Les participant·e·s au BootCamp 2023 sur la gouvernance des conseils d’administration de Capacity Canada ont eu l’occasion exceptionnelle d’entendre Eldon Sprickerhoff, fondateur et conseiller stratégique chez eSentire, un leader mondial dans le domaine de la détection et de réponse gérée aux menaces (Managed Detection and Response – MDR).
La présentation approfondie d’Eldon a commencé par un portrait actuel des menaces cybernétiques les plus courantes.
Parmi les points marquants, Eldon a mis en lumière la facilité avec laquelle les cybercriminels peuvent orchestrer des attaques à grande échelle grâce à des outils facilement accessibles sur le dark web, un facteur qu’il a lié à la montée fulgurante des cyberattaques réussies et aux nombreuses manchettes dans les médias. Il a exposé les conséquences d’une attaque réussie, allant de l’interruption des opérations et des répercussions financières jusqu’aux atteintes à la réputation organisationnelle, à la confiance des donateurs, et à la mission même de l’organisme.
Eldon a présenté les 13 formes les plus fréquentes de cyberattaques dans un langage clair et accessible. Il a notamment décrit comment les auteurs malveillants utilisent des techniques simples telles que le hameçonnage (phishing), les rançongiciels (ransomware), les mots de passe et l’ingénierie sociale comme principales portes d’entrée. Au-delà de ces explications, il a aidé les participant·e·s à comprendre pourquoi ces risques existent et pourquoi ils peuvent être difficiles à contrer. Il a également offert des conseils pratiques, comme le renforcement de la formation du personnel, la surveillance des tentatives de phishing, et l’amélioration de la gestion des mots de passe avec des solutions telles que l’authentification à deux facteurs ou encore l’utilisation de phrases secrètes, qui gagnent en popularité. L’ingénierie sociale, qui repose sur l’exploitation des failles humaines, a été identifiée comme le défi le plus complexe à relever.
Les organisations qui croyaient que l’assurance cybersécurité suffisait à les protéger ont découvert qu’il est souvent difficile de démontrer qu’elles ont mis en place les mesures d’atténuation jugées raisonnables et prudentes pour satisfaire aux exigences des assureurs. Plusieurs participant·e·s ont souligné avoir appris des notions comme la « négligence contributive » pour mieux comprendre les limites de leur couverture.
Dans le cadre plus large de la gouvernance des conseils, Eldon a fait valoir que la cybersécurité est un sujet qui remet en question la pratique bien établie du « nez dedans, doigts dehors ». Il a cité le manque de compréhension et d’expertise en cybersécurité, une attitude de complaisance du type « ça ne nous arrivera pas », ainsi que le lent rythme d’adoption et de réglementation face à une technologie malveillante en constante accélération.
Face à ce défi, Eldon a encouragé les leaders et les membres des conseils à adopter une approche axée sur la résilience numérique (cyber resilience), fondée sur la philosophie qu’un incident cybernétique n’est « plus une question de si, mais de quand ». Le cadre proposé repose sur trois mots-clés : anticiper (prioriser la préparation et la protection), résister (détecter, enquêter, perturber et contenir l’attaque) et se rétablir (reprendre les activités normales et mener une enquête juridiquement solide). Par-dessus tout, Eldon a rappelé qu’il s’agit d’une course aux armements permanente, et que les organisations doivent continuellement s’adapter et évoluer pour rester en avance sur les menaces.
De nombreux participant·e·s ont quitté le BootCamp 2023 en plaçant la cybersécurité au sommet de leurs priorités dans les agendas exécutifs et de gouvernance.