Principaux points à retenir
Voici quelques points à retenir de notre café-causerie sur les grandes tendances en cybersécurité, en protection des renseignements personnels et en technologies émergentes :
La pénurie de talents et l’épuisement professionnel créent de nouveaux risques en matière de cybersécurité
La pandémie a certes remodelé notre façon de gagner notre vie en accélérant la transformation numérique et en réorientant les organisations vers des effectifs qui travaillent à distance ou en mode hybride de façon permanente, créant ainsi de nouveaux risques pour la sécurité. Cependant, un autre facteur s’est glissé dans l’équation. D’abord avec la Grande Démission et maintenant avec le Désengagement discret, nous constatons une pénurie de talents au sein de la population active, qui risque de ressentir la pression causée par cette lacune. Cela devrait être une préoccupation majeure pour les chefs de direction. « Les membres du personnel se sentent surmenés et épuisés », constate Ireen Birungi, vice-présidente et responsable de la sécurité des systèmes d’information (RSSI) à Interac Corp.
Cela signifie que ces personnes sont plus susceptibles de commettre des erreurs ou de mordre aux campagnes d’hameçonnage. « À l’ère de la numérisation des données, ces distractions sont bien réelles et peuvent mener à de telles situations », a-t-elle déclaré, ajoutant qu’il relève du RSSI d’établir une culture de sensibilisation à la sécurité, ainsi que de créer un écosystème protecteur qui comprend la détection, la protection, la réponse et la reprise. Selon le rapport 2022 de KPMG sur la cybersécurité, les leaders en technologie peuvent également recourir à l’automatisation pour combler les pénuries de personnel et les lacunes en matière de compétences.
Les nouvelles technologies nécessitent une approche agile
Lorsque la plateforme commerciale OANDA a commencé à travailler avec des processus de développement agiles, ses dirigeants se sont rapidement rendu compte que la sécurité représenterait un obstacle. « Consacrer deux mois à l’évaluation de sécurité d’un tiers est impossible; l’opération doit plutôt s’effectuer en quelques heures. C’était donc un grand changement dans notre façon de travailler ensemble », raconte Andrea Stapley, RSSI à OANDA. Pour tirer parti – en toute sécurité – des nouvelles technologies et des processus allégés, un changement de mentalité s’impose. Pour OANDA, cela signifiait de passer d’une expertise sur place à une dépendance à l’égard de partenaires pendant la construction d’un centre d’excellence infonuagique.
Mais la plateforme est allée encore plus loin en associant ses meilleur·e·s employé·e·s à ses partenaires fournisseurs pour perfectionner et renouveler leurs compétences. « Nous avons constaté une réelle différence dans le fait de compter sur nos partenaires fournisseurs sans prétendre être les experts techniques, explique-t-elle. Nos partenaires étaient vraiment essentiels dans ce processus de transformation, et ce fut un élément clé de notre succès. »
Les directives réglementaires évoluent et les dirigeants doivent s’adapter rapidement
Les normes ont évolué rapidement depuis que l’UE a lancé la conformité au Règlement général sur la protection des données en 2018 afin de moderniser les lois qui protègent les renseignements personnels. Cela a incité les gouvernements du monde entier à adopter des normes similaires plus élevées. « Le gouvernement canadien veut être concurrentiel sur la scène internationale pour compter parmi les meilleurs innovateurs en matière de données, mais il est impossible d’y arriver sans des règles adaptées à l’objectif. Le Canada déploie donc un énorme effort de modernisation », conclut Sylvia Kingsmill, leader mondiale, Confidentialité informatique chez KPMG au Canada.
Le Québec a été la première province canadienne à déposer le projet de loi 64, devenu la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (loi 25). Cela a entraîné des changements radicaux « parce que la loi est réellement contraignante », précise-t-elle. Mais d’autres modifications sont à prévoir en ce qui a trait aux technologies émergentes comme l’IA, la biométrie et les identités numériques. Bref, il s’agit d’un domaine pour lequel les organisations voudront se tenir au fait des directives réglementaires d’entités de premier plan, comme le Comité européen de la protection des données, et prendre des mesures proactives.
Il n’existe pas de solution miracle
Le rapport Perspective des chefs de la direction de KPMG révèle que les deux tiers des chefs d’entreprise du Canada ont l’intention de mener rapidement une transformation numérique pour demeurer concurrentiels. Mais pour y parvenir de façon sûre, il faut revenir à l’essentiel, soit la mise en place de processus solides. Au cours de la pandémie, la plupart des organisations ont dû accélérer leurs plans de transformation, ce qui leur a aussi permis d’obtenir un niveau plus élevé de protection des risques qu’avec leurs anciens processus.
« La technologie évolue très rapidement. Mais en mettant les processus appropriés en place, nous nous donnons le temps d’instaurer les politiques, les procédures et les ressources appropriées », remarque Alexander Rau, associé, Services-conseils – Cybersécurité chez KPMG au Canada. Toutefois, les organisations n’ont pas à effectuer elles-mêmes le gros du travail, et elles ne devraient pas le faire non plus. Tous les RSSI ne sont pas des spécialistes de l’IA ou de l’informatique quantique. Ainsi, consulter des experts techniques dans ces domaines pourra les aider à mieux se préparer à ces nouveaux changements de paradigme.
