Prévenir, détecter, réagir : Questions de cybersécurité pour les conseils d’administration en 2023

Dans cette webémission, notre groupe de professionnels en cybersécurité, accompagnés des coprésidents du Centre des leaders pour conseils d’administration de KPMG, ont fait part de leurs points de vue sur ce que les conseils d’administration doivent savoir en matière de cyberrisques et de réglementation.

Parmi les faits saillants de la discussion : S’il y a une attaque, devrions-nous payer une rançon? Quelle est la responsabilité du conseil d’administration? Quels indicateurs clés de risque le conseil devrait-il surveiller? Le domaine de la cybersécurité a-t-il changé en raison de la popularité et de l’accessibilité accrues des outils d’intelligence artificielle? Les organisations devraient-elles investir dans la cyberassurance et la formation des employés? Notre groupe de professionnels a répondu à toutes ces questions et à bien d’autres.

Voici quelques points importants à considérer :

• Puisque les cyberattaques sont commises dans toutes sortes de secteurs et que les pirates informatiques changent continuellement de tactique, il faut donc adopter une approche d’« attaque et contre-attaque ».
• Les conseils d’administration n’ont pas toujours besoin d’un membre possédant des compétences en cybersécurité, pourvu qu’ils puissent accéder à cet ensemble de compétences pour avoir une bonne compréhension des mesures et des menaces grâce à un « traducteur de cybersécurité ».
• Tenir compte des leçons tirées d’incidents passés pour orienter les décisions futures en matière de stratégie.
• L’équipe d’intervention en cas de cyberincident d’une organisation devrait comprendre au minimum un conseil d’administration, des ressources technologiques internes, un conseiller en cas d’intrusion, un cabinet d’enquêtes technologiques pour contenir l’incident et en analyser la cause profonde, un cabinet de communication spécialisé en cybercrises.
• Un modèle de services gérés est un moyen efficace et efficient de surveiller les cyberactivités en tout temps et de libérer ses ressources techniques, qui se concentrent alors sur d’autres priorités.
• Lorsqu’il s’agit de cybersécurité, les organisations paient maintenant (pour la formation, l’assurance, les services-conseils stratégiques) ou bien plus tard (rançon, perte/vol de données, équipe d’intervention d’urgence).

Le conseil d’administration joue un rôle de surveillance et d’orientation, et à donner à la direction les ressources appropriées pour prévenir, détecter et contrer une cyberattaque.