ATOUTRISK N°15 HD

DOSSIER LA CYBERGOUVERNANCE À L'ÉPREUVE DE LA RÉALITÉ ATOUT RISK MANAGER, LA REVUE DES PROFESSIONNELS DU RISQUE ET DE L'ASSURANCE I N°15 I HIVER 2017/2018 22 risque, avant même la perte de données et l'atteinte à la réputation, est la perte d'ac- tivité de l'entreprise. Il faut que les diri- geants prennent conscience de ce que ne plus facturer implique... », affirme Fabrice Domange. Les deux tiers des responsables d'entreprise interrogés estiment que le sujet relève aujourd'hui du Board (étude Chubb). De fait, c'est par le plus haut niveau que la cybergouvernance s'imposera. Avec l'aide de la réglementation. « Le sujet de la RGPD (protection des données personnelles) est une excellente jauge. Et elle confirme l'immaturité des entreprises : seules 8% des sociétés interrogées s'estiment prêtes. 65% travaillent sur le sujet. 11% ne seront pas prêtes. Quant aux 16% restantes... elles n'ont même pas l'air de savoir ce que c'est », explique Fabrice Domange qui dit avoir souvent l'impression de « prêcher la bonne parole dans le désert ». L'entrée en vigueur, le 18 mai prochain, de la régle- mentation européenne sur la gestion des données personnelles a créé un nouveau risque, financier : les entreprises qui ne répondront pas aux nouvelles exigences de sécurité des données peuvent se voir soumises à des amendes représentant jusqu'à 4% de leur chiffre d'affaires... C'est là un discours qui parle aux diri- geants. Et milite pour la mise en place rapide d'une cybergouvernance.  LAGARDÈRE : UN EXEMPLE DE CYBERGOUVERNANCE À DEUX TÊTES TV5, Sony, Target, etc. C'est en voyant de grandes entre- prises internationales confrontées à des cyber-événements majeurs que le groupe Lagardère a renforcé il y a deux ans sa cybergouvernance. « Nous avions défini une méthodologie de mesure de notre risque informatique depuis près de 10 ans, mais elle n'était pas réellement en lien avec la carto- graphie des risques du groupe. Aujourd'hui les deux s'arti- culent très clairement : sur les 40 risques majeurs identifiés par le groupe, 11 sont d'ordre cyber », indique Thierry Auger, DSI adjoint et RSSI du groupe, un des leaders mondiaux de l'édition, la production, la diffusion et la distribution de contenus, qui a réalisé un chiffre d'affaires proche de 7,4 milliards d'euros en 2016. Concrètement, la cybergouvernance de Lagardère se structure autour d’une organisation, d'une politique de sécurité informatique mise à jour régulièrement - et signée au plus haut niveau - et d’une méthodologie de mesure du risque. « Cette méthodo- logie, pondérant pour chaque contrôle les risques liés, permet en restitution une visibilité sur les principaux risques et sur les raisons de ces derniers. Le DSI et le RSSI peuvent alors et sur la base des recommandations proposées travailler aux ajustements nécessaires , indique Thierry Auger. L’accompagnement sur ce sujet cybersécurité est réalisé en binôme avec la Direction des risques et du Contrôle Interne : nous voyons régulièrement nos correspondants impliqués ainsi que leurs dirigeants. Nous avons aussi déployé ces dernières années des outils communs qui apportent directement de la valeur aux gestionnaires locaux et qu’il est pertinent de partager au sein d’une organisation distribuée. La mise en conformité RGPD nous conduit de-même depuis 18 mois à ajuster notre référentiel en décrivant, pour chaque environnement, ce qu’il faut considérer afin que les protections nécessaires soient déployées ». Thierry Auger, DSI adjoint et RSSI, groupe Lagardère