Le Droit, élément clé d’une stratégie cyber
p. 145-153
Texte intégral
1L’actualité nous le rappelle quasi quotidiennement : les attaques informatiques augmentent à un rythme exponentiel et touchent tout type d’entreprise, quels que soient sa taille, son secteur d’activité, sa visibilité. Empruntant au passé en ce qui concerne la technique criminelle (les cyber-délinquants sont, le plus souvent, auteurs d’extorsions ou d’escroqueries, qu’elles soient réalisées ou juste tentées), les cyber-infractions se parent de nouveaux modes opératoires qu’il faut sans cesse apprivoiser (le phishing, le cyber-harcèlement, le rançongiciel en sont des exemples).
2L’ensemble des acteurs publics et privés (administrations et collectivités territoriales, entreprises, associations, etc.), prend, de plus en plus et de mieux en mieux pourrait-on dire, la mesure de l’impact que pourraient avoir des attaques massives et s’emploient à organiser, en amont, la faculté de résilience des organismes les plus sensibles. Les prochains Jeux Olympiques seront l’occasion d’une épreuve grandeur nature, dont les organismes organisateurs et les autorités doivent se saisir pour démontrer leur capacité de défense. Il en va de même des entreprises puisque les signalements d’attaques par rançongiciels ont augmenté de 255 % en 20201, et le chiffre ne cesse de progresser encore. Épaulées par l’ANSSI2 que certaines entreprises connaissent mieux que d’autres3, et par les services judiciaires de mieux en mieux formés, les dirigeants doivent maintenant passer à l’action ou redoubler d’efforts, et se préparer à une nouvelle forme de guerre économique. En effet, au-delà des faits divers médiatiques retentissants comme le fut l’attaque de l’hôpital de Corbeille-Essonnes, ce sont des milliers de victimes quotidiennes dont la presse ne se fait pas nécessairement l’écho, pour qui les conséquences pourraient devenir dramatiques. De la même manière qu’il faut s’adapter à la covid-19 sous ses variants les plus divers, la cybercriminalité se développe et mute, pour toucher toujours plus efficacement et plus durablement ses cibles.
3Des moyens techniques existent pour se protéger et empêcher certaines attaques. Une méthode organisationnelle et juridique mérite d’être déployée par les organisations pour ne pas subir l’attaque quand elle arrivera, même s’il serait bien prétentieux de se croire invulnérable car le risque zéro n’existe pas, même avec les meilleurs systèmes de prévention. Rappelons que la réglementation applicable (pour la partie réglementaire la plus connue, il s’agit du RGPD4 mais d’autres réglementations sont applicables) exige que des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque5 » soient prises à peine de lourdes sanctions en cas de violation de sécurité. Il existe donc, pour les entreprises, une obligation de se protéger.
4Les organisations doivent comprendre que l’impact d’une attaque cyber peut être nettement limité par une stratégie de prévention (I) qui désintéressera les attaquants ou leur rendra la tâche ardue. Couplée à une stratégie de défense robuste (II), elle garantira, au minimum, la conformité de l’organisation à la réglementation applicable, et la préservera d’une atteinte encore plus grave que celle résultant de l’immobilisation de ses données, à savoir, l’atteinte, souvent définitive, à sa réputation.
I. Une stratégie de prévention
5L’adage bien connu, « mieux vaut prévenir que guérir », nous indique que tout ce qui sera fait en amont protègera de façon beaucoup plus efficace, mais aussi de façon moins éprouvante, la cible d’un mal des effets de ce mal.
6En matière de cyber-attaque, la prévention n’est pas uniquement technologique. Il s’agit aussi d’avoir conscience des risques juridiques encourus, d’établir, grâce à une méthodologie éprouvée par les juristes, un plan d’actions préventif, le tout préparant à la construction d’une infrastructure interne robuste.
A. Connaître les risques juridiques
7Pour identifier sa zone de vulnérabilité, l’organisation doit connaître ses risques. Pour y parvenir, la première étape consiste à établir une cartographie des risques cyber.
