3 clés pour gérer les retombées juridiques des cyberattaques

ESPN’s resident legal expert, Andrew Brandt, is synonymous with one simple phrase: There will be lawyers. He’ll tweet it in response to any developing story in the sports world that catches his eye, like Carolina Panthers owner David Tepper throwing a drink at fans from his owner’s box.  

C'est cette phrase qui a inspiré le dernier webinaire d'Illumio, une collaboration avec le cabinet d'avocats Fenwick and West sur les conséquences juridiques des cyber-violations. Michael Sussmann, avocat spécialisé dans la cybersécurité et la protection de la vie privée au sein du cabinet, s'est joint à John Kindervag, parrain de Zero Trust et évangéliste en chef d'Illumio, et à Aaron Margolis, responsable du service juridique d'Illumio, pour partager leurs points de vue sur le sujet rarement abordé des retombées juridiques des cyberattaques.

Comme dans le monde du sport, il y aura des avocats.

Here are three key takeaways from their discussion to help you stay prepared for the legal fallout of breach response. You can also watch the full recording here, and get a preview of their discussion below:

1. Les investissements proactifs en matière de sécurité sont rentables

Many organizations are still lagging when it comes to building breach containment strategies that reduce risk and bolster cyber resilience. According to Kindervag’s research, the majority of cybersecurity incidents could’ve been mitigated for far less than the cost of the legal fees associated with the incident.  

"J'ai l'impression que nous sommes sages comme des sous et fous comme des livres", a déclaré M. Kindervag, "et que nous ne pensons pas à tous les coûts qui pourraient être associés à une attaque".

But investing in proactive security strategies that prepare for the next inevitable breach will deliver ROI next time a breach happens. Sussman and Margolis recommended implementing basic cyber hygiene best practices in addition to security tools that limit network access, contain breaches, and stop lateral movement.

Si ces stratégies ne permettent pas d'éviter une violation, elles peuvent certainement faire en sorte qu'une violation soit moins destructrice qu'elle ne l'aurait été autrement - et moins coûteuse à réparer sur le plan juridique.

"Le fait d'être proactif peut faire la différence entre une vulnérabilité de sécurité de faible niveau et une violation très médiatisée qui devient critique pour l'ensemble de l'entreprise", a déclaré M. Margolis.

2. Donner la priorité à la communication

Breaches can no longer be prevented or detected quickly enough to stop them from becoming catastrophic incidents. Organizations can't expect perfection from their security teams — and CISOs can’t expect that the rest of the organization will understand what their teams needs to build cyber resilience.  

"Exprimez-vous lorsque vous avez besoin de ressources", a recommandé M. Sussman. "Chacun fait de son mieux dans des circonstances difficiles.

En cas de violation, M. Kindervag fait remarquer qu'il peut être utile de faire appel à un avocat externe. M. Sussman a abondé dans ce sens, encourageant les organisations à "toujours" s'adresser à des avocats en cas de violation. Cela peut aider les équipes de sécurité à mieux communiquer l'impact de la violation aux parties prenantes internes et externes, tout en atténuant les problèmes juridiques inattendus qui pourraient survenir.

3. L'investissement commence au sommet

M. Kindervag a abordé la question de la procrastination, qui se pose depuis longtemps dans le secteur de la cybersécurité : "Pourquoi les entreprises évitent-elles ou retardent-elles d'investir dans des projets qui pourraient les aider, comme la segmentation ? Pourquoi tant de gens disent-ils que cela coûte trop cher alors qu'il y a tant d'inconvénients à ne pas faire ce qu'il faut ?

M. Margolis a reconnu que de nombreuses organisations se concentrent encore sur des modèles de sécurité dépassés qui donnent la priorité à la prévention et à la détection plutôt qu'à l'endiguement des brèches. Cela conduit à des violations coûteuses et à des retombées juridiques.

"Je pense que la raison pour laquelle elle peut être dépourvue de priorité est que, lorsque nous dirigeons l'entreprise, il existe une structure d'incitation qui accorde une grande importance à la croissance. C'est pourquoi une grande partie des investissements et de l'attention est portée sur ce point", a expliqué Margolis

However, he does see change happening. In today’s threat landscape, boards are starting to take notice of cybersecurity issues. Security risk is becoming a top business risk to mitigate, and legal teams are increasingly involved in security planning.

"C'est de moins en moins vrai au fur et à mesure que la cybernétique devient un impératif stratégique", a-t-il déclaré.

"Il y a moins de procrastination et plus de proactivité, et il y a un besoin d'expertise cybernétique au sein du conseil d'administration".

Contact us today to learn about how Illumio Zero Trust Segmentation can help your organization build cyber resilience and reduce the risk of catastrophic cyberattacks.