APAC : Les régulateurs et les entreprises réagissent à l’intensification des risques liés aux ransomwares et à la réputation

Pour la première fois, les cyberrisques se sont imposés comme l’un des cinq principaux risques pour les chefs d’entreprise de la région de l’Asie-Pacifique, comme en témoignent les résultats du sondage mondial d’Aon de 2021 sur la gestion des risques (le sondage d’Aon)2. Ils ont également été classés dans le sondage d’Aon comme le futur sujet de risque le plus important pour les cinq prochaines années. Ces résultats permettent de représenter la transformation des menaces dans la région et la perception des cadres supérieurs selon laquelle la cybersécurité constitue un risque important pour les activités commerciales. Les résultats de l’évaluation du cyberquotient (CyQu) d’Aon3 servent également à souligner l’importance stratégique de la gestion des cyberrisques pour la haute direction, les clients ayant fait état d’une amélioration de leur cybermaturité globale, celle-ci passant du niveau « de base » au niveau « géré » (selon la méthode de calcul CyQu des indices 2,01 à 2,68)4 pour la période de 2020 à 2022.

Il semble y avoir trois principaux facteurs de risque dans la région. Les tensions géopolitiques ont accentué l’importance de gérer les risques liés à la chaîne d’approvisionnement, y compris les cyberattaques contre les dépendances critiques dans les réseaux d’approvisionnement, les vulnérabilités informatiques dans les chaînes d’approvisionnement numériques et l’exfiltration de la propriété intellectuelle par des fournisseurs stratégiques. Les risques liés à la chaîne d’approvisionnement sont particulièrement préoccupants pour les secteurs d’importance stratégique situés dans des points chauds de la région5. En réponse à ces risques, les données CyQu ont montré que les contrôles de la chaîne d’approvisionnement se sont améliorés, passant, entre 2020 et 2022, du plus bas niveau de maturité CyQu, soit l’état « initial », à un niveau « géré »6.

Les facteurs de risques réglementaires7,8,9 et d’atteinte à la réputation10,11 se sont également intensifiés dans toute la région. La prévalence des crises de réputation à la suite de cyberincidents a intensifié les exigences pour une meilleure gouvernance d’entreprise et pour que les chefs de file en matière de risque jouent un rôle plus actif dans la gestion des cyberrisques. Les récentes atteintes à la protection des données médiatisées en Australie et en Asie12,13,14 ont eu des répercussions sur le rendement financier, ont suscité un contrôle défavorable de la part des organismes de réglementation, ont miné la valeur pour les actionnaires et ont exposé les dirigeants d’entreprise15. Pour y répondre, divers organismes de réglementation du secteur, de la protection de la vie privée et de la protection des consommateurs de Singapour, de la Thaïlande, de la Chine, du Vietnam, de l’Australie et de l’Indonésie ont indiqué qu’ils intensifieraient leurs examens et mises en application des lois en matière de protection des données16. Les contrôles en matière de gouvernance des cyberrisques et de protection des données semblent en retour s’être améliorés dans la région, les clients indiquant être passés du niveau « de base » au niveau « géré » entre 2020 et 2022. Ce changement témoigne de l’importance accrue accordée à l’amélioration de la surveillance des risques et à la protection des renseignements personnels pour les dirigeants d’entreprise.

Comme c’est le cas dans d’autres régions, les organisations et le marché de l’assurance de l’Asie-Pacifique considéraient les attaques par rançongiciel comme la principale cybermenace17. Les entreprises de tous les secteurs et de toutes les tranches de revenus ont signalé une nette amélioration dans les domaines de contrôle de base responsables de la gestion des perturbations opérationnelles provoquées par des cyberattaques, comme la gestion des accès, la résilience opérationnelle et les systèmes d’extrémité, passant du niveau « de base » au niveau « géré ». Cette progression va de pair avec le déclin de 40 % des événements liés à des rançongiciels en Asie-Pacifique en 2022 (par rapport à l’année précédente)18.

