Le directeur du CISA appelle encore une fois les dirigeants et conseils d’administration à s’approprier le risque cybernétique

Les entreprises doivent assumer la responsabilité des risques liés à la cybersécurité au plus haut niveau de leur gouvernance, y compris au sein de la haute direction et du conseil d’administration, a déclaré Jen Easterly, directrice de la Cybersecurity and Infrastructure Security Agency (CISA), dans un article de blog publié mercredi.

Selon Easterly, il est essentiel que les entreprises considèrent la cybersécurité comme un risque stratégique pour leurs activités. Elles ne peuvent plus se permettre de confier cette responsabilité uniquement à leur département informatique ou à leur CISO (Chief Information Security Officer) sans l’implication et la conscience de la direction générale et des administrateurs.

« Le moment est venu pour les PDG et les conseils d’administration d’adopter activement la responsabilité cybernétique en tant que question de bonne gouvernance, reconnaissant que chaque organisation a l’obligation de garantir raisonnablement la sécurité de ses employés, partenaires et clients », a affirmé Easterly dans son article.

Cette poussée en faveur d’une gouvernance de cybersécurité renforcée intervient alors que les États-Unis sont confrontés à des cyberattaques sophistiquées visant des infrastructures critiques, perpétrées par des adversaires étatiques, notamment la Chine et la Russie.

En 2023, la CISA a collaboré avec l’Association nationale des administrateurs d’entreprise et l’Internet Security Alliance l’année dernière sur un manuel qui traite de la gestion des risques informatiques.

Easterly devrait quitter son poste de directrice de la CISA lors de l’entrée en fonction de l’administration Trump.

Les inquiétudes exprimées par Easterly sont survenues un jour après que le directeur national de la cybersécurité, Harry Coker Jr., a averti que les États-Unis devaient intensifier leurs efforts de dissuasion face aux activités malveillantes soutenues par la Chine, la Russie et d’autres adversaires.

Coker a souligné que le rôle du secteur privé est d’une importance cruciale, car une grande partie des infrastructures critiques de la nation est gérée par des organisations privées. Par conséquent, les autorités ont besoin de ce secteur pour maintenir des défenses réseau solides et partager des informations sur les menaces.

Environ 260 entreprises ont signé l’engagement “Secure by Design” de la CISA, un effort volontaire pour inciter les entreprises de technologie et autres à adhérer à des pratiques de développement sécurisées pour garantir la sécurité des logiciels dès leur sortie de la boîte.

Easterly a souligné que les membres du conseil doivent entreprendre plusieurs actions pour faire de la cybersécurité une priorité :

• Veiller à ce que les CISO soient pleinement habilités et disposés des ressources et de l’influence nécessaires pour prioriser la cybersécurité au sein de l’organisation.
• S’assurer que les cadres supérieurs soient formés sur les risques informatiques et que ces considérations soient intégrées dans les décisions d’acquisition liées aux affaires, à la technologie et aux logiciels.
• Examiner le cadre de risque cybernétique de l’entreprise et garantir le développement de normes communes.