La réponse d’un assureur santé à la notification d’une violation par un fournisseur a été exemplaire : dans l’heure suivant la réception de la notification, il avait réuni l’équipe IR, activé le processus d’évaluation réglementaire, mobilisé ses conseils juridiques et envoyé au fournisseur une demande technique détaillée sollicitant les informations précises nécessaires pour cerner sa propre exposition. La demande comportait douze questions précises : la chronologie de l’accès non autorisé, les systèmes précis consultés, les catégories de données accessibles, la méthode d’authentification utilisée par l’attaquant, les indicateurs techniques de compromission, la chronologie du confinement et les enregistrements précis susceptibles d’avoir été exfiltrés. La première réponse du fournisseur est arrivée trois jours plus tard : un unique paragraphe rédigé en concertation avec son équipe juridique, qui décrivait l’incident comme « un événement de cybersécurité affectant certains systèmes informatiques » et confirmait que l’enquête était en cours. La deuxième réponse, sept jours après la demande initiale, apportait à peine plus de détails : l’incident avait été maîtrisé et le fournisseur coopérait avec les autorités compétentes. Dix semaines et sept communications plus tard, l’assureur avait enfin reçu suffisamment d’informations pour achever son évaluation du risque de violation au titre de HIPAA. Quatre-vingt-sept pour cent de la durée de l’enquête avaient été consacrés à attendre des communications du fournisseur retardées par l’examen juridique.
Que sont réellement les défaillances de communication lors des incidents ?
Les défaillances de communication lors des incidents dans les relations avec les fournisseurs sont des ruptures dans la transmission d’informations précises et techniquement utiles de l’équipe IR du fournisseur à l’équipe IR du client pendant un incident commun, ruptures qui compromettent la capacité du client à comprendre sa propre exposition, à remplir ses propres obligations réglementaires et à mener sa propre évaluation d’investigation numérique. Ces défaillances proviennent de trois sources : les cycles d’examen juridique qui retardent et aseptisent les communications techniques, les limites des canaux de communication qui font passer les questions techniques par la gestion de compte plutôt que par des canaux d’équipe IR à équipe IR, et les restrictions de contenu qui limitent ce que le fournisseur accepte de communiquer pendant la préparation d’un éventuel contentieux.
Le problème des communications filtrées par le service juridique est le principal schéma de défaillance. Lorsque l’équipe juridique d’un fournisseur contrôle les communications sur une violation, celles-ci sont optimisées pour réduire le risque juridique plutôt que pour répondre aux besoins d’information du client. Les communications examinées par le service juridique tendent à être vagues sur le plan temporel (« l’incident s’est produit au Q2 »), non spécifiques sur le plan technique (« des systèmes contenant certaines informations de clients ont été affectés ») et prudentes sur le plan juridique (« nous ne pouvons ni confirmer ni infirmer à ce stade un accès à des données précises »). Ces communications répondent aux exigences de l’équipe juridique du fournisseur, qui cherche à limiter les aveux factuels précis. Elles sont presque inutiles pour l’équipe IR du client, dont l’évaluation de l’exposition exige une chronologie précise, des systèmes précis, des catégories de données précises et des vecteurs d’attaque précis.
Le problème du canal de communication passant par la gestion de compte aggrave le retard dû à l’examen juridique. Les communications d’un fournisseur sur une violation passent souvent par les équipes de gestion de compte, c’est-à-dire les gestionnaires de la relation qui traitent les échanges quotidiens avec le client, plutôt que directement entre l’équipe IR du fournisseur et l’équipe IR du client. Les gestionnaires de compte qui relaient les questions techniques aux équipes d’ingénierie et juridiques introduisent des retards et des couches de reformulation supplémentaires qui réduisent la précision des informations reçues et la rapidité de leur transmission. Une communication directe d’équipe IR à équipe IR, établie avant que les incidents ne surviennent, contourne le relais de la gestion de compte et raccourcit le circuit de communication.
