Save the Children, symbole d'espoir et de changement, se consacre depuis plus d'un siècle à l'amélioration de la vie des enfants. Fondée à Londres, l'organisation est aujourd'hui présente dans 29 pays, emploie 844 collaborateurs au Royaume-Uni et mobilise plus de 3600 bénévoles officiels. Alors que des associations comme Save the Children poursuivent leur mission, elles font face à un éventail de défis en cybersécurité de plus en plus important.
Dans cet article, nous examinons ces enjeux et explorons des solutions grâce aux éclairages de Gareth Packham, Directeur de la sécurité de l'information et de la protection des données chez Save the Children International (SCI), et de Sean Costigan, Directeur général de la stratégie de résilience chez Red Sift.
Regardez la discussion instructive entre Sean et Gareth ici.
Le paysage de la cybersécurité pour les associations à but non lucratif
Les associations et organismes à but non lucratif poursuivent leur transformation numérique tout en traitant d'importantes quantités de données sensibles, notamment des informations personnelles (PII) et financières concernant leurs donateurs, bénéficiaires et employés. Protéger ces données est essentiel non seulement pour préserver la confiance, mais aussi pour respecter les réglementations nationales et internationales en matière de protection des données, comme le RGPD. Cependant, les contraintes opérationnelles propres aux associations, telles que des budgets et des ressources limités, font de la cybersécurité un défi considérable.
Les violations de données constituent une menace permanente, le nombre de violations rendues publiques ayant augmenté de 20 % en 2023, exposant ainsi les informations personnelles et financières à un risque de divulgation. Une violation peut entraîner de lourdes pertes financières, nuire à la réputation et éroder la confiance, tout en engendrant des répercussions juridiques. Les attaques par ransomware ont également fortement augmenté, les paiements de rançons ayant dépassé 1 milliard de dollars en 2023. Ces attaques peuvent paralyser le fonctionnement d'une organisation, bloquant les données et systèmes essentiels jusqu'au paiement d'une rançon, et les associations à but non lucratif ont été fréquemment ciblées.
Les cybercriminels réussissent souvent parce que les organisations n'ont pas mis en place les mesures de base. Dans d'autres cas, des acteurs malveillants plus sophistiqués peuvent chercher à nuire à la réputation des associations ou à recueillir des renseignements sur leurs activités. Pour les associations à but non lucratif, le phishing reste une méthode courante utilisée par les cybercriminels pour tromper les employés et les inciter à divulguer des informations sensibles, conduisant souvent à des violations de sécurité importantes.
Mais de nombreuses associations peinent à allouer suffisamment de fonds et de ressources à la cybersécurité, ce qui crée des failles dans leurs défenses, un environnement que certains ont qualifié de « pauvre en cyber, riche en cibles ». De plus, le secteur de la cybersécurité connaît à l'échelle mondiale une importante pénurie de talents, rendant difficile pour les associations de trouver et de retenir des professionnels qualifiés.
Questions clés pour les experts en cybersécurité et en gestion des risques
Pour explorer davantage ces enjeux cruciaux, Gareth Packham et Sean Costigan ont abordé les questions clés suivantes :
Comment les associations et organismes à but non lucratif peuvent-ils gérer et atténuer efficacement les risques liés aux violations de données afin de protéger les informations personnelles et financières sensibles ?
De quelles manières les associations peuvent-elles renforcer la formation des employés et leur culture de sécurité pour améliorer leur résilience face aux cybermenaces ?
Quelles stratégies les associations peuvent-elles mettre en œuvre pour améliorer les ressources allouées à la cybersécurité et prévenir la cybercriminalité, en particulier les attaques par ransomware ?
Comment les associations peuvent-elles évaluer et sécuriser leurs systèmes contre les vulnérabilités introduites par des services et fournisseurs tiers ?
Comment les organisations peuvent-elles collaborer avec les gouvernements et les fournisseurs pour améliorer la cybersécurité des associations à but non lucratif ?
Les cybercriminels tirent profit des associations à but non lucratif
La Croix-Rouge a révélé une importante violation de données en 2022, exploitant une vulnérabilité non corrigée et compromettant les données personnelles de plus de 500 000 personnes vulnérables. Cet incident a mis en lumière les graves conséquences des violations de données, notamment les préjudices potentiels pour les personnes concernées et l'atteinte à la réputation de l'organisation.
Un autre exemple notable est la cyberattaque subie par l'American Cancer Society en 2019. Des pirates informatiques ont accédé au système de traitement des paiements par carte bancaire de l'organisation, entraînant le vol de données de cartes bancaires qui ont ensuite été vendues ou utilisées à des fins de fraude. Cette attaque a non seulement causé des pertes financières, mais a également érodé la confiance des donateurs.
