Une pratique appropriée autrefois, mais le niveau des risques aujourd’hui nécessite un respnsabilité à l’échelon le plus élevé de la hiérarchie
La quantité croissante d’informations, sous de multiples formats différents, ainsi que la complexité de gérer la question de savoir qui peut accéder à quelles informations et quand, où et comment, impliquent des risques considérables pour les entreprises. Assigner la responsabilité de la protection des informations aux personnes appropriées est un facteur clé de prévention contre les risques de pertes d’information, et permet de garantir à la fois que les personnes appropriées sont impliquées et que des responsables performants ont été désignés pour coordonner la réponse appropriée de l’entreprise.
Et pourtant, selon notre dernière étude1, 46 % des entreprises européennes (45% pour la France) déclarent que le responsable principal de ces risques est leur directeur de la Sécurité au sein du service des Technologies de l’information.
Une telle pratique pouvait éventuellement être appropriée autrefois, mais les risques liés à la gestion des informations sont aujourd’hui un enjeu à facettes multiples couvrant divers domaines et types de risques, qu’il s’agisse du personnel ou des procédures, des comportements ou des pratiques professionnelles, à tel point que la responsabilité de ces risques devrait désormais toujours être assignée à l’échelon le plus élevé de la hiérarchie, chacun des employés ayant quant à lui un rôle individuel à jouer en matière de protection des informations de l’entreprise.
Par exemple, le PDG d’une chaîne de magasins aux États-Unis a démissionné moins de cinq mois après qu’il fut découvert que cette entreprise avait été victime d’une violation de données majeure. La saga de cette violation de données, a entraîné la perte d’environ 40 millions de numéros de cartes de paiement et d’informations personnelles susceptibles de concerner 70 millions de clients, a entraîné cette entreprise dans une tourmente sans précédent depuis la révélation de cette violation. Les conséquences de cet incident sont très nombreuses : des dizaines de procès, plusieurs audiences devant une commission du Congrès américain, une chute spectaculaire de l’action en bourse et un impact négatif sur la notoriété de l’entreprise immesurable.
Ceci démontre une fois de plus à quel point il est important que la direction générale supervise ce domaine et assume personnellement la responsabilité de la mise en place et du contrôle de procédures de sécurité performantes.
« L’enjeu de la gestion des informations doit être porté à l’attention de la hiérarchie, y compris les dirigeants de l’entreprise et le conseil d’administration, afin qu’une stratégie de contrôle des risques liés à la gestion des informations et de protection des informations ait sa place au sein du principe général de fonctionnement économique et des processus décisionnels de chaque entreprise. Les risques liés à la gestion des informations ne peuvent plus être définis comme étant exclusivement un défi du ressort du service des Technologies de l’information », s’exprime Marc Delhaie, PDG Iron Mountain France et Suisse.