Confusion sur la responsabilité des incidents

La réponse d’une entreprise mondiale de distribution à la notification d’une violation par un fournisseur a mis en évidence un schéma de défaillance que sa revue post-incident a qualifié de « responsabilité répartie sans responsable désigné ». Lorsque le fournisseur a informé l’entreprise d’une violation touchant les données du programme de fidélité de ses clients, la notification est arrivée à 9:14 du matin. À midi, deux heures et quarante-six minutes plus tard, trois équipes distinctes avaient examiné la notification, confirmé que des données clients étaient concernées et établi que la violation déclenchait les obligations de notification réglementaire de l’entreprise. La question de savoir à qui revenait la décision d’informer les clients concernés, décision précise assortie d’un délai réglementaire, avait été escaladée quatre fois sans être résolue. L’équipe juridique l’avait transmise à l’unité opérationnelle, car la communication avec les clients relevait d’une fonction métier. L’unité opérationnelle l’avait transmise à l’équipe IR, car il s’agissait d’un incident de sécurité. L’équipe IR l’avait transmise au service juridique, car elle exigeait une décision juridique de divulgation. Le service juridique l’avait renvoyée à l’unité opérationnelle. Chaque équipe détenait une partie des aspects pertinents : le service juridique était responsable de l’interprétation réglementaire, l’unité opérationnelle de la relation client et l’équipe IR de l’évaluation technique de la portée. Personne n’était responsable de la décision elle-même, la décision d’ensemble qui exigeait les contributions des trois et l’autorité d’un seul. La décision a finalement été prise à 5:47 de l’après-midi, huit heures et trente-trois minutes après l’arrivée de la notification, par le directeur juridique de l’entreprise, qui n’avait figuré dans aucune des chaînes d’escalade.

Qu’est-ce que le problème de la confusion sur la responsabilité des incidents, réellement ?

La confusion sur la responsabilité des incidents est l’absence d’une personne ou d’une équipe unique disposant d’une autorité claire et attribuée à l’avance pour prendre des décisions précises à fort enjeu pendant un incident de sécurité. Elle se manifeste lorsque les incidents exigent les contributions de plusieurs équipes (juridique, sécurité, métier, communication) et que l’intégration de ces contributions en une décision exige une autorité qui n’a été explicitement attribuée à aucune des équipes contributrices. Il en résulte une escalade circulaire : chaque équipe transmet la décision à une autre équipe qui détient une autorité pertinente sur une autre dimension de la décision, et la décision circule sans être résolue jusqu’à ce qu’une personne de rang suffisamment élevé soit contactée directement.

Le problème de la décision unique à contributions multiples en est la cause structurelle. Les décisions à fort enjeu en cas d’incident (informer ou non les clients, informer ou non les régulateurs, accepter ou non une demande de rançon, mettre ou non un service hors ligne) exigent des contributions de plusieurs domaines : l’interprétation juridique des obligations de notification, l’évaluation technique de ce qui a réellement été consulté, l’évaluation métier de l’impact opérationnel et l’évaluation de l’approche de divulgation par la communication. Chacune de ces contributions provient d’une équipe différente. La décision elle-même, qui intègre toutes les contributions et exige d’arrêter une ligne d’action, requiert une autorité distincte de celle des contributeurs.

Le mécanisme de la boucle d’escalade est le schéma de défaillance opérationnelle. Lorsque l’autorité n’est pas attribuée à l’avance, les équipes confrontées à des demandes de décision qui dépassent leur autorité les font remonter à l’équipe suivante, qui ne dispose pas non plus de l’autorité d’ensemble et les fait remonter à son tour. Chaque escalade ajoute du retard. Chaque escalade sans résolution accroît la pression sur le décideur finalement sollicité, qui est contacté sans bénéficier de la réflexion qui a précédé la chaîne d’escalade. Le directeur juridique qui prend la décision au bout de huit heures la prend en moins de temps et avec moins de contexte que la décision ne le méritait, parce que la chaîne d’escalade a consommé huit heures qui auraient dû servir à une délibération structurée.

Autorité de décision non attribuée : rôles attribués mais autorité de décision absente
Décision à contributions multiples sans autorité d’intégration
Escalade circulaire : trois équipes qui se renvoient la décision les unes aux autres
Délai réglementaire courant pendant l’escalade : huit heures consommées par l’ambiguïté sur la responsabilité
Autorité de haut niveau absente de la chaîne d’escalade : le GC n’est contacté qu’une fois la boucle d’escalade terminée

Pourquoi c’est important

La confusion sur la responsabilité des incidents est importante pour la TPRM parce que la notification d’une violation par un fournisseur fait courir le délai réglementaire du client, et que la boucle d’escalade du client est le mécanisme qui détermine quelle part de ce délai est consommée avant qu’une décision de notification ne soit prise. Huit heures d’escalade circulaire sur une fenêtre de notification GDPR de soixante-douze heures représentent onze pour cent du temps de réponse disponible consommés par une lacune interne de responsabilité. Il est entièrement au pouvoir du client de remédier à la confusion sur la responsabilité des incidents avant la notification de violation du fournisseur qui la déclenche.

Là où la plupart des équipes se trompent

L’échec le plus constant consiste à confondre l’attribution des rôles avec l’attribution de l’autorité de décision. Les plans IR qui affectent des équipes aux incidents n’attribuent pas automatiquement l’autorité de prendre les décisions d’ensemble qui exigent les contributions de toutes les équipes.

