Le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) soulève une controverse autour des acteurs du cyber rating, mettant en évidence les limites des agences de notation quant à l’évaluation fiable de la maturité des entreprises en matière de cybersécurité. L’association demande une transparence totale des méthodes et des algorithmes utilisés par ces agences, ainsi que le développement de leaders européens dans ce domaine crucial. Cet article examine les questions entourant le cyber rating et explore les appels du CESIN en faveur de la transparence et du développement d’une norme européenne.
L’essor des agences de notation privées dans le domaine de la cybersécurité fait écho à celui des agences de notation financière. Ces acteurs sont chargés d’évaluer le niveau de maturité des organisations en matière de sécurité informatique. Cependant, alors que la demande de visibilité sur le marché est croissante, se posent des questions quant à la capacité de ces acteurs à évaluer de manière impartiale les entreprises. Quelle est la fiabilité des méthodes d’évaluation utilisées et quels sont les impacts sur les organisations ?
Dans un contexte de crises cyber de plus en plus fréquentes, les services de cyber rating sont de plus en plus sollicités. Ils sont utilisés dans le cadre de contrats d’assurance, de contrats de sous-traitance ou encore pour évaluer l’exposition publique des organisations. À ce jour, n’importe quel acteur se prétendant spécialiste du cyber rating peut évaluer la cybersécurité d’une organisation sans préavis et sur un périmètre non vérifié. Cette notation peut ensuite être vendue, partagée avec des tiers tels que des concurrents ou des autorités, voire rendue publique. Par conséquent, une entreprise peut présenter une image trompeuse de sa sécurité, affichant une note satisfaisante alors même que ses fondamentaux en matière de sécurité ne sont pas respectés.
« Nous ne disposons d’aucune garantie d’indépendance ni de consensus sur la véritable valeur des notations de risque cyber publiées par l’oligopole des agences américaines », ont alerté Arnaud Martin et Didier Gras, Administrateurs du CESIN (source : Vigile de notre autonomie stratégique, juin 2022).
Mylène Jarossay, Présidente du CESIN, insiste sur la nécessité d’un processus de notation vertueux, générant des progrès. Elle souligne l’importance de partager de manière transparente les méthodes de calcul des scores, tout en prenant conscience des limites des évaluations externes. Cela permettrait de connaître le véritable niveau de sécurité des organisations, c’est-à-dire leur capacité globale à faire face aux risques cyber. Ainsi, les systèmes de notation ne détourneraient pas les organisations de la mise en place de mesures moins visibles, mais essentielles en termes de défense.
Frank Van Caenegem, Administrateur du CESIN, souligne également l’importance d’adopter une approche du risque prenant en compte les vulnérabilités exploit ables et les solutions de notation. Les solutions de notation permettent de suivre les tendances et la réactivité des entreprises par rapport à leur posture en matière de cybersécurité.
Pour éviter les dérives potentielles, le CESIN propose la mise en œuvre d’un référentiel visant à soutenir l’émergence de notations claires et transparentes. Ce référentiel serait basé sur des méthodes et des critères qui reflètent fidèlement et de manière reproductible le niveau de maturité des organisations en matière de cybersécurité. Cela garantirait la compétence des analystes et favoriserait l’application du principe d’amélioration continue de la cybersécurité. De plus, le CESIN suggère la mise en place de normes et de mesures standardisées afin de rationaliser la communication avec les comités exécutifs et les conseils d’administration. Cette démarche faciliterait également le développement de sociétés de cyber rating en Europe, renforçant ainsi l’autonomie stratégique du continent dans le domaine de la cybersécurité.
En conclusion, le CESIN soulève des préoccupations légitimes concernant les acteurs du cyber rating et leur capacité à fournir des évaluations impartiales et fiables de la maturité des entreprises en matière de cybersécurité. La demande croissante de transparence et l’appel à développer des leaders européens dans ce domaine soulignent l’importance d’une approche rigoureuse et standardisée de l’évaluation de la cybersécurité. En adoptant un référentiel transparent et des normes communes, il serait possible de garantir des évaluations plus précises et de promouvoir une culture de la sécurité informatique renforcée au sein des organisations européennes.