Dans le cadre d’une série de trois articles publiés à l’occasion de la Journée de la protection des données 2023 (voir les articles deJakub LewandowskietThomas Bryant), Bill Mew affirme qu’il existe un véritable problème d’application de la loi : c’est un peu comme le « Far West » là-bas.
Les politiques, les cadres et les règles ne sont utiles que si elles sont respectées, tout comme les réglementations et les lois n’ont aucun sens si elles ne sont pas appliquées. Le problème dans le domaine de la protection des données et de la cybersécurité est que, là où des règles devraient être appliquées, elles sont souvent ignorées, et là où des lois ont été adoptées, leur application doit être renforcée.
Les RSSI (responsables de la sécurité des systèmes d’information) ont une tâche ingrate. Le personnel est généralement réticent à respecter les mesures de cyberhygiène que le RSSI cherche à mettre en place, mais lorsque leur manque de discipline entraîne une violation de sécurité, ces collègues s’empressent de rejeter la faute sur le RSSI. De plus, alors qu’il existe des réglementations coûteuses et complexes à respecter ainsi que des règles strictes en matière de signalement des violations, les autorités, loin d’aider à gérer les incidents ou à appréhender les véritables coupables, se contentent d’utiliser ces signalements pour déterminer le montant des amendes.
Functional, Cultural Mismatch
Si on leur posait la question, la plupart des collaborateurs s’accorderaient à dire que les cybermenaces constituent un enjeu majeur, mais dans leur travail quotidien, ils se concentrent sur des indicateurs axés sur le chiffre d’affaires ou le retour sur investissement (ROI). Ce sont ces indicateurs qui servent à évaluer leurs performances individuelles et celles de leur service, et sur lesquels s’appuient les politiques d’incitation mises en place à l’échelle de l’entreprise.
Le RSSI se concentre plutôt sur le retour sur risque (ROR). En fonction du budget alloué et de l’appétit pour le risque de l’organisation, le RSSI s’attache à optimiser la sécurité et à minimiser les risques.
Le décalage entre l’approche axée sur le ROR (retour sur engagement) du RSSI et celle, axée sur le ROI (retour sur investissement), adoptée par la quasi-totalité des autres acteurs peut mettre le RSSI en conflit avec le reste de l’équipe de direction. Non seulement il risque de se retrouver isolé (ce que j’appelle la « CISOlation »), mais il peut également servir de bouc émissaire lorsque les choses tournent mal – même lorsque les avertissements ont été ignorés.
Perverse regulatory incentives
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is thatregulation without enforcement is not just pointless but counter-productive. After all, only responsible companies will comply with these regulations, and for them, it represents a cost or compliance tax. Meanwhile, irresponsible ones often choose not to abide by the rules. If they believe that there is little or no risk of enforcement, then this is a cost-saving and risk-free source of competitive advantage.
Le non-respect des réglementations est généralisé et émane des plus hautes sphères, comme en témoignent les nombreux articles de presse faisant état d’incidents liés aux données ou d’amendes infligées aux géants de la technologie. Ces amendes ne semblent pas avoir d’effet dissuasif ; elles sont au contraire considérées comme un coût supplémentaire par les géants de la technologie et par de nombreuses autres entreprises qui ont eu la malchance d’être victimes d’un incident lié aux données.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of aindicateur tardif des déboires subis par les entreprises responsablesrather than of misbehaviour by irresponsible ones.
Record of Regulatory Inaction
La plupart des entreprises « Big Tech », attirées par un régime fiscal favorable, ont choisi d’implanter leur siège européen en Irlande. L’autorité de régulation locale, la DPC Ireland, est donc chargée de veiller à ce qu’elles respectent le RGPD et d’autres réglementations similaires. Que ce soit en raison d’un financement insuffisant, d’une réticence à faire des vagues, ou simplement parce qu’elle est dépassée et submergée par le lobbying des entreprises « Big Tech », la DPC Ireland a été jugée inefficace pour leur demander des comptes.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in avote de 451 voix contre 1. Lorsque de nouvelles pressions exercées par les régulateurs du reste de l’Europe l’ont finalement contrainte à agir après deux ans de retard, l’amende qu’elle a infligée à Facebook était si faible qu’elle a dû être multipliée par dix sous la pression des autres régulateurs.