En 2024, la Federal Trade Commission a déposé une plainte contre Blackbaud, une organisation qui fournit « des services de données, de collecte de fonds et financiers à plus de 45 000 entreprises, dont des associations à but non lucratif, des fondations, des établissements d'enseignement et des organisations de santé ». En 2020, Blackbaud a subi une violation – apparemment due à des contrôles d'accès insuffisants – qui a compromis les informations personnelles de millions de consommateurs. Cette violation a eu des effets en cascade et durables pour des milliers d'organisations à but non lucratif.
En mai 2024, le gouvernement américain a publié un avis de cybersécurité mettant en évidence l'exploitation par la Corée du Nord de politiques d'enregistrements DNS Domain-based Message Authentication, Reporting and Conformance (DMARC) mal configurées afin de dissimuler des tentatives d'ingénierie sociale. De nombreuses associations basées aux États-Unis ont été prises au dépourvu, permettant aux attaquants nord-coréens de mener des attaques de spear phishing via des emails usurpés. L'ingéniosité de la campagne et de l'exploitation faisait croire que ces emails provenaient d'un échange légitime de messagerie d'un domaine authentique.
Les menaces persistantes avancées ciblent également les associations à but non lucratif, représentant des attaques ciblées de longue durée visant à voler des informations sensibles ou à escroquer des donateurs et d'autres parties sur des périodes prolongées. Là encore, l'ingénierie sociale peut inciter les individus à divulguer des informations confidentielles ou à effectuer des actions compromettant la sécurité.
Ces exemples soulignent le besoin urgent de mesures de cybersécurité robustes dans le secteur associatif.
Stratégies pour renforcer la cybersécurité au sein des associations à but non lucratif
Voici quelques enseignements clés recommandés aux associations pour renforcer leur posture de cybersécurité :
- Une gestion efficace des risques de violation de données implique à la fois des éléments technologiques et humains. Les associations devraient tirer parti des cadres et des recommandations existants pour mettre en place des politiques adaptées.
- Les solutions technologiques viennent compléter la mise en œuvre d'un chiffrement robuste, de l'authentification multifacteur, d'audits de sécurité réguliers, de sauvegardes rigoureuses et de contrôles d'accès stricts afin de protéger les informations sensibles.
- De plus, il est essentiel de favoriser une culture de sensibilisation à la sécurité fondée sur la confiance. Les employés doivent être formés à reconnaître les menaces potentielles et à comprendre l'importance de protéger les données. Développer une culture de sécurité forte, où chacun se sent responsable de la cybersécurité, peut réduire considérablement le risque de violations et renforcer la résilience.
- Les associations peuvent apprendre les unes des autres et organiser des ateliers et des simulations réguliers pour se tenir mutuellement informées des dernières tactiques de cybercriminalité et des meilleures pratiques de sécurité.
- Les gouvernements offrent de nombreuses ressources, telles que Cyber Essentials au Royaume-Uni ou le NIST Cybersecurity Framework aux États-Unis. Par ailleurs, de nombreux fournisseurs de cybersécurité de confiance proposent des tarifs préférentiels pour les associations à but non lucratif.
Conclusion
À mesure que leur patrimoine numérique s'étend, les associations à but non lucratif doivent faire de la cybersécurité une priorité en tant que risque d'entreprise. Bien que les fonds soient souvent limités, investir dans la formation et des outils de sécurité essentiels tels que la protection des emails et des domaines peut prévenir des incidents coûteux affectant la confiance et la réputation. Explorer des partenariats et des subventions spécifiquement destinés à la cybersécurité peut également fournir des ressources supplémentaires. Pour atténuer les risques liés aux services tiers, les associations peuvent chercher à effectuer des évaluations de risques approfondies et une diligence raisonnable avant de collaborer avec des fournisseurs.
Les associations peuvent également envisager de souscrire une assurance responsabilité cybernétique, mais cela nécessite une évaluation minutieuse des risques et des besoins spécifiques de l'organisation. Des facteurs tels que l'impact financier potentiel des incidents cyber, les mesures de sécurité existantes et la tolérance globale au risque de l'organisation devraient orienter cette décision. N'oubliez pas : l'assurance peut constituer un filet de sécurité précieux, mais elle doit compléter, et non remplacer, de bonnes pratiques de cybersécurité.
Alors que des associations comme Save the Children poursuivent leur travail essentiel, la protection des données sensibles et le maintien de la confiance sont primordiaux. En abordant les défis multiples de la cybersécurité grâce à une défense approfondie, une planification stratégique, la formation des employés, des moyens techniques et une gestion rigoureuse des risques, les associations à but non lucratif peuvent mieux se protéger et assurer la continuité de leurs missions vitales.