8Cartographier les risques est une méthode utilisée pour identifier puis gérer les risques, dans la perspective de résoudre les faiblesses éventuellement identifiées pour diminuer, voire supprimer le risque. Il s’agit d’identifier les menaces pesant sur un système, de les caractériser et ensuite de les classer selon des critères à définir. Ces critères permettront ensuite de prioriser les actions à mener.
9En fonction de leurs conséquences, de leur vraisemblance et du niveau de la menace, une hiérarchie sera posée et adaptée aux caractéristiques propres de l’organisation concernée. En effet, les risques cyber doivent être contextualisés car la menace et ses impacts diffère d’une organisation à une autre, puisque son niveau de résistance et les remèdes, qu’elle a peut-être déjà mis en œuvre, lui sont propres. Ensuite, le bilan des risques est dressé. Il constitue, pour l’avenir, une sorte de référentiel du risque qui permettra de mesurer les progrès réalisés grâce au plan d’actions établi.
10Sur la base du bilan des risques cyber à gérer, le dirigeant d’entreprise réunit ses ressources informatiques et juridiques pour établir un plan d’actions préventif.
B. Établir un plan d’actions préventif
11Le plan d’actions préventif du risque cyber peut utilement comprendre un volet informatique (ou technologique) et un volet juridique, les deux étant interdépendants.
12Pour être plus précis, ce que l’on nomme usuellement et par facilité de langage « sécurité informatique » consiste à offrir aux réseaux et systèmes d’information une « capacité de résister, à un niveau de confiance donné, à des actions qui compromettent la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données stockées, transmises ou faisant l’objet d’un traitement, et des services connexes que ces réseaux et systèmes d’information offrent ou rendent accessibles6 ».
13Les risques informatiques peuvent être entendus comme les événements ou circonstances qui ne permettent pas ou insuffisamment d’assurer la sécurité informatique.
14Les atteintes à cette sécurité recouvrent une dimension juridique dans la mesure où les concepts d’intégrité, de confidentialité de la donnée ou encore de traitement de la donnée, par exemple, sont encadrés par la réglementation, qui parfois les définit, et, même, les sanctionne.
15La sécurité des systèmes d’information est généralement entendue comme un sujet exclusivement technologique dont la Direction des Systèmes d’Information se doit d’avoir la maîtrise, ce qui est partiellement inexact. En effet, la sécurité informatique ne se conçoit pas seule et revêt désormais de multiples figures. À ce titre, elle ne doit pas être réduite aux seuls moyens et mesures technologiques disponibles pour sécuriser ses données comme le sont les certifications, les labellisations, la signature électronique (avec identité numérique sécurisée), les techniques de chiffrement ou l’application de certaines méthodes (la « confiance zéro » (zero trust).
16La démarche de sécurisation doit s’élargir en englobant les procédures internes, les ressources financières, la gouvernance et la gestion des risques juridiques liés à l’exploitation des données qui sont au cœur de la sécurité de l’information.
17C’est pourquoi, pour établir un plan d’actions efficace, deux acteurs clés doivent être réunis autour de la table : l’informaticien (ou le technicien) et le juriste. Chacun a en charge l’identification des risques, informatiques ou juridiques, selon le cas, qui s’imbriquent et se complètent. Après identification des risques couverts, ces deux acteurs coopèrent pour couvrir ensemble les risques non couverts et articuler leurs actions.
18Le plan d’action consiste ainsi à déterminer les actions à prendre, à fixer des délais raisonnables pour les accomplir tout en en identifiant les acteurs et à fixer les résultats attendus.
19À titre d’exemple, le juriste et l’informaticien peuvent travailler ensemble sur la contractualisation d’un plan de continuité d’activité, associé à un plan de reprise d’activité, qui ont pour intérêt de limiter les impacts d’une perte ou d’une indisponibilité temporaire de données, et ainsi de maintenir possible le maintien de l’activité en cas d’attaque et donc la réalisation d’un chiffre d’affaires pour l’entreprise. Si la rédaction de ces plans relève essentiellement, sur le fond, des services informatiques de l’entreprise, le juriste pourra les rendre opposables et applicables à d’éventuels partenaires ou sous-traitants. En termes d’image, la mise en œuvre de ces plans peut être déterminante, en ce qu’elle est susceptible de rassurer l’écosystème dans lequel évolue l’organisation victime de l’attaque.