The EU Ombudsman Emily O’Reilly eventuallyopened an inquiryinto the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, theIrish Council of Civil Liberties (ICCL) criticised the EUfor its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Ineffective Global Policing
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use ofcybersecurity ‘fire drills’to test cybersecurity and incident response capabilities but is also championing theneed for global rulesto crack down on cybercrime.
On estime que les pertes causées par toutes les formes de cybercriminalité, y compris les coûts de Recovery et de réparation, se sont élevées à 3 000 milliards de dollars en 2015 et à 6 000 milliards de dollars en 2021, et qu’elles pourraient atteindre jusqu’à 10 500 milliards de dollars par an d’ici 2025.
Cyber insuranceisn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’snot worth it.At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect ofpotentially making bad problems even worse.
While almost all nations have signed up for United Nations agreements on combatting crime, includingla cybercriminalité, certains pays ferment les yeux et offrent au contraire des refuges aux cybercriminels, leur permettant ainsi d’opérer en toute impunité. Si la plupart des actes de cybercriminalité proviennent de pays comme la Russie, l’Iran ou la Corée du Nord, ces activités ne se limitent pas à ces États voyous et se poursuivent bien plus près de chez nous. De plus, des pays comme la Chine mènent d’importantes opérations d’espionnage, et les États-Unis sont responsables d’une grande partie de la surveillance de masse à l’échelle mondiale – ce qui, dans l’ensemble, enfreint le RGPD et toute une série d’autres lois.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’sCyber Incident Reporting for Critical Infrastructure Actand in the EU with 2018’sDirective on Security Network and Information Systems. Still, there are also ahost of other regulationsthat mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. TheUnited Nations Office on Drugs and Crimeis promoting a Cybercrime Programme which has the following aims:
- Renforcer l’efficacité et l’efficience des enquêtes, des poursuites et des procédures judiciaires relatives à la cybercriminalité, en particulier l’exploitation sexuelle des enfants en ligne et les abus sexuels à leur encontre, dans le respect d’un cadre solide en matière de droits de l’homme.
- Une réponse efficace et performante à long terme de l’ensemble des pouvoirs publics face à la cybercriminalité, comprenant notamment une coordination nationale, la collecte de données et des cadres juridiques efficaces, débouchant sur une réponse durable et un renforcement de l’effet dissuasif.
- Un renforcement de la communication, tant au niveau national qu’international, entre les pouvoirs publics, les forces de l’ordre et le secteur privé, ainsi qu’une meilleure sensibilisation du public aux risques liés à la cybercriminalité.
Ce sont là des objectifs louables. Cependant, on est encore loin d’un monde où les victimes d’infractions pourraient appeler la police, qu’elle soit locale, nationale ou internationale, en espérant obtenir une aide concrète ou que justice leur soit rendue. La réalité est que, en matière de cybercriminalité, à part les spécialistes de la gestion des incidents du secteur privé, vous êtes livrés à vous-mêmes.
- Le personnel fait rarement preuve d’une discipline suffisante en matière de cyberhygiène
- Les autorités de régulation ne font pas preuve d’initiative pour repérer et lutter contre les cas de non-conformité
- Les criminels gagnent en assurance, en agressivité et en sophistication
- La police est dans l’impossibilité d’intervenir contre les criminels qui opèrent depuis des refuges sûrs
- Et les RSSI sont systématiquement désignés comme boucs émissaires lorsque les choses tournent mal
In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints fromThomas Bryant’s article and learn how to deal with it best. There isno substitute for getting your cybersecurityand incident response right.
