10 étapes pour créer des champions de la cybersécurité : comment obtenir l’appui de la direction

Voici un guide étape par étape pour vous aider à présenter votre argumentaire. Préparez-vous à éduquer et à mobiliser – sans provoquer la panique.

Votre public n’a pas besoin d’un cours accéléré sur l’anatomie des logiciels malveillants, mais il doit savoir ce qui est en jeu. Soulignez les risques à forte incidence, comme la possibilité de fuite de données des patients ou de compromission de propriété intellectuelle. Utilisez des statistiques cybernétiques choquantes à votre avantage – comme le fait que la plus grande faille de sécurité dans le domaine de la santé à ce jour a touché 190 millions de dossiers, soit près de la moitié de la population américaine [1]. La sécurité des patients, les pertes financières et l’atteinte à la réputation font que la cybersécurité paraît soudainement bien réelle.

Les dirigeants opèrent en fonction des risques, des récompenses et des résultats financiers. Alors, présentez la cybersécurité en ces termes. Expliquez comment les vulnérabilités peuvent entraîner des perturbations de service, des amendes réglementaires et une hausse fulgurante des coûts opérationnels. Évitez le jargon cybernétique à moins d’être prêt à le traduire immédiatement; dire « réduction de la surface d’attaque grâce à la segmentation à vérification systématique » sans l’expliquer de façon simplifiée ni préciser ce qui est souhaité, c'est le meilleur moyen de faire décrocher votre auditoire.

Décomposez-les clairement et de manière concise. Aujourd’hui, le secteur de la santé fait face à des attaques sophistiquées à plusieurs niveaux de la part d’acteurs étatiques et d’organisations criminelles professionnelles. Les menaces évoluent aussi, l’IA alimentant désormais les campagnes d'hameçonnage et les cyberattaques. Donner un contexte concret aide à démystifier le danger.

Expliquez les différences entre stratégies réactives et proactives, en citant des exemples d’approches réussies. Collaborez avec les fabricants de dispositifs médicaux pour améliorer la gestion et l’atténuation des problèmes de sécurité potentiels, utilisez des outils de gestion des vulnérabilités pour centraliser le suivi des risques médicaux et assurez-vous que les informations clés sont accessibles, traçables, visibles pour les équipes de sécurité et pertinentes pour les personnes concernées au sein de l’organisation. Utilisez des sources de menaces telles que les avis de sécurité, le MDS2 (Manufacturer Disclosure Statement for Medical Device Security) et les SBOM (liste des composants logiciels) pour surveiller et traiter avec précision les vulnérabilités. Soulignez comment des méthodes comme celles-ci permettent une meilleure préparation, moins de temps d’arrêt et moins d’incidents de niveau critique.

Présentez brièvement les renseignements sur les cybermenaces (CTI, des renseignements liés à la détection, à la prévention et à la réponse aux cyberattaques) en mettant l’accent sur leurs capacités à donner à votre organisation une longueur d’avance sur les attaquants. En tirant parti des renseignements sur les cybermenaces (CTI), tant les cadres que les équipes techniques peuvent maintenir des opérations sécurisées et efficaces et protéger les données des patients. Présentez les CTI comme un outil permettant de prendre des décisions éclairées et d’éviter les situations d’urgence de dernière minute. Utiliser une brève analogie ne fait jamais de mal. Les CTI, c’est comme avoir une météo des cybermenaces pour savoir quand prendre un parapluie avant qu’il ne pleuve des rançongiciels.

Expliquez que la cybersécurité ne se résume pas à l’achat des logiciels les plus récents; il s’agit de renforcer la résilience à tous les niveaux. Abordez des concepts tels que la « défense en profondeur » et la sécurité multicouche, et mettez l’accent sur des contrôles rigoureux, des politiques de vérification systématique et la collaboration entre toutes les équipes.

La cybersécurité ne génère pas de revenus directs, mais elle représente un investissement qui peut prévenir des pertes de plusieurs millions de dollars. Rappelez-leur à quel point des interruptions prolongées, des poursuites judiciaires et des amendes réglementaires (sans oublier la perte de confiance des patients) pourraient nuire à votre organisation. Montrez que la prévention en matière de cybersécurité contribue à protéger le budget, et non à le réduire.

Les gens apprécient une bonne histoire. Mettez en lumière des exemples mémorables, comme des scénarios réels issus de l’industrie de la santé ou des leçons tirées de grandes failles de sécurité (comme celle de Change Healthcare [2]). Une anecdote sur la façon dont une faille non corrigée a mené au chaos marquera davantage les esprits qu’une énième diapositive PowerPoint truffée de graphiques.

Ne submergez pas votre auditoire de détails techniques ou d’options à n’en plus finir. Indiquez deux ou trois prochaines étapes claires, comme le financement pour évaluer les risques et appliquer des mesures de réduction des risques. Soyez précis sur les besoins en ressources, les délais et les résultats attendus.

Enfin, positionnez la prévention en cybersécurité comme un avantage concurrentiel. Présentez-la comme une occasion pour votre organisation de devenir une cheffe de file en matière de sécurité des patients, de conformité et de qualité opérationnelle, plutôt que de se contenter de suivre le mouvement. Insistez sur le fait que leur leadership dans ce domaine garantira que l’organisation ne fait pas que survivre face aux menaces, mais qu’elle prospère malgré elles.

Rappelez-vous que pour obtenir l’adhésion à une cybersécurité résiliente, il n’est pas nécessaire que vos dirigeants deviennent des experts en cybersécurité – mais en suivant ces étapes, vous les aiderez à acquérir les connaissances et la confiance nécessaires pour promouvoir les meilleures pratiques en cybersécurité. Et qui sait? En leur faisant prendre conscience de l’importance de la cybersécurité et de son caractère essentiel, cela pourrait bien en faire leur nouveau sujet de prédilection… ou, à tout le moins, un sujet auquel ils accorderont la priorité.