Technicity West : Beaucoup peut être fait pour améliorer la cybersécurité avec peu de ressources

Les municipalités et les commissions scolaires canadiennes confrontées à des contraintes financières peuvent encore faire beaucoup, à part remanier leurs infrastructures, pour renforcer leur cybersécurité, un Technicité Ouest panel sur la cybersécurité dans le secteur public a été informé ce mois-ci.

Regarder Technicity West 2022 à la demande

“Il est vraiment important en tant que première ligne de défense que notre personnel soit conscient” des risques de cybersécurité, a déclaré Brad Labrenz, directeur de la sécurité (CSO) du ville de Calgary. “Plus nous pouvons faire preuve de sensibilisation, mieux nous pouvons répondre aux menaces.”

La formation en vaut la peine, a-t-il déclaré, notant que lorsque la municipalité exécute son programme annuel de sensibilisation à la cybersécurité, le taux de clics sur les tests de phishing diminue.

Darin Young, directeur de l’information (CIO) de la ville de Delta, C.-B., a déclaré que la municipalité adopte ce qu’il appelle une approche équilibrée, en éduquant le personnel sur le cyber-paysage et les risques qui l’accompagnent. Non seulement la ville a un programme annuel de formation obligatoire, mais elle organise des tests de phishing toute l’année. Ceux qui « échouent » à un test doivent suivre une formation de rattrapage. Cela a fait baisser le taux de clics “de manière significative au cours des deux dernières années”, a-t-il ajouté.

Un autre booster de sécurité relativement peu coûteux a été souligné par Trevor Butler, directeur général des services d’information et de la transformation numérique pour le ville de Lethbridge, Alberta.: Disposer d’un plan de reprise après sinistre.

La sensibilisation à la cybersécurité est également essentielle pour amener les conseils municipaux ou les conseils scolaires à augmenter le financement de la sécurité, ont convenu les panélistes.

« Nous veillons à ce que notre conseil et nos unités commerciales comprennent leurs propres risques », a déclaré Larenz. « Et qu’y a-t-il pour l’atténuer. En fin de compte, cela permet aux propriétaires d’unités commerciales de prendre eux-mêmes des décisions en matière de risques. C’est essentiel pour les avoir comme partenaire de collaboration.

« C’est une relation de collaboration avec vos partenaires commerciaux », a-t-il ajouté. « Lorsqu’ils prennent des décisions sur comment et où dépenser leur budget alloué, ils ont évidemment un rôle à jouer dans la compréhension de leurs risques. Si nous sommes de bons partenaires, nous réussirons très bien à les aider à comprendre ce qu’est ce risque et à leur permettre de prendre des décisions. Je ne pense pas que nous présentions le risque comme un tout ou rien. Nous leur présentons souvent différents niveaux de risque et différents niveaux d’atténuation, puis nous permettons aux propriétaires d’entreprise de prendre des décisions en fonction de leur budget. »

“Lorsque vous disposez de ressources limitées, la première chose que vous voulez faire est de savoir où se trouve le plus grand risque et d’appliquer ces ressources là où cela a du sens”, a ajouté Young.

Interrogé par le modérateur du panel, Richard Freeman, gestionnaire de portefeuille de solutions de flux de travail d’entreprise chez Ricoh Canada, comment le personnel peut être habilité à prendre des décisions de sécurité intelligentes, Butler a mis en garde contre une attitude punitive envers ceux qui font des erreurs. “Ce n’est pas le monde dans lequel vit l’autonomisation”, a-t-il déclaré.

“Nommer et humilier” ne fait pas partie de l’éducation, a convenu Labrenz. Calgary a été touchée deux fois par des cyber-événements majeurs – l’un était un logiciel de rançon – et les deux fois, le personnel qui a commis des erreurs a signalé leurs erreurs au service informatique. Ils n’auraient pas fait cela s’ils pensaient qu’ils seraient «ostracisés» pour avoir déclenché l’incident, a-t-il déclaré.

Peter Holowka, directeur de la technologie de l’éducation à Académie grise de West Point, une école privée de Vancouver, a noté que la sensibilisation à la cybersécurité du personnel de l’établissement a augmenté depuis la pandémie. “Vous pouvez vous attendre à un niveau de sophistication [now],” il a dit.

Enfin, interrogés sur la cyberassurance, plusieurs panélistes ont indiqué que leur municipalité en avait une. Mais avec l’augmentation des primes et des franchises et la baisse de la couverture, beaucoup pensent à «l’auto-assurance», c’est-à-dire à prendre l’argent dépensé pour l’assurance et à l’investir dans l’amélioration de l’informatique.