Attribution des rôles confondue avec l’autorité de décision
Aucun responsable unique des décisions à fort enjeu en cas d’incident
Chaîne d’escalade non définie à l’avance : qui est appelé lorsque les trois équipes sont dans l’impasse
Autorité de haut niveau absente du premier circuit de notification pour les incidents majeurs
Matrice d’autorité de décision non testée avant que les incidents ne révèlent les lacunes

À quoi ressemblent les bonnes pratiques

Les cadres matures de responsabilité des incidents désignent des autorités de décision précises pour des types de décisions définis (des personnes précises disposant d’une autorité attribuée à l’avance pour prendre les décisions d’ensemble en matière de notification, de confinement et d’escalade) et testent ces désignations lors d’exercices sur table avant que des incidents ne les rendent nécessaires.

Responsable de décision précis pour chaque type de décision à fort enjeu en cas d’incident
Matrice d’autorité de décision : quelle personne est responsable de quel type de décision
Autorité de haut niveau incluse dans le premier circuit de notification pour les incidents majeurs
La chaîne d’escalade aboutit à un nom : une personne précise qui tranche si les responsables de décision ne le peuvent pas
Autorité de décision testée lors d’exercices sur table : exercices portant spécifiquement sur la décision, et pas seulement sur les contributions

Outils

Gestion des incidents : ServiceNow, PagerDuty avec flux de décision

Les plateformes de gestion des incidents dotées de politiques d’escalade configurables peuvent mettre en œuvre un acheminement selon l’autorité de décision, en alertant automatiquement le responsable de décision désigné lorsqu’un incident atteint un point de décision défini. Pour les praticiens de la TPRM, demander si la plateforme de gestion des incidents du fournisseur met en œuvre un acheminement selon l’autorité de décision constitue une question précise sur l’automatisation de la responsabilité dans la réponse interne du fournisseur.

Enjeux de gouvernance

Le défi de gouvernance de la responsabilité des incidents est la conversation sur l’attribution de l’autorité. Désigner des personnes précises ayant l’autorité de prendre des décisions de notification, décisions aux conséquences juridiques, financières et réputationnelles, exige des conversations explicites sur l’étendue de l’autorité, la responsabilité et le soutien de la direction générale. Ces conversations sont plus faciles à mener avant un incident que pendant.

Désigner nommément un responsable de décision pour chaque type de décision à fort enjeu
Inclure le responsable de décision dans le premier circuit de notification pour les incidents majeurs
Tester l’autorité de décision lors d’exercices sur table qui vont jusqu’au point de décision, et pas seulement jusqu’aux contributions
Définir le point d’aboutissement de l’escalade : qui est contacté lorsque les responsables de décision ne sont pas disponibles
Revoir chaque année l’attribution de l’autorité de décision : le responsable change lorsque le personnel change

Si vous êtes une petite équipe

Identifiez les trois décisions aux enjeux les plus élevés que votre organisation devra prendre dans un scénario de violation chez un fournisseur : informer ou non les clients, informer ou non les régulateurs, et accepter ou non une demande de rançon. Pour chacune de ces trois décisions, inscrivez un nom : celui de la personne précise qui a l’autorité de prendre cette décision. Pas une équipe. Pas un rôle. Un nom. Vérifiez que cette personne sait qu’elle dispose de cette autorité et qu’elle a les éléments nécessaires pour l’exercer. Cet exercice, réalisé en trente minutes avant un incident, ferme la boucle d’escalade circulaire avant qu’elle ne commence.

Identifier les trois décisions aux enjeux les plus élevés en cas de violation chez un fournisseur
Inscrire un nom pour chaque décision : l’autorité, pas l’équipe
Confirmer que la personne nommée sait qu’elle dispose de cette autorité
Tester l’autorité de décision lors du prochain exercice sur table

Ce qu’il faut exiger

Demandez directement :

« Lorsque la notification de violation de votre fournisseur arrive, qui précisément, une personne nommée, a l’autorité de prendre la décision d’informer les clients, et avec quelle rapidité peut-on joindre cette personne un mardi à 21 h ? »

Preuves attendues

Responsable nommé pour la décision d’informer les clients
Responsable nommé pour la décision de notification réglementaire
Coordonnées hors heures ouvrées des responsables de décision
Confirmation, lors d’exercices sur table, que les responsables de décision ont été testés

La notification d’une violation par un fournisseur, qui fait courir le délai réglementaire du client, devrait immédiatement susciter une question en interne : à qui revient la décision ? Répondez à cette question avant l’arrivée de la notification. Un nom. Pour chaque décision. Testé avant d’en avoir besoin.

Comment le prouver

Documentation de la matrice d’autorité de décision
Registres des responsables de décision nommés
Registres des exercices sur table démontrant les points de décision
Documentation de la chaîne d’escalade avec les points d’aboutissement des décisions

À retenir

Trois équipes. Quatre escalades. Huit heures et trente-trois minutes. Le délai réglementaire courait depuis 9:14 du matin. Le directeur juridique a pris la décision à 5:47 de l’après-midi. La décision a pris trente minutes une fois parvenue à la bonne autorité. Huit heures ont été consommées pour atteindre cette autorité par une boucle d’escalade dépourvue de point d’aboutissement défini. Les rôles sont des contributions aux décisions. L’autorité est la fonction de décision. Attribuer des rôles sans attribuer l’autorité produit l’escalade circulaire qui consomme le temps réglementaire. Identifiez les décisions. Nommez les responsables. Testez l’autorité avant que la notification du fournisseur ne fasse courir le délai.