20Enfin, le plan d’action comporte nécessairement une partie destinée à la mise en place d’une infrastructure interne adaptée.
C. Construire une infrastructure interne adaptée
21Faire face utilement et efficacement à une menace suppose de bien la connaître et d’anticiper ses impacts, qu’ils soient immédiats ou plus tardifs.
22À cet effet, toute organisation qui envisage de prévenir une crise cyber doit s’efforcer de mettre en place, en son sein, une organisation robuste.
23Il s’agit de définir et de rendre opérationnelles des procédures internes éprouvées par les collaborateurs. Cela consiste aussi à anticiper la nécessité de devoir communiquer en urgence sur une attaque, et, potentiellement, une violation de données personnelles. Les données pertinentes et les personnes clés doivent donc pouvoir, le moment venu, être mobilisables très rapidement.
24Compte-tenu de l’investissement en temps et en moyens que cette phase préparatoire suppose, il va de soi que les dirigeants d’entreprise doivent être engagés dans la démarche préventive et en être promoteurs. Un budget approprié doit être alloué et une formation interne organisée et suivie afin de sensibiliser tous les intervenants directs et indirects en cas de crise.
25De même, pour répondre aux questions et demandes urgentes qui se posent en cas d’incident critique, la mise en place d’une cellule de crise fait partie des mesures phares du plan d’action. Son objectif est d’être opérationnelle. Elle devra donc avoir été conçue et testée au préalable.
26En effet, au cœur de la crise, et face à sa complexité croissante, les enjeux pour l’organisation touchée sont élevés et les décisions à prendre, déterminantes. Il n’y a alors plus de place pour l’improvisation. En tant qu’organe de décision et de coordination, la cellule de crise est au cœur de la stratégie cyber. Ses actions et décisions préparent la stratégie de défense que l’organisation doit, dans un second temps, déployer.
II. Une stratégie de défense
27La stratégie de défense de l’entreprise touchée par une cyber-attaque s’articule, d’un point de vue juridique, autour de trois axes : fournir une information qualitative (A), appliquer un processus décisionnel efficace (B) et engager les actions juridiques nécessaires (C).
A. Fournir une information qualitative
28Fournir une information qualitative relève, en principe, dans une entreprise, des Systèmes d’Information (encore appelée dans le langage usuel « SI »). Ces derniers ont pour responsabilité de générer, traiter, classer et communiquer des informations qui permettent aux dirigeants de prendre les décisions adaptées à la stratégie de l’entreprise. Il est donc primordial que la continuité du service fourni par les Systèmes d’Information soit assurée, y compris, et presque même surtout, au moment d’une crise.
29Or, la crise cyber vise précisément à atteindre les « SI » pour les neutraliser et détourner de leurs finalités premières les données qu’ils exploitent.
30C’est pourquoi, l’une des priorités de l’entreprise est d’assurer le maintien de la fourniture d’une information qualitative.
31À cette fin, ce sont tant la Direction Générale que les Directions des SI, Financière, Juridique et Ressources Humaines qui doivent être mobilisées, en raison des responsabilités et des compétences qu’elles incarnent.
32Ces organes sont, en cas de crise cyber, les interlocuteurs et acteurs clés des opérations à mener en vue de répondre et d’informer, en fonction des circonstances, la CNIL (cette information ou notification est obligatoire en cas de violation de données personnelles et doit répondre à des conditions précises), l’ANSSI (notamment si l’organisation est un Opérateur de Services Essentiels) et les services d’enquête (le mode opératoire du délinquant cyber est déterminant pour identifier l(es)’auteur(s) de l’infraction.
33La qualité de l’information délivrée va de pair avec la prise de décision. L’entreprise doit donc aussi être en mesure de prendre efficacement les bonnes décisions.
B. Appliquer un processus décisionnel efficace
34Les impératifs en la matière sont simples à énoncer : « faire vite et bien ». À cette fin, tout est envisageable, sauf l’improvisation.
35Identifier les acteurs clé est un préalable.
