Le 3 mars 2011, le blog Labrador publie un excellent article d’Andréa Bonhoure sur la thématique de la sécurité de l’information sur internet.

« Comme le souligne le célèbre avocat blogueur Maître Eolas, « un mail est aussi confidentiel qu’une carte postale dont chaque centre de tri conserverait une copie ». Hélas, les utilisateurs d’Internet ne sont pas toujours suffisamment informés des dangers que recèlent les nouvelles technologies en termes de confidentialité. Et le mail n’est qu’un exemple parmi d’autres des pièges d’Internet. Quelques affaires concernant des groupes cotés aux États-Unis commencent à montrer l’importance d’utiliser des modes de communication sécurisés en matière d’information financière. Ainsi, nous vous alertions en juillet dernier sur la diffusion de deux faux communiqués de presse qui avaient entraîné la chute des cours de bourse des sociétés victimes. Les diffuseurs avaient cru recevoir les communiqués des sociétés concernées alors qu’ils émanaient de pirates informatiques.

La confidentialité sous la responsabilité des dirigeants

S’il était encore besoin de s’en convaincre, les exactions récentes du turbulent fondateur de wikileaks, Julian Assange, suffiraient à démontrer que les hackers représentent un danger réel. Pour l’instant ils s’intéressent à la diplomatie américaine, mais demain ? Le risque zéro n’existe évidemment pas face à des hackers déterminés. Mais les obligations de plus en plus lourdes pesant sur les dirigeants d’entreprise en termes de garantie du respect de la confidentialité de l’information financière posent la question de la responsabilité en cas d’accident. L’AMF a rappelé récemment que l’entreprise était responsable non seulement de sa propre maîtrise de l’information, mais également de la sécurité des données qu’elle confiait à des tiers.  Or, si la circulation en interne fait le plus souvent l’objet d’une surveillance attentive, ce n’est pas toujours le cas lors de la communication de ces mêmes informations à des tiers. C’est la responsabilité des dirigeants qui est en jeu. S’ils ont sécurisé leur information, en interne comme en externe, rien ne pourra leur être reproché. Dans le cas contraire, il y a un vrai risque. Nous avions analysé pour vous la recommandation au mois de novembre dernier dans ce billet.

Un sujet sensible, voire tabou dans les entreprises

Labrador a réalisé une étude auprès de ses clients du SBF 120 sur la manière dont ils abordent la sécurité informatique. D’une manière générale, la sécurité en matière de circulation des informations financières commence à faire son entrée dans la cartographie des risques. Mais les entreprises l’analysent plus sur le terrain de l’image que du risque juridique.  Les entretiens que nous avons menés montrent que le nombre de personne en interne qui manipulent des informations sensibles au sens de l’AMF est estimé entre 15 et 40. Celles-ci circulent de manière assez diverse, de la remise en main propre à l’utilisation de courriers DHL, mais le mail accompagné de pièces jointes, (cette fameuse carte postale !) reste le moyen de communication le plus utilisé. De fait,  la plateforme sécurisée peine à entrer dans les mœurs. Celle-ci est encore perçue essentiellement comme un moyen d’échanger simplement des documents trop lourds pour être transférés par mail. En outre, certains directeurs informatiques hésiteraient à recourir à des plateformes extérieures à leurs propres systèmes.   Au fil de nos entretiens, nous nous sommes aperçus que nos questions avaient le mérite d’attirer l’attention sur un problème encore sous-estimé, celui des relations entre les entreprises et les tiers à qui elles confient leur communication financière. Or, elles estiment être en relation avec entre 5 et 15 prestataires extérieurs ! Certaines nous ont confié avoir décidé de faire le point sur ce sujet car les niveaux d’assurance sont variables, allant de la certitude d’une prise en charge en cas de sinistre à une absence totale de garantie, comme par exemple avec les traducteurs. A ce problème d’assurances des prestataires en cas de défaillance de leur part s’ajoute celui de la responsabilité de l’entreprise elle-même lorsqu’elle leur communique de façon non sécurisée ses informations. Plus tabou encore est le sujet des sinistres. Aucune entreprise n’a souhaité répondre à la question : votre entreprise a-t-elle eu à subir une erreur ou une malveillance dans le traitement de ses informations confidentielles ? Quelques-unes ont simplement confié avoir été victimes d’actes de malveillance à l’encontre de leur système informatique et notamment de leur site Internet.

Et les administrateurs ?

Dans ce contexte, la question des administrateurs commence à émerger. Nous vous parlions il y a peu des travaux de l’IFA sur les droits et devoirs de l’administrateur en matière d’information. Celui-ci doit pouvoir accéder facilement à tous les documents qui lui sont utiles, il a même le devoir de s’informer. Cela suppose qu’il se fasse communiquer des documents, lesquels sont parfois confidentiels. L’administrateur peut à son tour éprouver la nécessité de les transférer à d’autres administrateurs. En l’absence de solution sécurisée, tout ceci se fait essentiellement par mail. Autrement dit dans des conditions de sécurité équivalentes à zéro. Un sujet sur lequel l’IFA entend mener une étude approfondie.  D’ores et déjà, l’Institut a rappelé les obligations de secret pesant sur les administrateurs, notamment en vertu du code AFEP/MEDEF, et invité les entreprises à insérer une clause-type de confidentialité dans le règlement intérieur du conseil. Labrador pour sa part est sensibilisé depuis longtemps sur cette question. Nous mettons déjà à la disposition de nos clients une plateforme sécurisée qui leur permet de travailler sur leurs documents conservés chez nous avec un niveau de sécurité équivalent à celui pratiqué dans le monde bancaire. Ainsi, aucun échange d’information ne se fait par mail. Nous vous présenterons la semaine prochaine la solution que nous avons spécialement dédiée aux administrateurs.»

Source : Alerte à la sécurité! Par Andréa Bonhoure, blog Labrador