Par Bjorn Biel M. Beltran, Special Features and Content Assistant Editor

La cybersécurité est devenue une lutte défensive permanente, où comprendre l’adversaire compte autant que connaître ses propres capacités. La question qui se pose aujourd’hui aux organisations est de savoir comment se défendre contre des adversaires armés d’une technologie en constante évolution, renforcée par l’intelligence artificielle (AI).

Ce constat a servi de point d’ancrage au BusinessWorld Cybersecurity Summit, organisé sous le thème « Toward Stronger Digital Defenses » — un appel urgent à réexaminer les protections des Philippines face aux cybermenaces émergentes.

Lucien C. Dy Tioco, executive vice-president de BusinessWorld, a ouvert l’événement en soulignant la nécessité d’un front uni contre les cyberattaques alimentées par l’IA et de la protection de l’économie numérique du pays, en forte expansion.

« The Philippines is home to millions of businesses, with micro, small, and medium enterprises making up 99% of all businesses in the country », a déclaré M. Dy Tioco dans ses propos de bienvenue. « These enterprises are continuing their digital transformation, making cybersecurity a technical safeguard that enables economic growth, innovation, and public confidence. »

« Every investment in cybersecurity is an investment in trust. Every collaboration strengthens our collective resilience. Every conversation we sustain in this respect brings us one step closer to a digital economy that is secure, innovative, and inclusive », a-t-il ajouté.

L’avocat Renato « Aboy » A. Paraiso, executive director du Cybercrime Investigation and Coordinating Center (CICC), a prononcé le discours d’ouverture, appelant à passer d’une prévention pure à une cyberrésilience globale. Alors que la cybersécurité traditionnelle vise à stopper les attaques et à atténuer les risques, la résilience garantit que les organisations conservent leur continuité opérationnelle et limitent les dommages lorsque — et non si — des attaques franchissent leurs défenses.

« While cybersecurity is designed to prevent attacks, cyber resilience, on the other hand, ensures that when an attack gets through, as some inevitably will, organizations can continue operating, minimize the damage, recover quickly, and emerge stronger from the experience », a-t-il déclaré.

« Every business should have a practical cyber-resilience plan so that it can respond effectively when an attack happens », a-t-il ajouté.

Le CICC relève du Office of the President et a été créé par le Cybercrime Prevention Act of 2012 (Republic Act No. 10175) afin de coordonner la réponse nationale aux cybercrimes entre les services répressifs, les agences de renseignement et les organismes de régulation.

Mettre la cyberrésilience en action

La première table ronde du sommet a examiné l’évolution des cadres réglementaires, des politiques de sécurité nationale et de la mise en œuvre opérationnelle à travers le monde.

Gilbert T. Trinchera, technology consulting partner chez R.G. Manabat & Co. (KPMG in the Philippines), a soutenu que les organisations doivent aller au-delà du simple respect formel des exigences de conformité et se concentrer sur la gestion des risques et la convergence réglementaire entre juridictions.

« Regulatory convergence should be our goal, and we should align it to our ultimate vision, which is to maintain trust. This is the current universal currency that everybody understands, regardless of industry or jurisdiction », a-t-il indiqué.

Aux Philippines, les obligations de protection des données reposent sur le Data Privacy Act of 2012 (Republic Act No. 10173), qui a créé la National Privacy Commission, tandis que le Cybercrime Prevention Act traite des infractions telles que l’accès illégal, l’altération de données et l’usurpation d’identité.

L’avocat Jay-R C. Ipac, managing partner chez Divina Law, a souligné que les stratégies de sécurité de haut niveau échouent souvent lorsque les employés de première ligne ne comprennent pas leur objectif.

« The usual failure in implementing sophisticated cybersecurity measures », a-t-il ajouté, « is that the people who will be implementing it on the ground do not really understand what they’re doing in the first place. We have to make them understand why we are doing this. »

Le leadership face aux incidents de sécurité

La deuxième table ronde a porté sur le leadership lors d’incidents de sécurité à fort enjeu.

