Cybersécurité : la responsabilité qui remonte au conseil

Un sujet qui a changé d’étage#

Il y a dix ans, la sécurité informatique d’une PME s’arrêtait à une ligne de facture : un pare-feu, un antivirus, une sauvegarde, gérés par un prestataire. Le conseil n’en entendait jamais parler, et il avait de bonnes raisons de ne pas s’en préoccuper.

Deux évolutions ont déplacé le sujet.

La première est la nature des attaques. Le chiffrement de l’ensemble des données d’une entreprise, avec demande de rançon, n’est plus une menace réservée aux grands groupes. Il frappe régulièrement des structures de vingt à cent salariés, et il arrête l’activité — pas seulement l’informatique.

La seconde est réglementaire. Le cadre européen a explicitement fait remonter la cybersécurité au niveau des organes de direction, qui doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, se former, et peuvent voir leur responsabilité engagée en cas de manquement.

Autrement dit : ce sujet n’est plus délégable dans sa totalité. Une partie doit être tranchée en séance.

Ce qui suit décrit un cadre général et ne constitue pas un conseil juridique. Le périmètre exact applicable à votre entreprise se vérifie au cas par cas.

Qui est concerné, vraiment#

La question revient toujours en premier, et la réponse est en deux temps.

Directement, les obligations les plus lourdes visent des entités désignées par secteur et par taille — énergie, transports, santé, eau, infrastructures numériques, administration publique, et plusieurs autres. Une PME industrielle ou de services classique n’y figure généralement pas. L’ANSSI met à disposition un simulateur d’assujettissement sur cyber.gouv.fr, qui répond à la question plus vite que n’importe quelle lecture du texte.

Indirectement, la portée est bien plus large. Les entités assujetties ont l’obligation de maîtriser les risques liés à leur chaîne d’approvisionnement. Elles répercutent donc leurs exigences sur leurs fournisseurs, par voie contractuelle : questionnaires de sécurité, clauses de notification d’incident, engagements de niveau de service, parfois audits.

C’est ainsi que la plupart des PME découvrent le sujet — non par un texte de loi, mais par un questionnaire de trente pages envoyé par un client important, à retourner sous quinze jours. Celles qui n’ont rien à répondre perdent des marchés, sans que la cause en soit jamais clairement établie.

Les quatre décisions qui ne se délèguent plus#

Posons la frontière avec le même souci que pour l’intelligence artificielle : le conseil n’a pas à choisir un pare-feu. Il doit trancher quatre choses.

1. Le niveau de risque accepté, et le budget qui va avec#

Aucune entreprise n’atteint le risque zéro, et aucune n’y consacrerait le budget nécessaire. La question n’est donc pas « sommes-nous protégés ? » mais « jusqu’où acceptons-nous d’être exposés, et à quel prix ? ».

Formulée ainsi, elle devient une décision de conseil ordinaire, du même type qu’un arbitrage d’assurance. Elle suppose deux éléments : une estimation du coût d’un arrêt d’activité de quelques jours, et un chiffrage des mesures qui le rendraient improbable ou plus court.

Ce chiffrage, la plupart des PME ne l’ont jamais fait. C’est en général le premier livrable utile.

2. Le plan de continuité — et surtout sa vérification#

Un plan de continuité décrit comment l’entreprise continue de fonctionner quand ses systèmes ne répondent plus. Beaucoup en ont un. Presque aucune ne l’a testé.

La distinction est décisive. Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Nous avons vu des sauvegardes illisibles, des sauvegardes qui ne couvraient pas les données réellement critiques, et une sauvegarde chiffrée dont la clé était stockée sur le serveur chiffré par l’attaquant.

Ce que le conseil doit exiger n’est pas l’existence d’un plan, c’est le compte rendu d’un test annuel : date, périmètre restauré, délai constaté, écarts observés. Une ligne au procès-verbal. C’est la mesure au meilleur rapport entre coût et effet de tout ce qui suit.

3. La conduite à tenir en cas de crise#

Trois questions, à trancher à froid.

Qui décide, et selon quelle chaîne ? Un incident majeur survient rarement à onze heures un mardi. Il faut savoir qui est joignable, qui peut arrêter un service, qui parle aux clients.

Que dit-on, et à qui ? Les obligations de notification existent et sont encadrées : sous le RGPD, une violation de données personnelles susceptible d’engendrer un risque se notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, sous soixante-douze heures. D’autres régimes, aux délais plus courts, s’appliquent selon le secteur. La communication aux clients, elle, ne s’improvise pas non plus.

Paie-t-on une rançon ? Question désagréable, et c’est exactement pourquoi elle doit être tranchée avant. Le jour venu, la pression est maximale, l’information incomplète, le temps compté. Une position arrêtée par le conseil, écrite et connue de la direction, évite qu’un dirigeant seul engage l’entreprise à trois heures du matin dans une direction dont personne n’a débattu.

4. Qui porte le sujet#

Une personne nommée, avec un rôle écrit et un accès direct au conseil au moins une fois par an. Dans une PME, ce n’est pas un poste à créer : c’est une responsabilité à attribuer explicitement.

Ce qui compte est l’accès. Un responsable qui ne peut alerter qu’à travers trois niveaux hiérarchiques alerte tard.

Ce qui doit figurer au procès-verbal#

La trace écrite n’est pas une formalité. En cas de contrôle ou de contentieux, c’est elle qui distingue une entreprise qui a arbitré d’une entreprise qui a laissé faire.

Quatre lignes, une fois par an :

• le niveau de risque accepté et le budget associé, réexaminés ;
• le résultat du dernier test de restauration, avec le délai constaté ;
• les incidents survenus dans l’année et les suites données ;
• la formation suivie par les membres du conseil et de la direction sur ce sujet.

Cette dernière ligne surprend souvent. Elle découle pourtant directement du cadre européen, qui impose aux membres des organes de direction des entités assujetties de suivre une formation leur permettant d’appréhender ces risques. Au-delà de l’obligation, elle a un effet pratique : un conseil formé pose de meilleures questions, et cesse d’accepter des réponses rassurantes.

Le lien avec le reste#

Un dernier point, qui explique pourquoi ce sujet ne peut pas rester isolé dans un coin de l’ordre du jour.

Les trois quarts des incidents que nous voyons ne relèvent pas d’une attaque sophistiquée. Ils relèvent de choses connues et non traitées : un accès qui n’a jamais été retiré à un ancien salarié, un serveur dont les mises à jour ont cessé quand le prestataire a changé, un mot de passe partagé entre cinq personnes, une sauvegarde qui tournait dans le vide depuis huit mois.

Ce ne sont pas des sujets de cybersécurité au sens noble. Ce sont des symptômes d’un système d’information que personne ne pilote — le même défaut qui produit la dépendance à un prestataire unique, la dette technique et les projets qui dérivent. C’est ce que nous cherchons systématiquement en audit technique, et ce que nous détaillons dans nos bonnes pratiques de cybersécurité pour les TPE et PME.

Un conseil qui traite la cybersécurité isolément achètera des outils. Un conseil qui la traite comme un indicateur de la gouvernance du système d’information corrigera la cause.

---

Vous devez inscrire ce sujet à l’ordre du jour et vous ne savez pas quoi demander à votre prestataire ? Commencer par les quatre questions ci-dessus suffit à faire apparaître l’essentiel. Parlons-en.