41:02Cet enregistrement n'est pas encore disponible.
Mieux vaut prévenir ET guérir : l’impact d’une posture de cyber-résilience sur la réaction du public à la suite d’un vol de données chez les entreprises
Télécharger les ressourcesCatégories
Menaces et renseignementMaliciels et techniques d'attaqueÉconomie cybercriminelleOpérations de sécurité (SOC) et réponse aux incidents (IR)Réponse aux incidents (IR) et investigationRésilience et reprise (PCA / DRP)Vie privée et protection des donnéesDroit à la vie privée
Commandité par
À propos de cette session
Traian Toma, candidat à la maîtrise en criminologie à l'Université de Montréal et membre de la Chaire de recherche en prévention de la cybercriminalité, présente son mémoire : une posture de cyberrésilience atténue-t-elle la réaction du public après un vol de données en entreprise? Contexte : des centaines de brèches signalées au Commissariat à la protection de la vie privée, la fraude à l'identité comme principal préjudice, et un public qui ne se protège pas mais punit les entreprises qu'il tient responsables, au point de fermer des PME. À partir du modèle de la victime idéale de Nils Christie, adapté aux entreprises par Hawkins, il a mené une expérience par vignettes auprès de 664 étudiants : chacun a lu l'un de huit scénarios sur un détaillant fictif, où variaient taille de l'entreprise, gravité du vol et posture de résilience (prévention, détection, communication de crise). Résultat : une forte posture réduit nettement blâme, sentiments négatifs et pessimisme, et améliore intention d'achat, bouche-à-oreille et réticence à poursuivre; taille et gravité n'ont aucun effet. Les attitudes prédisent les comportements, ce qui contredit le paradoxe de la vie privée. Il termine par des recommandations pour les PME et les limites de l'étude.
Les recherches montrent que les clients ne prennent guère de mesures pour se protéger des crimes qui peuvent découler d’une brèche de renseignements confidentiels au sein d’une entreprise. Plutôt, ils considèrent que la firme — hébergeuse de leurs informations personnelles — à la responsabilité absolue en matière de l’intégrité continue de leurs données. Les commerces qui manquent de protéger adéquatement les informations clients risquent en revanche de subir des torts réputationnels ruineux.
Cela dit, peu de travaux explicatifs sont effectués sur la résilience des entreprises face à la réaction négative du public après un vol de données. Ainsi, une étude expérimentale basée sur des vignettes de cas a été menée à l’aide du modèle de la victime « idéale ». Les mises en situation illustrent : (1) une entreprise victime décrite comme ayant une forte posture de cyber-résilience ; (2) une entreprise victime décrite comme ayant une faible posture de cyber-résilience. Sept cent quatre-vingt-douze participants ont été aléatoirement affectés à l’une des deux conditions expérimentales principales.
Les résultats révèlent que, comparativement à une faible posture de cyber-résilience, une bonne posture de cyber-résilience minimise les attitudes négatives des clients et favorise leurs comportements positifs vis-à-vis la firme victime. De même, plus qu’une personne a des attitudes négatives à l’égard de l’entreprise, moins elle se comporte favorablement à son égard. À la lumière de ces résultats, la cyber-résilience, qui a principalement fait l’objet d’une attention conceptuelle, acquiert un fondement empirique. Par ailleurs, ce projet de recherche contribue plus généralement au développement de la victimologie des entreprises.
À retenir
- Pouvoir démontrer sa diligence raisonnable avant la brèche (dépenses en sécurité, audits, contrôles de base) réduit de façon mesurable le blâme du public après coup, même si la prévention a échoué.
- Détecter et divulguer en premier : une brèche révélée par un tiers aggrave la réaction; une déclaration immédiate et transparente sur les circonstances et les mesures d'atténuation l'apaise.
- Dans l'étude, ni la taille ni la gravité n'ont changé le jugement du public : les petites entreprises à budget limité doivent quand même afficher un engagement visible en prévention, détection et réponse.
- Suivre le gabarit de rapport du Commissariat : ce qui s'est passé, quand, quelles données, ce que l'entreprise a fait, ce que les clients peuvent faire et où poser des questions; puis exprimer des regrets et garder le dialogue ouvert.
- Tenir une séance de leçons apprises dans les deux semaines suivant l'incident pour corriger les lacunes de procédés et de technologies qu'il a révélées.
Conférenciers
Traian Toma
Je m’appelle Traian Toma et je suis étudiant à la maîtrise en criminologie à l’Université de Montréal. Au cours de ma scolarité, j’ai développé un vif intérêt pour l’étude du lien entre les théories criminologiques classiques et les enjeux de… Lire la suiteRéduire
Je m’appelle Traian Toma et je suis étudiant à la maîtrise en criminologie à l’Université de Montréal. Au cours de ma scolarité, j’ai développé un vif intérêt pour l’étude du lien entre les théories criminologiques classiques et les enjeux de cybercriminalité/cybersécurité. Aujourd’hui, la majorité de mes projets tentent de combiner l’innovation théorique en criminologie avec l’utilité sociale pour les praticiens de la cybersécurité.