- Communications filtrées par le service juridique fournissant des informations non spécifiques et juridiquement prudentes
- Canal de communication passant par la gestion de compte, source de retards et de reformulations
- Aucun canal de communication directe d’équipe IR à équipe IR établi avant l’incident
- Exigences de contenu des communications non inscrites au contrat : informations précises que le fournisseur doit transmettre
- Aucun SLA de communication : délai de transmission des détails techniques précis
Pourquoi c’est important
Les défaillances de communication lors des incidents sont importantes pour la TPRM parce que la capacité du client à remplir ses propres obligations réglementaires (évaluation du risque de violation au titre de HIPAA, notification au titre du GDPR, déclaration d’incidents dans les services financiers) dépend de l’obtention auprès du fournisseur d’informations techniques précises dans les délais réglementaires applicables. Un client qui ne parvient pas à obtenir dans le délai réglementaire les détails techniques nécessaires à son évaluation du risque de violation n’est pas en conformité, que le fournisseur ait ou non adressé des notifications générales satisfaisant à ses propres obligations contractuelles.
La dimension de l’évaluation du risque de violation au titre de HIPAA est particulièrement lourde de conséquences. HIPAA impose aux entités couvertes de mener une évaluation du risque de violation, c’est-à-dire une évaluation formelle de la probabilité que des PHI aient été compromises, afin de déterminer si une notification est requise. L’évaluation du risque exige des informations précises sur la nature de l’incident, le type de PHI concernées et le fait de savoir si les données ont réellement été consultées plutôt que simplement accessibles. Un fournisseur dont les communications ne fournissent pas ces informations précises à temps pour l’évaluation fait dépendre la conformité à HIPAA de son propre calendrier de communication plutôt que de la diligence de l’entité couverte.
Là où la plupart des équipes se trompent
L’échec le plus constant consiste à ne pas établir de canaux de communication d’équipe IR à équipe IR ni d’exigences de contenu des communications avant que les incidents ne surviennent. Lorsque le premier contact entre les équipes IR a lieu pendant un incident actif, les difficultés de communication décrites ci-dessus se révèlent en temps réel, au pire moment possible.
- Aucun canal de communication d’équipe IR à équipe IR préétabli
- Exigences de contenu des communications absentes du contrat : ce qui doit être fourni et quand
- Gestion de compte utilisée comme canal de communication sur les incidents : communications utiles à l’équipe IR acheminées par du personnel extérieur à l’équipe IR
- Aucun SLA de communication pour les détails techniques précis
- Cycle d’examen juridique non pris en compte dans les exigences de communication
À quoi ressemblent les bonnes pratiques
Les programmes matures de communication sur les incidents établissent des canaux de communication d’équipe IR à équipe IR avant les incidents, inscrivent dans les contrats des exigences de contenu des communications, y compris les détails techniques précis à fournir dans des délais définis, et exigent que l’examen juridique n’empêche pas la transmission des informations techniques précises dont le client a besoin pour ses obligations réglementaires.
- Canal de communication d’équipe IR à équipe IR établi : contact direct avant l’incident
- Exigences de contenu des communications inscrites au contrat : détails techniques précis dans des délais définis
- L’examen juridique n’est pas une excuse : disposition contractuelle exigeant des détails techniques précis indépendamment de tout examen juridique en cours
- SLA de communication : délai de transmission des détails techniques à compter de la notification
- Protocole de communication conjoint : format et fréquence de communication définis à l’avance
Outils
Communication sécurisée : Signal, courriel chiffré, espace de travail IR partagé
Les plateformes de communication sécurisée fournissent des canaux chiffrés pour la communication technique d’équipe IR à équipe IR pendant les incidents. Établir des canaux de communication sécurisés avec les contacts IR des fournisseurs critiques avant les incidents fournit la voie de communication technique directe que les canaux de gestion de compte ne peuvent pas offrir. Pour les praticiens de la TPRM, établir un canal de communication chiffré avec le contact IR du fournisseur dans le cadre d’une planification IR conjointe apporte à la fois le canal et la relation.