36En pratique, cela suppose de nommer les personnes responsables, d’être en mesure de les contacter et de les mobiliser rapidement. Un doublon est préconisé sur chaque fonction clé identifiée.
37Un autre prérequis s’impose : respecter le cadre juridique applicable malgré la crise afin d’éviter le suraccident. En effet, du statut de victime l’entreprise peut très vite passer à celui d’auteur d’un manquement à la réglementation, voire d’une infraction pénale.
38Ce sont donc des personnes physiques disposant de l’autorité, des moyens et de la compétence requise qui devront avoir été désignées comme membres de la cellule de crise afin, d’une part, de respecter les règles de gouvernance propres à l’organisation, en ce compris les éventuelles délégations de pouvoirs en vigueur, et, d’autre part, la législation applicable.
39Ainsi, en maîtrisant une information devenue parfois fragile et en appliquant un processus décisionnel efficace, l’entreprise victime d’une crise cyber sera en mesure d’engager sereinement les actions juridiques nécessaires.
C. Engager les actions juridiques nécessaires
40Une entreprise commerciale touchée par une cyberattaque a, une fois qu’elle est à nouveau opérationnelle, un objectif : retrouver son efficacité opérationnelle et son niveau de rentabilité antérieur afin de poursuivre sa stratégie en vue d’atteindre ses objectifs. Elle pourrait être tentée de négliger l’étape suivante, l’« après ». Pourtant, certains objectifs doivent être gardés à l’esprit.
41Le premier d’entre eux est de limiter les préjudices subis et de protéger, consécutivement, l’organisation, ses organes et les tiers. En effet, une crise cyber est potentiellement source de responsabilité civile ou pénale des personnes physiques ou morales mises en cause. Ainsi, la réglementation impose, par exemple, un certain nombre d’obligations à charge de la personne juridique qui procède ou fait procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites par le RGPD à peine de sanctions pénales7.
42Être proactif et concourir à l’action des services de police et des autorités judiciaires s’impose. À cette fin, il est essentiel que l’entreprise préserve les données dont elle est responsable et, le cas échéant, mette en œuvre le plan de continuité d’activité puis le plan de reprise d’activité, comme vu précédemment.
43Une autre de ses charges est d’informer, ou plus exactement, de notifier, en fonction des circonstances, les personnes concernées par la violation de la sécurité de leurs données et les autorités, à savoir, la CNIL. Soumises à un formalisme particulier, il s’agit de décrire avec la plus grande exactitude possible les atteintes portées aux données qui ont fait l’objet d’une violation (laquelle n’est d’ailleurs pas forcément liée à une attaque cyber) et les mesures prises pour en limiter les effets. Cette obligation de notification est un élément central dans la gestion de la crise cyber car elle est à la fois source de responsabilité pour le déclarant mais aussi source d’information pour la CNIL qui pourra agir en qualité de partenaire pour l’entreprise.
44C’est précisément pour préparer cette notification que toutes les étapes précédentes doivent être rigoureusement menées.
45Le deuxième objectif de l’entreprise est de collecter et de conserver les preuves numériques des infractions. Elle pourra utilement se former ou se faire accompagner à cet effet.
46L’entreprise victime d’une attaque cyber se trouve face à la question du dépôt de plainte et son troisième objectif est de documenter et d’expliciter sa plainte pour la rendre efficace.
47Les infractions pénales susceptibles d’être constituées sont nombreuses. Parmi elles, aux côtés des infractions « classiques » comme l’extorsion (simple ou en bande organisée, punie respectivement de 7 ans d’emprisonnement et de 100 000 € d’amende ou de vingt ans d’emprisonnement et de 150 000 € d’amende (art. 312-1 C. pén. et art. 312-6 C. pén.), l’escroquerie punie respectivement de 5 ans d’emprisonnement et de 375 000 € d’amende (art. 313-1 C. pén.) ou le chantage punie respectivement de 5 ans d’emprisonnement et de 75 000 € d’amende (art. 312-10 C. pén.) existent depuis la loi n° 88-19 du 5 janvier 1988 dite « loi Godfrain » une liste d’infractions constitutives d’atteintes à un système de traitement automatisé de données punies de peines allant de deux à cinq ans d’emprisonnement et de 60 000 à 150 000 € d’amende. Le dépôt de plainte permet aux services de police d’avoir accès à des informations de terrain déterminantes pour confondre les auteurs et complices de ces infractions.
