Gouvernements et compagnies doivent collaborer face à des cyber-menaces qui les dépassent #WEF #Suisse

La cybersécurité sera au menu principal de la 48e réunion annuelle du Forum économique mondial qui se tiendra du 23 au 26 janvier à Davos en Suisse. Le thème de 2018 sera Créer un avenir partagé dans un monde fracturé.

Dans son communiqué du 12 janvier 2018, le WEF rappelle que les menaces de cybersécurité dépassent aujourd’hui nos capacité à les surmonter à moins que toutes les parties prenantes commencent à coopérer.

Le monde de plus en plus connecté, numérisé et connecté est vulnérable aux cyber-menaces qui ne peuvent être traitées que par les capacités combinées des secteurs public et privé, selon un nouveau rapport du World Economic Forum en collaboration avec The Boston Consulting Group (BCG ).

Le rapport intitulé Cyber ​​résilience: un guide pour la collaboration public-privé (en anglais Cyber Resilience: Playbook for Public-Private Collaboration) souhaite faciliter le renforcement des capacités, les politiques et les processus nécessaires pour soutenir la collaboration, protéger le cyberespace et renforcer la cyber-résilience.

Comme le mentionne le communiqué de presse, travailler en collaboration dans l’espace de la cybersécurité est difficile. Les cyber-menaces sont complexes, dynamiques et de plus en plus personnelles à mesure que la technologie sature notre économie et notre société.

Aborder ces menaces nécessite un dialogue entre les industries et les compétences, et sur des sujets allant du technique à l’éthique. À l’heure actuelle, le dialogue entre les dirigeants des secteurs public et privé est souvent hors de portée et à contre-courant. La mise en œuvre des stratégies varie également en fonction du contexte national: chaque pays a ses propres capacités, vulnérabilités et priorités uniques.

Le rapport souhaite donc promouvoir la collaboration entre le secteur public et le secteur privé en aidant les leaders à acquérir une compréhension de base des principaux problèmes et des avantages et des inconvénients des différentes positions politiques sur la cybersécurité.

Pour cette démarche, le WEF a structuré son approche selon les 14 domaines de collaboration suivant:

1. Research, data and intelligence sharing. What is the government’s role in sharing and promoting the dissemination of threat intelligence?
2. Zero-days. To what extent should the government be involved in the research, development and purchase of zero-day vulnerabilities and exploits? To what extent should government share these vulnerabilities with the private sector?
3. Vulnerability liability. Who is liable for securing a vulnerability? How should that liability shift if/when products transition to end-of-life?
4. Attribution. How should government engage with the private sector when the private sector publicly alleges that a particular actor is responsible for a given attack?
5. Botnet disruption.What should be done to prevent the proliferation of botnets? How should existing botnets be researched
   and studied? How should actors throughout the ecosystem disrupt botnets?
6. Monitoring. What should non-users be able to monitor to promote security and other valid national interests?
7. Assigning national information. security roles Which entities and organizations should be responsible for fulfilling different national information security roles?
8. Encryption. Who should be able to access sensitive data and communications?
9. Cross-border data flows. What are the security and non-security implications of countries exerting control over data?
10. Notification requirements. When should companies be required to notify relevant stakeholders that they have been breached or otherwise experienced a cyberincident? What sanctions should policy-makers apply to compromised organizations?
11. Duty of assistance. How should public resources be drawn upon in the wake of a cyberincident?
12. Active defence. What technical measures should the private sector be empowered to use to deter and respond to cyberthreats?
13. Liability thresholds. What is the reasonable duty of care that an organization should have? Who should bear the residual damages resulting from cyberincidents when an organization has sufficiently invested in security controls?
14. Cyberinsurance. What, if any, incentives should be offered to obtain insurance? Which entities should be prioritized for these incentives?

Le rapport:

http://www3.weforum.org/docs/WEF_Cyber_Resiliance_Playbook.pdf

Le communiqué de presse:

Cybersecurity Threats Outpacing Abilities of Governments and Companies

Georg Schmitt, Head of Corporate Affairs, World Economic Forum; Email: georg.schmitt@weforum.org

Et pour en savoir plus sur l’agenda 2018:

http://www3.weforum.org/docs/WEF_AM18_Overview.pdf