité. Les employeurs doivent faire connaître aux employés les risques et vulnérabilités imminents et comment les éviter.

La cybersécurité devrait être un pilier de la culture d’entreprise et plusieurs moyens permettent de l’instaurer :

• Mener régulièrement des séances de formation avec vos employés où vous parlerez d’expériences vécues et en ferez ressortir les aspects pertinents pour les tâches des employés
• Lors du processus de socialisation organisationnelle des nouveaux employés, incorporer les pratiques exemplaires en matière de cybersécurité dans les discussions et protocols
• Entraîner les employés à prendre les mesures nécessaires si jamais ils soupçonnent une menace à la sécurité et ne pas oublier de tester périodiquement la véritable compréhension qu’ils ont de ce qu’ils devraient surveiller

2. Atténuer les cyberrisques

Voici quelques stratégies d’atténuation des risques à la disposition des entreprises pour protéger leurs données :

• Chiffrer les données : En rendant les données difficiles à utiliser si jamais elles tombaient entre les mains de personnes malintentionnées, le chiffrement peut être une stratégie efficace de prévention des cyberattaques.
• Exécuter des sauvegardes des données et les conserver séparément : Faire une copie de sauvegarde des données et la conserver séparément renforce la résilience devant les attaques de rançongiciels, alors que les attaquants bloquent l’accès des entreprises à leurs propres systèmes.
• Utiliser de solides mots de passe : Favoriser les mots de passe uniques et complexes, les changer souvent et déconseiller le partage de mots de passe.
• Restreindre les droits d’administrateurs du réseau : Les employés ne peuvent pas divulguer par erreur des informations auxquelles ils n’ont pas accès. Utiliser un robuste logiciel anti-maliciel et pare-feu. Bien que les anti-maliciels     efficaces circonscrivent et isolent les virus informatiques quand ils les détectent, le plus important demeure d’empêcher les virus de pénétrer dans votre base de données en premier lieu.

3. Mettre en place un plan

Si vous recueillez ou conservez des données dans l’exercice de vos activités commerciales, vous en êtes responsable à titre de gardien.

Le 1er novembre 2018, d’importants changements à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) sont entrés en vigueur. Les entreprises, grosses et petites, qui sont soumises aux exigences de la LPRPDE doivent signaler les violations importantes au commissaire à la protection de la vie privée et aux personnes concernées, et tenir un registre de toutes les violations.

Par conséquent, il est important que les entreprises préparent des plans d’intervention en cas d’incident et mettent en place des procédures pour minimiser et endiguer la violation des données et pour s’en rétablir par la suite. Le plan d’intervention sert de feuille de route que les équipes concernées doivent suivre lorsqu’une violation des données est découverte. Pour qu’un plan soit efficace, il faut que l’organisation connaisse la quantité de données sensibles conservées, le type de données (données personnelles, données sur les clients, propriété intellectuelle, etc.), comment elles sont sécurisées et qui y a accès.

En cas de violation, votre entreprise peut faire deux choses pour déterminer le meilleur moyen de réagir :

• Nommer une équipe en criminalistique informatique : Des enquêteurs en criminalistique informatique indépendants peuvent trouver la source et l’étendue du problème.
• Consulter un conseiller juridique : Ils sont en mesure de vous conseiller en ce qui a trait à vos responsabilités par rapport aux lois fédérales et provinciales applicables.

4. Se fier aux spécialistes

Certains contrats d’assurance offrent des services et des ressources en matière de préparation et de gestion de crise.

Ainsi, à la Souveraine, nous offrons l’accès à des ressources de préparation en cas de violations qui peuvent aider votre entreprise à mettre rapidement au point et à exécution une stratégie ou un plan de gestion des incidents.

Voici quelques-uns des services possibles :

• Conseil
• Gestion de crise
• Aide au signalement
• Planification de l’aide aux victimes de la violation
• Soutien aux relations avec les medias
• Communications réglementaires
• Accès personnalisé à un site de préparation en cas de violation des données

Le fait d’être épaulé par le bon spécialiste pour vous aider à naviguer dans les complexités et nuances de la sécurité des données peut faire toute la différence lorsque vous vous préparez à faire face à une violation des données ou lorsque la situation se présente.

Pour être résilient, il faut être formé, proactif et appuyé. Parlez-en à votre courtier d’assurance pour être certains d’avoir accès aux ressources et expertises pertinentes.