Tout savoir sur la cybersécurité : analyses et conseils

À mesure que nos vies s'entremêlent de plus en plus avec le monde numérique, le besoin d'une cybersécurité solide n'a jamais été aussi grand. Qu'il s'agisse de protéger les données sensibles des entreprises ou de préserver nos informations personnelles, les enjeux n'ont jamais été aussi importants.  

On a discuté avec Niel Harper, ancien responsable de la sécurité de l'information et délégué à la protection des données chez Doodle, pour mieux comprendre ce paysage en constante évolution.

Dans cette interview, on va parler de son parcours et de son rôle chez Doodle, des tendances en matière de cybersécurité, de la manière de sécuriser les données clients, et de la façon dont les petites et moyennes entreprises (PME) peuvent se protéger dans ce contexte en constante évolution. 

Les menaces de cybersécurité les plus pressantes

Selon toi, quelles sont les menaces de cybersécurité les plus pressantes auxquelles les entreprises sont confrontées aujourd’hui ?

Les ransomwares — un type de logiciel malveillant qui verrouille ou chiffre les données d’une victime et exige le paiement d’une rançon pour rétablir l’accès — continuent de représenter une menace majeure. Ils sont d’ailleurs devenus encore plus répandus, car les cybercriminels concentrent désormais leurs efforts sur la cyber-extorsion. 

Le contexte géopolitique actuel contribue également à ce que les organisations soient de plus en plus ciblées par des adversaires très expérimentés, bien organisés et soutenus par des États. 

De plus, de nombreuses entreprises ne sont toujours pas préparées à faire face aux risques auxquels elles sont exposées de la part de tiers (comme les attaques visant la chaîne d’approvisionnement). 

Enfin, l’utilisation de l’IA générative par le personnel et les acteurs malveillants externes est à la fois une opportunité et une menace, mais de nombreuses entreprises n’en comprennent toujours pas pleinement les implications.

Garantir la sécurité des données de nos clients

Comment Doodle garantit-il la sécurité des données de ses clients, notamment avec ses produits ?

Chez Doodle, on ne compte pas sur des outils de sécurité pour remplacer des contrôles de sécurité solides. On se concentre avant tout sur la mise en place des bases de la cybersécurité : gestion des identités et des accès (IAM), gestion des configurations, gestion des actifs, gestion des vulnérabilités, tests d’intrusion et gestion des risques liés aux tiers, entre autres. Les outils viennent s’ajouter à cela pour faciliter l’orchestration, l’automatisation et la défense en profondeur. 

Il y a une « culture de la sécurité » axée sur les risques, les cyberrisques étant un sujet récurrent lors des réunions du conseil d’administration et de la direction, et un élément clé du cadre de gestion des risques d’entreprise (ERM). Doodle se soumet également à des audits annuels SOC 2 Type II, Cyber Verify et RGPD. 

Créer une culture de sensibilisation à la sécurité

Quelle est la clé pour instaurer une culture de sensibilisation à la sécurité chez les employés ? 

L’aspect le plus crucial pour créer une culture de sensibilisation à la sécurité, c’est un « signal fort venant de la direction ». La sensibilisation à la sécurité doit commencer par les dirigeants, qui influencent la culture d’entreprise et guident les actions de leurs équipes.

Par exemple, chez Doodle, le conseil d’administration et la direction générale sont sensibles et conscients de l’impact potentiel des cyberrisques sur plusieurs aspects de l’entreprise. Leur soutien en matière de prise en charge des risques, de communication efficace, de financement adéquat et d’exemple à suivre est essentiel pour ancrer les bonnes pratiques de sécurité au sein du personnel. 

On propose aussi un programme de formation dynamique à la sensibilisation à la sécurité qui combine l’apprentissage en ligne, des conseils et astuces réguliers, des simulations de hameçonnage, des exercices sur table et des formations adaptées à chaque poste. 

Nouvelles tendances en matière de cybersécurité 

Quelles sont les nouvelles tendances ou technologies en matière de cybersécurité qui t’enthousiasment ou t’inquiètent le plus ? 

Je suis particulièrement enthousiaste de voir toute l’attention portée au renforcement des capacités en matière de cybersécurité. On constate que des ressources importantes sont consacrées au renforcement des capacités des États-nations pour qu’ils puissent mieux se protéger contre les menaces en ligne. 

Je tiens à saluer les acteurs clés comme le Global Forum for Cyber Expertise (GFCE), la Banque mondiale, l’Union européenne, le Forum économique mondial, l’Organisation des États américains (OEA), le Cyber Peace Institute et d’autres pour leur travail dans ce domaine. 

Parmi les menaces qui me préoccupent le plus, je citerais les risques liés aux grands modèles linguistiques (LLM) et à l’IA, l’Internet des objets (par exemple, les appareils connectés, les voitures connectées, les villes intelligentes, etc.), la cryptographie résistante à l’informatique quantique, ainsi que la cyberguerre et le cyberespionnage d’État.

Réflexions et conseils pour les entreprises

Quels conseils donnerais-tu aux entreprises, en particulier aux PME, pour mieux protéger leurs données et préserver la confiance de leurs clients ?

Les PME doivent disposer, tant au niveau de la direction qu’au niveau opérationnel, d’une personne qui comprenne et s’approprie le risque cyber comme un risque stratégique pour l’entreprise. J’entends par là que la responsabilité de la cybersécurité ne doit pas être déléguée à un responsable informatique ou à un administrateur système, car il s’agit de bien plus qu’un simple risque technologique.

Une personne qualifiée et expérimentée devrait se charger d’élaborer et de mettre en œuvre la feuille de route de l’entreprise en matière de cybersécurité. Si ces compétences ne sont pas disponibles en interne, il faudrait envisager de recruter un responsable de la sécurité des systèmes d’information (RSSI) virtuel ou à temps partiel pour superviser la gestion des risques cybernétiques. 

Comme mentionné dans un commentaire précédent, les organisations ne doivent pas considérer les outils sophistiqués comme une panacée ou un substitut à une cybersécurité efficace. Elles doivent dresser un inventaire de leurs systèmes et données critiques (« joyaux de la couronne ») et mettre en place des contrôles rigoureux en fonction de l’importance de ces systèmes et de ces actifs informationnels pour l’entreprise.

Merci, Niel, d’avoir partagé tes idées et ton expertise !