Diriger une entreprise implique de gérer les risques auxquels l’entreprise doit faire face. Hors de ses affaires courantes, chaque entreprise est exposée à la probabilité d’événements qui peuvent lui causer des dommages, voire l’obliger à interrompre ses activités. Il peut s’agir d’un accident, d’un sinistre, ou d’un problème majeur de nature technologique tel qu’une panne, une attaque informatique ou un vol de données.
« Pour se protéger efficacement contre les risques spécifiques à l’entreprise, il faut d’abord les connaître, observe Alain Cormier, directeur exécutif, développement des affaires de NOVIPRO. Évaluer les risques que court l’entreprise est donc la première étape de toute démarche pour augmenter sa sécurité. »
Identifier les risques et leurs impacts
Quels sont les impacts concrets que peut craindre une entreprise si elle est attaquée ou si des données sont volées ou perdues ? On en distingue quatre grandes catégories :
La vulnérabilité liée aux partenariats
La dépendance d’une entreprise n’est pas limitée à ses ressources internes. La majorité des organisations utilisent aujourd’hui des ressources numériques de fournisseurs à distance ou dans le nuage. La dépendance externe est également physique : certaines entreprises doivent suspendre leurs activités si elles ne reçoivent pas les produits et services dont elles ont besoin.
Or, les chaînes d’approvisionnement sont de plus en plus complexes. Les fournisseurs ont eux-mêmes des fournisseurs, exposés à leurs propres risques. « Pour bien identifier tous les points de vulnérabilité de l’entreprise, conseille Alain Cormier, il faut donc inventorier l’ensemble des services physiques et numériques qui soutiennent ses activités, puis cartographier les dépendances entre ces services. »
L’entreprise est-elle déjà protégée ?
Il peut être difficile d’évaluer l’efficacité des moyens de défense que l’entreprise a déjà mis en place si un événement néfaste survenait. Pour aider les dirigeants des grandes entreprises canadiennes à s’en faire une idée juste, le responsable de l’unité d’affaires et du marché Sécurité pour IBM Canada, Maxime Desbiens, les emmène à Boston, au Cyber Range du X-Force Command Center. Ce laboratoire de simulation immersive plonge les visiteurs dans une situation de crise.
« C’est une expérience intense, raconte Maxime Desbiens. En la vivant, beaucoup de gestionnaires réalisent qu’ils sont moins prêts qu’ils le pensaient à affronter une attaque. Ils comprennent aussi qu’une réponse efficace doit impliquer tous les services de l’entreprise, pas seulement les TI. En particulier, l’impératif d’une bonne communication — autant avec les employés, les clients et les fournisseurs qu’avec les autorités — leur apparaît clairement. »
Quel niveau de protection viser ?
Les menaces et les points de vulnérabilité sont multiples. La sécurité absolue n’existe pas, et préparer sa défense a un coût. Alors, comment fixer le niveau de sécurité que l’entreprise devrait atteindre à l’égard des risques qu’elle juge importants ? « Grâce aux statistiques accumulées par notre expérience à travers le monde, on peut aider l’entreprise à se situer par rapport au niveau de sécurité moyen de son industrie, explique Maxime Desbiens. L’entreprise doit ensuite faire une réflexion stratégique, tenant compte de sa situation et de ses ressources, pour estimer sa tolérance aux différents risques. »
En analysant ainsi en profondeur, avec l’aide d’experts en sécurité, les risques auxquels elle pourrait faire face, une entreprise se donne les moyens d’identifier les moyens qui lui permettront de maintenir ses activités, quelles que soient les épreuves qu’elle aurait à traverser.
Lire l'article suivant de notre dossier "La sécurité, un enjeu d'entreprise" : Une bonne gouvernance : un atout pour faire face aux cybermenaces