La minute du boss : Cyber-rating ou l'Art d'évaluer le risque numérique !

On peut citer les grandes agences de notation financière telles que Moody's ou Standard & Poor's, qui ont gagné en visibilité après la crise financière de 2008, qui ont établi des normes mondialement reconnues pour évaluer le risque de solvabilité des entreprises. Leurs grilles de comparaison ont structuré les marchés financiers en fournissant une évaluation standardisée du risque associé à chaque entreprise.

Origine du cyber-rating

Le cyber-rating trouve ses racines dans l'extension du concept de notation d'entreprises par des organismes externes - initialement appliqué dans le domaine financier - à la sphère de la cybersécurité.

Cette pratique s'étend désormais au domaine de la cybersécurité, où des agences de cyber-rating attribuent une "cyber-note" aux entreprises pour quantifier le risque cyber auquel elles sont exposées. C'est le cas d'agences américaines comme BitSight, Security ScoreCard ou encore UpGuard, mais aussi d'acteurs européens comme Cyrating, qui se sont positionnés sur ce marché émergent. Ces agences utilisent des méthodologies spécifiques pour évaluer les pratiques de sécurité informatique, les vulnérabilités et les menaces potentielles auxquelles les entreprises peuvent être confrontées dans leur environnement numérique.

Ainsi, l'extension du modèle de notation d'entreprises au domaine de la cybersécurité reflète la reconnaissance croissante de l'importance critique de la sécurité numérique dans le contexte économique actuel. Le cyber-rating devient un outil essentiel pour les entreprises et les investisseurs afin d'évaluer et de comprendre le risque cyber associé à une entreprise donnée, renforçant ainsi la transparence et la gestion des risques dans un environnement numérique en évolution constante.

La méthode du cyber-rating

Le cyber-rating repose sur une évaluation approfondie de divers aspects de la sécurité informatique. Cette méthode implique l'utilisation d'algorithmes sophistiqués pour collecter, analyser et synthétiser un large éventail de données pertinentes, provenant à la fois de sources publiques et privées. Les agences de cyber-rating collectent des informations sur les entreprises, telles que :

• Les vulnérabilités de leurs sites Web
• Les méthodes de chiffrement
• La réputation de leurs adresses IP publiques (éventuelle présence sur listes noires de fournisseurs d'accès, nombre de plaintes pour spam, taux de rebond etc.)
• L'activation des protections des adresses e-mail
• L'analyse des DNS (incluant whois, serveurs racine et NS, etc.)
• La présence de données sur le Dark Web et le Deep Web

Ces données sont ensuite analysées et utilisées pour produire une « cyber-note », qui reflète le niveau de maturité en matière de cybersécurité de l'entreprise évaluée. Les critères d'évaluation peuvent inclure :

• La conformité réglementaire
• Les politiques de sécurité
• Les procédures de gestion des identités et des accès
• La gouvernance des données

Avantages du cyber-rating

Le cyber-rating offre une série d'avantages significatifs pour les entreprises en fournissant une évaluation claire et objective de leur posture en matière de cybersécurité.

• Identification des points d'amélioration : en exposant les vulnérabilités et les lacunes en matière de cybersécurité, le cyber-rating aide les entreprises à identifier les domaines à risque et à prendre des mesures correctives pour renforcer leur sécurité.
• Réduction des risques : en identifiant et en atténuant les risques, le cyber-rating aide les entreprises à réduire leur exposition aux cybermenaces, minimisant ainsi les pertes financières et les éventuelles atteintes à la réputation.
• Une aide à la prise de décisions : le cyber-rating fournit un langage commun pour discuter de la cybersécurité au sein de l'organisation et avec les parties prenantes externes, facilitant ainsi la communication et la prise de décision.
• Comparaison et benchmarking : les entreprises peuvent utiliser le cyber-rating pour se comparer à leurs pairs et au marché dans son ensemble, leur permettant ainsi d'identifier les meilleures pratiques et de définir des objectifs de sécurité appropriés.
• Amélioration continue : en fournissant un retour d'information régulier sur la posture en cybersécurité, le cyber-rating encourage les entreprises à adopter une approche d'amélioration continue de leur sécurité numérique.
• Conformité réglementaire : le cyber-rating peut aider les entreprises à démontrer leur conformité aux réglementations en matière de cybersécurité, dans un contexte de réglementation de plus en plus exigeant.

En somme, le cyber-rating offre aux entreprises et aux organisations un outil puissant, rapide et relativement complet pour évaluer leur maturité en cybersécurité, améliorer leur sécurité numérique, renforçant ainsi leur résilience face aux menaces numériques croissantes.

Limites et défis du cyber-rating

Malgré les nombreux avantages qu'il offre, le cyber-rating est confronté à une série de défis significatifs qui exigent une attention particulière et des solutions adaptées.

La complexité des critères utilisés pour évaluer la cybersécurité constitue l'un de ces défis majeurs. Ces critères peuvent être divers et sophistiqués, ce qui complique l'établissement d'une norme universellement acceptée et standardisée. Cette diversité rend également difficile la comparaison entre les évaluations provenant de différentes sources.

Un autre défi important est la fiabilité des données analysées pour établir les évaluations de cyber-rating. La qualité et la précision des données peuvent varier considérablement, ce qui peut entraîner des résultats inexacts ou incomplets. De plus, les biais algorithmiques peuvent influencer les résultats du cyber-rating, reproduisant ainsi les préjugés existants et aboutissant à des évaluations inéquitables ou discriminatoires.

Le manque de transparence dans les méthodes de calcul du cyber-rating est également un sujet de préoccupation. Les entreprises et les individus évalués peuvent avoir du mal à comprendre les critères utilisés pour établir leurs évaluations, ce qui rend difficile de contester les résultats ou de prendre des mesures correctives.

En outre, la collecte et l'utilisation de données personnelles dans le cadre du cyber-rating soulèvent des préoccupations légitimes en matière de vie privée et de sécurité des données. Le traitement des informations sensibles sans le consentement explicite des individus peut poser des problèmes éthiques et juridiques.

Les conséquences sociales et économiques du cyber-rating sont également à considérer. Les évaluations de cyber-rating peuvent avoir un impact significatif sur la réputation des entreprises, leur accès aux services et leurs opportunités professionnelles. Cela peut entraîner une inégalité, favorisant les grandes entreprises ayant les ressources nécessaires pour maintenir une sécurité numérique élevée, au détriment des plus petites entreprises.

Enfin, la dépendance croissante aux évaluations automatisées de cyber-rating peut entraîner une confiance excessive dans les résultats algorithmiques, reléguant ainsi l'évaluation humaine au second plan.

En conclusion, bien que le cyber-rating puisse offrir des outils précieux pour évaluer et améliorer la cybersécurité, il est crucial de reconnaître et de relever ces défis pour garantir une utilisation éthique, équitable et efficace de cette méthode.

Anaïs AZIROU IConsultante en cybersécurité chez Akerva