Enjeux de gouvernance
Le défi de gouvernance de la communication sur les incidents est la tension liée à l’examen juridique. Les fournisseurs dont la responsabilité en cas de violation est importante sont fortement incités à filtrer leurs communications par un examen juridique afin d’éviter les aveux factuels précis. La solution de gouvernance consiste à inscrire au contrat des exigences précises de communication technique qui coexistent avec le droit du fournisseur à un conseil juridique : le fournisseur peut toujours procéder à un examen juridique, mais le contrat précise que des informations techniques précises doivent être fournies dans des délais définis, quel que soit le cycle d’examen.
- Établir le contact d’équipe IR à équipe IR avant l’incident : échanger les coordonnées d’urgence
- Inscrire au contrat le contenu des communications techniques : douze questions précises et délai exigé
- Prévoir une exception à l’examen juridique : le contrat exige des détails techniques précis indépendamment de l’examen
- Fixer un SLA de communication : délai précis pour la transmission des détails techniques
- Tester le canal de communication : exercice de communication annuel
Si vous êtes une petite équipe
Pour votre fournisseur le plus à risque, échangez dès maintenant les coordonnées d’urgence IR : pas celles des gestionnaires de compte, mais celles du véritable responsable sécurité ou IR qui gérerait la communication pendant un incident. Envoyez un courriel de présentation confirmant cette relation de contact. Ajoutez ensuite une clause à votre prochain avenant au contrat : en cas d’incident de sécurité concernant les données du client, le fournisseur transmettra les douze détails précis suivants dans les vingt-quatre heures suivant la demande écrite du client, indépendamment de tout examen juridique interne en cours. La liste des douze détails se rédige en cinq minutes. La relation et la clause demandent trente minutes. Les deux évitent trois semaines de non-communication filtrée par le service juridique.
- Échanger dès maintenant les coordonnées d’urgence d’équipe IR à équipe IR avec les fournisseurs critiques
- Rédiger les douze détails techniques précis exigés dans les 24 heures suivant la demande
- Ajouter une clause sur le contenu des communications au prochain avenant au contrat
- Tester le canal de communication chaque année
Ce qu’il faut exiger
Demandez directement :
« En cas d’incident de sécurité touchant nos données, quel est le processus précis permettant à notre équipe IR de recevoir les détails techniques (chronologie de l’accès, systèmes affectés, catégories de données, vecteur d’attaque) directement de votre équipe IR plutôt que par votre équipe juridique, et pouvons-nous établir ce canal de communication dès maintenant ? »
Preuves attendues
- Contact IR nommé pour la communication technique pendant les incidents
- Engagement à fournir des détails techniques précis dans un délai défini
- Processus de communication d’équipe IR à équipe IR contournant les délais de l’examen juridique
- Acceptation des exigences de contenu des communications
Il convient de demander précisément à un fournisseur qui confirme disposer de procédures de communication sur les incidents si les détails techniques peuvent être transmis directement à l’équipe IR du client et dans quel délai. La procédure décrit ce qui se passe. Le canal direct et les exigences de contenu déterminent si ce qui se passe est utile.
Comment le prouver
- Documentation du canal de communication d’équipe IR à équipe IR
- Exigences de contenu des communications dans le contrat
- Registres du SLA de communication
- Registres des exercices de communication annuels
À retenir
Sept courriels. Trois semaines. Aucun détail technique. Les informations existaient dans l’enquête IR du fournisseur. Le cycle d’examen de l’équipe juridique a filtré le contenu technique précis qui aurait permis au client d’achever son évaluation de l’exposition. Les communications examinées par le service juridique satisfaisaient aux obligations contractuelles de notification. Elles ne permettaient pas la conformité réglementaire. Le canal d’équipe IR à équipe IR, établi avant l’incident, contourne le relais de la gestion de compte. La clause sur le contenu des communications, négociée avant l’incident, exige des détails techniques précis indépendamment de tout examen juridique en cours. Les deux sont simples à mettre en place. Les deux deviennent infiniment plus difficiles à mettre en place une fois que l’incident qui les rend nécessaires a commencé.