Conseil en cybersécurité au Rwanda

Qu’est-ce que le conseil en cybersécurité, et qui en a besoin

C’est un travail de conseil au niveau de la direction : comprendre quels systèmes et données comptent le plus, évaluer les risques qui les menacent, prioriser les investissements, mettre en place la gouvernance et les rapports, et vérifier les obligations légales et réglementaires. Il convient aux conseils d’administration et dirigeants des banques, institutions de microfinance, établissements de santé, ONG et entreprises détenant des données personnelles ou financières, ainsi qu’aux responsables informatiques qui ont besoin d’aide pour convaincre la direction.

Le problème qu’il résout

Les décisions de sécurité suivent souvent le dernier fait divers ou le fournisseur le plus convaincant. Les dirigeants approuvent des produits sans savoir quels risques ils réduisent, ou refusent une dépense parce que l’argumentaire n’a pas été présenté dans des termes qui leur parlent. Pendant ce temps, les responsabilités restent floues. Le conseil fonde les décisions sur vos risques réels et donne à la direction un plan qu’elle peut comprendre, financer et suivre.

Comment nous posons le risque

Les joyaux de la couronne. Les systèmes et données dont la perte ou l’interruption ferait le plus mal : système bancaire central, dossiers des patients, finances, données des bailleurs.

Les menaces. Celles qui sont réalistes pour votre secteur : hameçonnage et prise de contrôle de comptes, rançongiciels, fraude par usurpation d’e-mail, abus internes, compromission d’un fournisseur.

La situation actuelle, mesurée par rapport à un référentiel reconnu, comme le Cybersecurity Framework 2.0 du NIST ou les CIS Controls, à partir des éléments d’évaluation disponibles.

Les lacunes et priorités, classées selon le risque qu’elles réduisent au regard de l’argent et de l’effort nécessaires.

Le risque résiduel : ce qui subsiste après le plan, pour que la direction l’accepte en connaissance de cause.

Les obligations à prendre en compte

Les organisations qui traitent des données personnelles au Rwanda ont des obligations au titre de la loi N° 058/2021, dont l’enregistrement auprès de l’Autorité nationale de cybersécurité (NCSA) et la notification à celle-ci des violations de données personnelles dans les 48 heures. Les institutions supervisées par la Banque nationale du Rwanda sont soumises à ses règlements sur la cybersécurité et sur la continuité des activités. Les bailleurs et clients peuvent ajouter leurs propres conditions. Nous intégrons ces obligations au plan, mais nous ne sommes pas juristes : l’interprétation des obligations légales doit être confirmée par votre conseiller juridique.

Rendre compte au conseil d’administration

Un bon rapport de sécurité est court et constant. Une page trimestrielle couvrant quelques indicateurs, comme la part des comptes protégés par authentification multifacteur, les appareils entièrement à jour, les sauvegardes dont la restauration a été testée, les signalements d’hameçonnage par le personnel et les constats à haut risque encore ouverts, montre la tendance bien mieux qu’un long rapport technique. Nous aidons à concevoir cette page, à convenir des objectifs avec la direction et à fixer le rythme des revues, pour que le conseil voie les progrès et pose les bonnes questions sans avoir besoin d’être technicien.

Ce que comprend le travail

1. Interroger la direction et le personnel clé sur les priorités et les préoccupations.
2. Examiner les éléments : évaluations passées, incidents, politiques et obligations.
3. Évaluer le risque et la situation par rapport au référentiel choisi.
4. Prioriser les investissements dans un plan par étapes chiffré.
5. Mettre en place la gouvernance : rôles, rapports, indicateurs et cycle de revue.
6. Présenter au conseil d’administration en termes métier.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Une mission au niveau de la direction demande généralement deux à quatre semaines. Le coût dépend de la taille et de la complexité de l’organisation, du régime réglementaire, des éléments d’évaluation déjà disponibles et de l’inclusion éventuelle d’un accompagnement continu, comme les rapports trimestriels au conseil d’administration.

Équipements généralement utilisés

Des modèles d’évaluation des risques, des outils d’autoévaluation selon le NIST CSF 2.0 et les CIS Controls, un registre des obligations, et des modèles de rapport au conseil d’administration avec un petit nombre d’indicateurs de sécurité pertinents.

Les erreurs que nous voyons souvent

Acheter des produits avant de comprendre les risques. Traiter la sécurité comme une affaire purement informatique. Des rapports au conseil remplis de jargon technique ou de chiffres de façade. Aucun dirigeant désigné comme responsable. Des obligations réglementaires découvertes après un incident. Et des dépenses concentrées sur la prévention, sans plan de détection ni de rétablissement.