Le partage d'informations sur la cybersécurité doit se développer

Le moment est venu pour les entreprises de commencer à conclure des accords bilatéraux plus formels pour le partage d'informations sur la cybersécurité, sur un modèle similaire à celui des accords conclus par d'autres pays dans le monde.

Le dernier exemple en date d'accords de coopération en matière de cybersécurité est un accord entre les États-Unis et la Corée du Sud. Les deux pays se sont engagés à :

• Développer et mettre en œuvre des outils et des mesures de prévention des menaces pour dissuader les pirates.
• Participer au partage d'informations et à la coopération pour détecter, décourager et perturber les activités malveillantes dans le cyberespace.
• Collaborer au sein de forums internationaux et promouvoir les principes directeurs d'un comportement responsable des États en période de paix dans le cyberespace et demander des comptes aux États irresponsables qui perturbent l'activité dans le cyberespace.
• Participer à des exercices cybernétiques conjoints entre les États-Unis et la République de Corée et coopérer à la recherche et au développement de technologies de base pour protéger les infrastructures nationales stratégiques.
• Coopérer en vue d'améliorer les politiques et les institutions relatives à la formation du personnel, par exemple par des programmes d'échange d'experts en cybersécurité et de sensibilisation, ainsi que par le renforcement de la coopération entre les secteurs privés.
• Renforcer le partenariat public-privé au sein des universités et le partage d'informations sur les cybermenaces en temps réel
• Coopérer au développement de nouvelles cybercapacités

Cet accord a une portée similaire aux accords existants entre plusieurs pays qui sont basés sur la Five Eyes Alliance entre les États-Unis, le Royaume-Uni, le Canada, l'Australie et la Nouvelle-Zélande, qui remonte à la Charte de l'Atlantique initialement créée en 1941. Cet accord permet à ces pays de partager toutes sortes d'informations, depuis l'interception d'appels téléphoniques et d'e-mails au repérage de tirs de missiles.

Il existe également une version « Nine Eyes » de cette alliance, qui inclut le Danemark, la France, les Pays-Bas et la Norvège et qui étend la portée de la surveillance des parties à l'accord, ainsi qu'une version « Fourteen Eyes » qui inclut la Belgique, l'Allemagne, l'Italie, l'Espagne et la Suède.

Plus récemment, les membres de la Five Eyes Alliance ont émis un avertissement selon lequel la Chine aurait trouvé le moyen, par l'intermédiaire d'une équipe de pirates connue sous le nom de Volt Typhoon, de compromettre des services essentiels de communication, de fabrication, de services publics, de transport, de construction, de transport maritime, de gouvernement, de technologie de l'information et d'éducation dans le monde entier, y compris des installations navales américaines à Guam.

S'il est logique que les pays partagent leurs informations en matière de cybersécurité, il est logique que les entreprises fassent de même. De nombreuses entreprises ont toujours été réticentes à partager des informations sur la cybersécurité, de peur de révéler une faiblesse susceptible d'être exploitée par des cybercriminels. Cependant, il est assez évident que les entreprises cybercriminelles partagent activement non seulement des informations, mais aussi des stratégies et des techniques. Les entreprises qui partagent leurs informations en matière de cybersécurité ont, à l'heure actuelle, beaucoup plus à gagner qu'à perdre.

Depuis des années, de nombreuses entreprises échangent de manière informelle des informations sur la cybersécurité avec d'autres organismes, y compris des agences gouvernementales, mais le temps est venu de rendre l'échange de ces informations plus systématique. La difficulté réside dans le fait que la divulgation de ces informations doit pouvoir se faire d'une manière qui n'entraîne pas d'amende pour l'entreprise en raison d'une violation d'un mandat de conformité. Les entreprises qui fournissent des informations sur la cybersécurité exercent presque par définition un niveau de diligence raisonnable qui indique qu'elles prennent le problème suffisamment au sérieux pour ne pas être considérées comme imprudentes. Par conséquent, toute pénalité imposée serait, à juste titre, des plus minimes. Sinon, les entreprises continueront à se cacher dans l'ombre simplement parce que les risques financiers associés à la tentative de faire ce qu'il faut resteront trop élevés.