The European Cybersecurity Month 2020

Au programme : en savoir plus / une menace croissante / où chercher l’information ? / quels métiers ? / un exemple de cyberrésilience.

Ce mois d’octobre marque le 8e mois européen de la cybersécurité de l’Union européenne.

Pour en savoir plus sur la campagne et s’impliquer dès aujourd’hui. https://europa.eu/!Xr98gU

Une menace informatique croissante et en mutation.

Entre septembre et mi-octobre 2020 : un quartier de Londres victime d’une cyberattaque d’envergure, la ville de Besançon, Edenred, ORPEA, Groupe CMA CGM, Bridgestone Norvège, Le Ritz, Garmin. 

Il est nécessaire d’identifier le risque, de l’évaluer et de mettre en place des PCA si ceux-ci sont nécessaires.

Quelles ressources ?

Guide « Organiser un exercice de gestion de crise cyber » réalisé par l’ Agence nationale de la sécurité des systèmes d’information (ANSII) en collaboration avec le Club de la Continuite d’Activite (CCA). L’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.
Ce nouveau guide vise à accompagner, pas à pas, les organisations dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur, pour les joueurs comme pour les organisateurs ;

https://lnkd.in/dfs2pQf

Revue annuelle de l’ANSII, Edition 2020, disponible sur le site de l’organisation;

Guide ANSII-AMRAE « Maîtrise du Risque Numérique », disponible sur les sites des deux organisations ;

« Anti Fraud Playbook » publié par the Association of Certificated Fraud Examiners

A venir :

Conférence « Du cyber risque à la cyber résilience : quels enjeux pour la direction juridique ? » animée par Philippe Cotelle, lors du Sommet du Droit en Entreprise 2020.
📌 Mercredi 25 Novembre 2020 à partir de 14h15
📌 Pavillon d’Armenonville, allée de Longchamp, Paris 75116
📌  Rendez-vous sur le site web : 

https://lnkd.in/dZ4kuf9

Quels sont les métiers de la cybersécurité ?

L’ANSII vient de publier le panorama des métiers de la cybersécurité. A retrouver sur https://graces.community

Parce que la gestion des risques ça marche : un exemple de cyberrésilience.

ORPEA a résisté à une cyberattaque

Orpea a révélé avoir détecté dans la nuit du 17 septembre l’intrusion d’un logiciel malveillant sur certains de ses serveurs. Les équipes de sécurité informatique ont pris les mesures immédiates pour sécuriser les systèmes, isoler les serveurs concernés (moins de 1% de la totalité des serveurs) et fermer temporairement l’ensemble du réseau, empêchant ainsi la propagation du logiciel. Cette interruption volontaire a provoqué des perturbations sur les systèmes informatiques mais n’affecte en rien la continuité des soins et la vie sociale au sein des établissements du groupe.

Après l’analyse d’experts reconnus en cyber sécurité et grâce à la réactivité et au bon fonctionnement des systèmes de sécurité, l’ensemble des sauvegardes sont intactes et aucune donnée n’a été détruite ou transférée.

L’infrastructure informatique du groupe, ses logiciels et applications et l’ensemble des données sont sains et n’ont subi aucun dommage.

Les équipes IT et des experts externes en cyber sécurité travaillent activement pour relancer progressivement l’ensemble des serveurs et des applications.

La direction générale a souhaité que ce processus se déroule étape par étape avec une extrême vigilance, et avec toutes les précautions nécessaires. Le bon fonctionnement, tant des établissements que des services administratifs, est assuré.

Orpea a informé les autorités compétentes de cet acte de malveillance.

Le régulateur/législateur, amplificateur de risques. Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Amplificateur de Risques

Comme le suggère le concept d’amplification sociale du risque, des facteurs sociaux, institutionnels et psychologiques influencent les perceptions du risque et les comportements à travers un réseau de canaux de communication qui les structurent et les transmettent socialement (Kaperson et al, 1988) ; les risques sont amplifiés et instrumentalisés par des institutions telles que le régulateur-législateur et les médias (Pidgeon et al, 2003).

Le rôle du régulateur-législateur a commencé en France avec la Loi de Sécurité Financière. L’analyse de la période 2008-2018 conduit à constater un renforcement institutionnel de l’obligation de prudence et de vérification. Sur fond de scandales et de crise, les interventions du régulateur-législateur amènent les entreprises à renforcer les systèmes de contrôle interne et de gestion des risques : loi du 3 juillet 2008, ordonnance du 8 décembre 2008 ; rapport du 8 décembre 2009 de l’AMF ; loi Sapin II du 9 décembre 2016…

La loi Sapin II vise à prévenir les risques de blanchiment des capitaux, de financement du terrorisme et de la corruption – la corruption est le fait pour toute personne de solliciter une personne dépositaire de l’autorité publique, moyennant rémunération, un acte relevant de ses fonctions -.

Elle propose six mesures pour cartographier le risque de corruption et le prévenir au niveau organisationnel et individuel. Cette loi n’oblige pas à une communication extérieure spécifique mais elle engage la responsabilité personnelle des dirigeants et celle de la société en tant que personne morale.

Nicolas Dufour et moi-même présentons davantage la loi Sapin II ainsi que les réglementations en vigueur et la soft-law (principe de précaution) dans notre ouvrage ; voir « La Fonction Risk Manager. Organisation. Méthodes et Positionnement », Ed Gereso, p.50.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

En février 2020, un peu plus de trois ans après, l’Autorité Française de Anticorruption lançait une enquête sur le niveau de maturité des dispositions anticorruption en entreprise.

L’article ci-dessous présente les principaux résultats de cette enquête, un lien pour y accéder, un article à lire ou relire sur la cartographie des risques de corruption posté sur le blog en juillet 2020

Dispositifs anticorruption : 3 ans après la loi Sapin II où en sont les entreprises ?

Un questionnaire destiné à toutes les entreprises a été transmis aux fédérations professionnelles pour diffusion à leurs adhérents.

Soit près de 2000 entreprises touchées et une collecte de données actualisées sur l’état de la prévention de la corruption dans le secteur privé

L’AFA publie ses résultats dans un rapport d’analyse. Il apporte un éclairage sur la connaissance des entreprises en matière d’atteintes à la probité et identifie différents dispositifs mis en place et axes de progrès:

– 70 % ont un dispositif de prévention perfectible pour la cartographie des risques, l’évaluation de tiers ou le positionnement du responsable de la fonction conformité.  

– focus sur les PME/ ETI non-assujetties à a loi Sapin2 (art.17), quant à leur appropriation des dispositifs anticorruption

– lien avec le plan national pluriannuel de lutte contre la corruption…

Ce diagnostic national permettra à l’AFA d’adapter davantage ses recommandations.

Lien vers le rapport d’analyse :
https://lnkd.in/efX85yY

A relire : le très bon article de Stéphanie Dominguez et Stella Vitchénian « Etablir la cartographie des risques de corruption : un défi en pratique » posté sur ce blog en juillet 2020.

A retrouver dans les archives juillet 2020 (tout en bas du menu déroulant à gauche).