Perspectives par secteur

Cette année, nous avons examiné de façon plus approfondie trois secteurs : la production manufacturière, les finances et l’assurance ainsi que les soins de santé. En 2022, les entreprises de ces trois secteurs ont fait état d’une situation globale « gérée » en matière de cyberrisques. Le secteur des finances et de l’assurance a connu le gain le plus important depuis 2020, passant de l’indice le plus faible, soit l’état de préparation « initial » (<1 sur l’échelle CyQu), au niveau « géré ».

La résilience opérationnelle est demeurée à un niveau « de base » pour les entreprises de production manufacturière. Toutefois, les clients ont indiqué une amélioration de la gestion de la continuité des activités. Les organisations doivent encore gérer suffisamment les risques opérationnels, alors que le télétravail et la gestion des risques liés aux tiers demeurent des vulnérabilités particulièrement graves en raison des défis inhérents à la dispersion de la protection des réseaux de technologie opérationnelle, des services de fabrication et de la main-d’œuvre19.

Les sociétés financières et d’assurance ont quant à elle fait état d’une maturité de niveau « avancé » en matière de gestion des risques liés aux tiers, ce qui reflète l’orientation réglementaire prudente de la région à cet égard. La gestion des risques s’est améliorée en passant au niveau « géré », ce qui démontre une harmonisation croissante entre les équipes de sécurité et les cadres traditionnels des risques opérationnels et des risques assurables du secteur bancaire et financier20.

Les entreprises de soins de santé ont fait état d’une sécurité physique « avancée ». La sécurité des applications demeure cependant à son état « initial » et présente une importante vulnérabilité compte tenu de la croissance des appareils médicaux connectés et de l’utilisation plus avancée de l’Internet des objets dans le secteur des soins de santé21.

Et maintenant? Mesures suggérées pour les dirigeants de l’Asie-Pacifique

1. Mettre à jour et renforcer les cadres de gouvernance et les stratégies de gestion des risques concernant les cyberrisques. La réglementation en matière de protection de la vie privée dans la région s’adapte aux nouvelles menaces posées par les atteintes à la protection des données et les nouvelles technologies, comme l’intelligence artificielle22. Par conséquent, il est primordial que les cadres supérieurs démontrent adéquatement leur adoption d’une bonne gouvernance et d’une bonne gestion des risques liés aux cybermenaces, conformément aux pratiques exemplaires et aux exigences réglementaires. Cette mesure permettra non seulement d’améliorer le profil de risque des entreprises, mais aussi d’atténuer les éventuelles mesures réglementaires et actions des actionnaires en cas de violation.
2. Rester vigilant face aux menaces par rançongiciel. Bien que les entreprises de la région aient obtenu de bons résultats dans la lutte contre les menaces posées par les rançongiciels, les tendances mondiales indiquent une augmentation de ce type d’attaques (hausse de 38 % au premier trimestre de 2023 par rapport au quatrième trimestre de 2022)23. Continuer de mettre l’accent sur les contrôles de sécurité qui atténuent les conséquences des attaques par rançongiciel, en particulier ceux qui font partie intégrante du processus de souscription d’assurance.
3. Toujours tenir compte de l’avenir dans l’étalonnage des stratégies en matière de cyberrisques. Une multitude de facteurs permettront de mieux façonner les perspectives en matière de cyberrisques dans la région Asie-Pacifique, y compris les tensions géopolitiques actuelles et croissantes, les défis associés à la reconfiguration des chaînes d’approvisionnement et l’adoption de technologies émergentes (IA, biométrie, technologie physique numérique intelligente dans le secteur manufacturier et l’environnement bâti). Tester fréquemment la résistance des stratégies en matière de cyberrisques dans un vaste ensemble de scénarios complexes pour s’assurer de suivre le rythme des demandes liées à ces mégatendances. Inclure la mise à l’essai fréquente de scénarios d’intervention en cas d’incident, de gestion de la continuité des activités et de stratégies de gestion de crise. Élargir cette portée en testant les montants de garantie et les couvertures des polices dans le cadre de cyberincidents tout aussi complexes afin d’aider à repérer les cyberrisques et les occasions de risque silencieux et d’ainsi mieux protéger le bilan et la valeur pour les actionnaires.