Aucune entreprise n’est à l’abri d’une cyberintrusion, peu importe l’étendue de ses connaissances en cybersécurité. C’est pourquoi il est crucial de mettre en place un plan d’intervention en cas d’incident et de créer une documentation connexe. Dans votre plan d’intervention, vous devez inclure les mesures à prendre par votre entreprise si vous soupçonnez la violation de vos données. Plus vite votre entreprise suivra son plan en cas d’incident, en meilleure posture vous serez pour atténuer les répercussions sur votre entreprise.

Une étude de 2021 réalisée par IBM sur la cyberrésilience des entreprises a révélé que 54 % des sociétés n’ont pas de plan d’intervention applicable à l’échelle de leur entreprise en cas d’incident. En outre, comme les incidents se multiplient de plus en plus rapidement de nos jours, de nombreux observateurs prévoient que la plupart des entreprises finiront tôt ou tard par être victimes d’un incident. C’est donc maintenant qu’il faut songer à préparer votre entreprise.

Formez votre équipe d’intervention en cas de cyberintrusion

Votre personnel d’intervention clé doit être formé et bien comprendre ses responsabilités pour intervenir efficacement en cas de brèche de sécurité informatique. En détectant et en contenant une brèche informatique, une entreprise peut économiser beaucoup d’argent et éviter des conséquences négatives.

Au moment d’établir votre plan d’intervention en cas d’atteinte à la protection des données, vous devez penser à coordonner les activités de toutes vos équipes afin de réduire les risques d’erreurs. Voici quelques-unes des équipes qui devraient être impliquées dans votre plan, ainsi que les tâches qui leur incombent :

Technologie de l’information et sécurité

Votre personnel de la sécurité et des technologies de l’information (TI) devrait constamment réévaluer les lacunes de l’entreprise concernant la sécurité des données, s’exercer à détecter les vulnérabilités et mettre en œuvre les mesures de sécurité, car il sera le premier à intervenir en cas de brèche informatique pour contenir l’incident et appliquer les correctifs.

Services juridiques

L’équipe des services juridiques peut être amenée à travailler avec les TI, selon la gravité des incidents, pour déterminer les obligations légales de l’entreprise et fournir des conseils. Le travail conjoint des deux équipes contribuera à réduire le risque que des amendes vous soient imposées par des gouvernements provinciaux ou fédéral, conformément à la réglementation en vigueur, par exemple la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, et par des gouvernements étrangers, si vous avez des clients à l’extérieur du Canada.

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) fournit le cadre légal pour les avis que doit fournir votre entreprise. Toutes les organisations sont tenues de déclarer au commissaire à la protection de la vie privée du Canada (CPVP) les atteintes aux mesures de sécurité présentant un risque réel de préjudice grave (RRPG). En vous familiarisant avec les exigences légales, vous réduirez possiblement vos risques de litiges et d’amendes.

Ressources humaines

Les ressources humaines agiront en première ligne en cas d’incident pour communiquer avec les employés, surtout ceux dont les données personnelles auront été touchées. Elles peuvent aussi fournir des ressources aux employés et leur indiquer des façons de mieux se protéger, leur famille et eux (à la fois avant et après un incident de sécurité).

Marketing et communications

En cas d’incident, l’équipe des communications sera chargée d’informer les personnes touchées à l’extérieur de l’entreprise, ainsi que la presse. Elle collaborera avec l’équipe des services juridiques pour s’assurer que les communications sont exactes et produites en temps opportun. De même, respecter les délais d’envoi des avis peut contribuer à promouvoir votre honnêteté, ce qui pourra vous aider à protéger la réputation de votre entreprise et à réduire la perte éventuelle de clients.

Établissez un plan de communication

En tant qu’entreprise de renom, vous avez la responsabilité d’informer les forces de l’ordre, les autres entreprises concernées, vos partenaires, vos employés et vos clients de toute divulgation potentielle de données après un incident. Les communications qui suivront peuvent viser à expliquer comment s’est produit l’incident, quelles données ont été compromises, quelles mesures ont été prises pour remédier à la situation et lesquelles seront prises pour protéger les personnes touchées.

Il est important de prendre note qu’il vous faudra désigner des porte-parole. Vous devrez les préparer à répondre aux questions, par exemple en leur fournissant une foire aux questions officielle, ainsi qu’aux demandes de renseignements transmises par téléphone, par courrier électronique, dans les médias sociaux ou dans la presse.

Renseignement et formation

Pour que votre stratégie d’intervention soit efficace, les membres de votre équipe d’intervention doivent faire des simulations pour s’exercer périodiquement à la mettre en œuvre. Ainsi, si un véritable incident survient, ils connaîtront les processus et les procédures à mettre en œuvre et seront prêts à passer à l’action. Lors de vos simulations, prêtez attention aux obstacles potentiels qui pourraient se dresser et apportez des améliorations d’une fois à l’autre. En faisant des simulations régulièrement, votre entreprise sera mieux préparée à faire face à un incident réel.

Assurez-vous que votre entreprise est protégée

Il est essentiel de s’assurer que votre entreprise dispose d’un plan d’intervention en cas d’incident bien pensé et soigneusement établi. Mais il est tout aussi important de vous doter de la protection nécessaire en cas de problème. L’assurance des cyberrisques est conçue pour protéger votre entreprise en cas d’atteinte à ses réseaux informatiques. Pour en savoir plus, consultez notre page sur l’assurance des cyberrisques.

 

Le présent billet de blogue est fourni uniquement à titre informatif et ne vise pas à remplacer les conseils de professionnels. Nous ne faisons aucune assertion et n’offrons aucune garantie relativement à l’exactitude ou à l’intégralité des renseignements présentés. Nous ne pourrons en aucun cas être tenus responsables des pertes pouvant découler de leur utilisation.