Ce que les conseillers juridiques internes doivent savoir sur la sécurité de l’information

C’est le premier de quatre articles qui vous sont proposés par un avocat spécialisé en sécurité de l’information visant à aider les conseillers juridiques d’entreprise à comprendre les menaces, les mesures d’atténuation et les nuances juridiques relatives à la sécurité de l’information. 

Ce n’est pas nouveau pour les conseillers juridiques internes ou en entreprise de porter de nombreuses casquettes, comme conseiller leurs organisations sur les transactions, les questions d’emploi, les discussions sur les fusions ou les acquisitions, les dépôts de bilan, la protection des secrets commerciaux et de la propriété intellectuelle, et plus encore. Cependant, une question que la plupart des juristes d’entreprise n’ont pas encore abordée est la gestion des risques juridiques posés par les questions de sécurité de l’information.

Il y a, bien sûr, des raisons compréhensibles à cet oubli passif. Jusqu’à présent, la protection fonctionnelle de l’information est principalement tombée entre les mains du groupe des technologies de l’information.

Les avocats internes assument aujourd’hui de nouvelles responsabilités en matière d’information et de technologie, qu’il s’agisse de la gestion de l’eDiscovery en travaillant avec une technologie comme Relativity pour soutenir leurs besoins en matière de gestion des litiges, de l’établissement de politiques relatives à la planification précontentieuse ou même de la participation à la gestion de la révision des documents.

Savoir comment assurer la sécurité se hisse rapidement sur la liste des compétences que les avocats internes doivent posséder. En fait, la sécurité de l’information et la nouvelle législation ont amené les questions de sécurité de l’information aux portes des juristes d’entreprise, mais une grande majorité d’entre eux ne sont pas préparés à gérer de telles brèches.

Cela vous arrivera (éventuellement)

Nous connaissons tous les histoires de ce qui semble être des brèches de sécurité de l’information quotidiennes qui ont touché des entreprises comme Target, Home Depot, Niemen Marcus, Sony et d’autres. Trop souvent, nous voyons les entreprises adopter un état d’esprit de « sécurité par l’obscurité », ou la conviction que « cela ne nous arrivera pas ». Mais avec le nombre croissant de violations de données qui se produisent, il semble que le simple fait d’essayer de rester non découvert (ou sous-protégé) s’avérera une approche insensée à long terme.

Les statistiques rapportent que sur 500 grandes entreprises américaines, plus de 125 avaient ou ont actuellement des menaces persistantes avancées au sein de leur organisation qui envoyaient ou envoient actuellement des informations, des documents et des renseignements à des tiers. Ces tiers comprennent des pirates informatiques malveillants, des pirates payés pour être embauchés dans des scénarios d’espionnage commercial, et même des pirates associés à des gouvernements hostiles.

Etes-vous vraiment, vraiment préparé ?

Peu de juristes d’entreprise envisagent vraiment les retombées qui se produiraient en cas de violation de la sécurité de l’information. Les histoires de pirates qui obtiennent des informations sur des secrets commerciaux, des communications entre avocats et clients ou des produits de travail, des numéros de sécurité sociale et d’autres données démographiques sont déjà assez angoissantes en soi. Pensez aux coûts d’une enquête sur une telle violation et aux litiges imminents consécutifs à la perte de données clients aussi intimes. Pensez également à l’effet qu’auraient vos données de secret commercial entre les mains de vos concurrents.

Une rafale de questions surgit dans la salle du conseil en cas de violation de la sécurité de l’information. Par exemple, sauriez-vous même si des données ont disparu ? Quand ont-elles été prises, et qui les a prises ? Ont-elles encore accès à nos données ou à celles de nos clients ? Et si cela devenait public et ruinait notre réputation ? Comment allons-nous nous en remettre ? Qui est tenu responsable au sein de l’organisation ?

Répondre à ces questions et à d’autres peut être extrêmement difficile et coûteux. Elle nécessite des consultants en sécurité, des avocats, des auditeurs, des conseillers et, dans certains cas, l’aide des forces de l’ordre. Les enquêtes peuvent prendre des années pour bien comprendre et réparer, et souvent, les dommages à la réputation sont tout simplement irréversibles.

Plus votre organisation est préparée à une violation de données, meilleures sont vos chances de survivre à une violation.

Dans mon prochain article, je commencerai à découvrir les principales menaces que les pirates utilisent pour obtenir les informations et les accès qu’ils désirent. Les trois menaces les plus courantes comprennent :

L’utilisation d’attaques d’ingénierie sociale ; Les vulnérabilités et les exploits techniques ; Les mauvais acteurs, tels que les initiés mécontents ou les employés partis.

En tant qu’avocat interne, il vous incombe de comprendre la nature de ces menaces afin d’évaluer les risques juridiques posés et la meilleure façon de protéger votre organisation.