Dans notre monde en constante évolution, les données sont devenues le bien le plus précieux de toute entreprise. Celle-ci doit absolument être protégée, mais elle doit tout autant réduire sa cyberexposition et se rendre résiliente aux cyberattaques, ou à tout le moins, les minimiser.
Que seraient les conséquences d’une violation de données sur votre entreprise? Pourrait-elle s’en remettre?
Voici propose quatre enseignements que toute entreprise peut mettre à profit pour gérer sa cyber exposition.
1. Informer et éduquer
Education is key, and it’s not only an IT responsibility and risk. It’s everyone’s responsibility.
La formation des employés sur la cybersécurité est indispensable. Dans la configuration d’une entreprise, l’erreur humaine est le maillon le plus faible de la chaîne de sécurité. Les employeurs doivent faire connaître aux employés les risques et vulnérabilités imminents et comment les éviter.
La cybersécurité devrait être un pilier de la culture d’entreprise et plusieurs moyens permettent de l’instaurer :
- Mener régulièrement des séances de formation avec vos employés où vous parlerez d’expériences vécues et en ferez ressortir les aspects pertinents pour les tâches des employés
- Lors du processus de socialisation organisationnelle des nouveaux employés, incorporer les pratiques exemplaires en matière de cybersécurité dans les discussions et protocols
- Entraîner les employés à prendre les mesures nécessaires si jamais ils soupçonnent une menace à la sécurité et ne pas oublier de tester périodiquement la véritable compréhension qu’ils ont de ce qu’ils devraient surveiller
2. Atténuer les cyberrisques
Voici quelques stratégies d’atténuation des risques à la disposition des entreprises pour protéger leurs données :
- Chiffrer les données : En rendant les données difficiles à utiliser si jamais elles tombaient entre les mains de personnes malintentionnées, le chiffrement peut être une stratégie efficace de prévention des cyberattaques.
- Exécuter des sauvegardes des données et les conserver séparément : Faire une copie de sauvegarde des données et la conserver séparément renforce la résilience devant les attaques de rançongiciels, alors que les attaquants bloquent l’accès des entreprises à leurs propres systèmes.
- Utiliser de solides mots de passe : Favoriser les mots de passe uniques et complexes, les changer souvent et déconseiller le partage de mots de passe.
- Restreindre les droits d’administrateurs du réseau : Les employés ne peuvent pas divulguer par erreur des informations auxquelles ils n’ont pas accès. Utiliser un robuste logiciel anti-maliciel et pare-feu. Bien que les anti-maliciels efficaces circonscrivent et isolent les virus informatiques quand ils les détectent, le plus important demeure d’empêcher les virus de pénétrer dans votre base de données en premier lieu.
3. Mettre en place un plan
Si vous recueillez ou conservez des données dans l’exercice de vos activités commerciales, vous en êtes responsable à titre de gardien.
Le 1er novembre 2018, d’importants changements à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) sont entrés en vigueur. Les entreprises, grosses et petites, qui sont soumises aux exigences de la LPRPDE doivent signaler les violations importantes au commissaire à la protection de la vie privée et aux personnes concernées, et tenir un registre de toutes les violations.
Par conséquent, il est important que les entreprises préparent des plans d’intervention en cas d’incident et mettent en place des procédures pour minimiser et endiguer la violation des données et pour s’en rétablir par la suite. Le plan d’intervention sert de feuille de route que les équipes concernées doivent suivre lorsqu’une violation des données est découverte. Pour qu’un plan soit efficace, il faut que l’organisation connaisse la quantité de données sensibles conservées, le type de données (données personnelles, données sur les clients, propriété intellectuelle, etc.), comment elles sont sécurisées et qui y a accès.
En cas de violation, votre entreprise peut faire deux choses pour déterminer le meilleur moyen de réagir :
- Nommer une équipe en criminalistique informatique : Des enquêteurs en criminalistique informatique indépendants peuvent trouver la source et l’étendue du problème.
- Consulter un conseiller juridique : Ils sont en mesure de vous conseiller en ce qui a trait à vos responsabilités par rapport aux lois fédérales et provinciales applicables.
4. Se fier aux spécialistes
Certains contrats d’assurance offrent des services et des ressources en matière de préparation et de gestion de crise. Voici quelques-uns des services possibles :
- Conseil
- Gestion de crise
- Aide au signalement
- Planification de l’aide aux victimes de la violation
- Soutien aux relations avec les medias
- Communications réglementaires
- Accès personnalisé à un site de préparation en cas de violation des données
Le fait d’être épaulé par le bon spécialiste pour vous aider à naviguer dans les complexités et nuances de la sécurité des données peut faire toute la différence lorsque vous vous préparez à faire face à une violation des données ou lorsque la situation se présente.
Pour être résilient, il faut être formé, proactif et appuyé. Parlez-en à votre courtier d’assurance pour être certains d’avoir accès aux ressources et expertises pertinentes.