48Le cas échéant, la victime sera aussi en mesure de solliciter la réparation de son préjudice en se constituant partie civile.
49Le dépôt de plainte permet de réduire le « chiffre noir » (lequel correspond au nombre de victimes qui ne portent pas plainte) et ainsi de parvenir à une meilleure connaissance des pratiques et techniques développées par les cyber-délinquants, au profit des autorités de police et de justice.
50Le dépôt de plainte est souvent aussi un préalable à la déclaration de sinistre faite par l’entreprise auprès de sa compagnie d’assurances, pour peu qu’elle ait souscrit une police d’assurances prenant en charge le risque cyber.
51Ainsi, qu’elles soient grandes ou petites, les entreprises sont, à des degrés divers, vulnérables. Pour certaines d’entre elles, cette vulnérabilité peut être fatale.
52Si de multiples établissements de santé ont été touchés ces derniers mois comme nous le rappelle l’actualité, les entreprises commerciales, les associations, les organisations en général, ne sont pas épargnées, le retentissement médiatique est simplement moins important.
53En amont comme en aval, des mesures peuvent être prises par les entreprises pour se protéger, limiter les dommages subis par tous les acteurs de la donnée et ne pas engager, au détriment de leur activité et de leurs résultats, leur responsabilité.
54Du statut de victime d’une attaque cyber et plaignante, l’entreprise peut passer à celui de mis en cause devant la justice pour non-conformité à la réglementation et responsable du préjudice qu’elle a indirectement, inconsciemment et involontairement causé, à ses partenaires, clients et collaborateurs et utilisateurs.
55Pour éviter la double peine, les entreprises responsables peuvent, si elles le décident et qu’elles y consacrent les moyens appropriés, agir et donner à la cyber sécurité une place prioritaire dans leur stratégie.
Notes de bas de page
1 ANSSI, « État de la menace rançongiciel à l’encontre des entreprises et des institutions ».
2 L’ANSSI est « l’autorité nationale en matière de sécurité des systèmes d’information » (art. 3 Décr. n° 2009-834 du 7 juillet 2009 portant création d’un service à compétence nationale dénommé « Agence nationale de la sécurité de systèmes d’information »).
3 Les entreprises qualifiées d’« opérateurs de services essentiels » fournissent des services dits essentiels en ce qu’un incident sur leurs systèmes d’information aurait, sur la fourniture des services qu’ils rendent, des conséquences graves eu égard à un certain nombre de critères ; il s’agit, par exemple, d’entreprises de fourniture d’énergie, d’entreprises de transport ou de santé ; ces « OSE » désignent un représentant auprès de l’ANSSI de façon à assurer l’application de dispositions réglementaires spécifiques, notamment en cas de déclaration d’incident de sécurité informatique (cf. Décr. n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d’information des opérateurs de services essentiels et des fournisseurs de service numérique).
4 Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données).
5 Art. 32 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données).
6 Définition résultant de l’article 1er de la Loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité.
7 Art. 226-17 C. pén. : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites … aux articles 24, 25, 30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 … de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 € d’amende. »
Auteur
-
Céline Jackowski
Avocate associée au sein du cabinet ORGANIC AVOCAT,
Barreau de Toulouse
Le texte seul est utilisable sous licence Licence OpenEdition Books. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Le nouveau règlement Bruxelles II ter
Droit international privé de la désunion, de la responsabilité parentale et des déplacements illicites d'enfants
Estelle Gallant (dir.)
2023
« Les chemins de Compostelle, itinéraire culturel européen et patrimoine mondial : histoire, enjeux et perspectives »
Christophe Alcantara et Adeline Rucquoi (dir.)
2024
Espace européen des données de santé et IA
Enjeux juridiques et défis de mise en oeuvre
Nathalie De Grove-Valdeyron (dir.)
2025