« Assume a breach is not a possibility, but an inevitability. Crisis command is a leadership discipline, not a technical one », a déclaré Dennis Matthew F. Opiso, chief information security officer (CISO) chez JG Summit Holdings, Inc.

Engr. Luis A. Jacinto, président et membre fondateur de l’Information Security Officers Group, a clairement indiqué que, si les tâches opérationnelles peuvent être déléguées à des équipes spécialisées, la responsabilité ultime incombe à la direction générale.

« The ultimate responsibility and accountability goes to the CEO; he can delegate the responsibility, but not the accountability », a-t-il dit.

Mar Apuhin, CISO chez GT Capital Holdings, Inc., a mis en garde les entreprises contre les risques liés aux spéculations publiques prématurées et aux directives internes vagues pendant une intrusion en cours.

« The biggest mistake [during an attack] is communicating before facts are verified », a-t-il déclaré. « It is also a mistake to provide vague guidance to internal teams, employees, and customers. The main message should be transparency grounded in verified facts and what the laws require. »

Contrôles techniques et humains

La troisième table ronde a examiné les contrôles techniques et humains nécessaires pour protéger les organisations modernes.

Catherine Anne Paleracio, CISO chez Tonik, a souligné que les contrôles de sécurité doivent servir de leviers pour l’activité plutôt que de freins opérationnels, et que ces contrôles doivent exploiter l’IA.

« For security professionals, AI is helpful to do the analysis of big data, even for analyzing behavior. But at the same time, cybercriminals are using the same technology. So, we need to put a proper baseline for the AI to function. It doesn’t know what to do right away. We have to teach it », a-t-elle expliqué.

La défense d’une organisation n’est que aussi forte que son maillon le plus faible — et ce maillon est souvent constitué de ses propres employés. Mark Anthony P. Almodovar, executive director for Risk Services — Cybersecurity and Privacy chez PwC Philippines, a insisté sur l’importance de faire respecter les protocoles d’accès appropriés.

« Access control is the most basic and most fundamental control in information security. Remember the people aspect. Most of the time, they are reluctant. Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that’s the time when they will start implementing it », a-t-il indiqué.

La cybersécurité comme levier d’activité

La quatrième table ronde du sommet, intitulée « Cybersecurity as a Business Enabler: Leveraging Security for Growth », a examiné comment la sécurité influence la valorisation des entreprises et la confiance du marché.

Alexis Bernardino, principal CXO advisor et head of CXO Advisory chez PLDT Enterprise, a expliqué comment la cybersécurité a évolué, passant d’une simple mesure de protection des revenus à un garant de la continuité des activités.

« Nowadays, it is no longer about digital transformation », a-t-il déclaré. « The issue is no longer cybersecurity. What we need to envision is digital resilience, that our organization will still function, be up and running even though we are under duress or under attack. »

Alan Reyes, president et CEO de Hexcore Labs et general manager de Lightstream8 Corp., a encouragé les dirigeants à envisager la sécurité en termes de gestion du risque commercial plutôt qu’en jargon technique complexe.

« Cybersecurity, at its core, is nothing more than risk management. Business people understand risk management but not firewalls, endpoint protections and things like that. »

Confiance, préparation, collaboration

Pour clore le sommet, le président du Cybersecurity Council of the Philippines, le Dr Donald Lim, a prononcé un discours appelant à une nation numérique plus sûre, affirmant que la technologie et les politiques, à elles seules, ne peuvent protéger le pays sans des dirigeants qui privilégient la confiance, la préparation et la collaboration.

« Technology alone cannot make a nation secure. Even the best policies cannot make a nation secure », a-t-il déclaré.

Il a conclu en redéfinissant la valeur à l’ère numérique : « People say that data is the new oil. I would agree to disagree. In today’s economy, trust is more valuable than data. People only transact when they trust. Citizens only embrace digital government when they trust that their information is protected. Businesses only innovate when customers believe their privacy is respected. The real product we are protecting is not information; it is confidence. Because when trust disappears, everything else begins to slow down. »

Le BusinessWorld Cybersecurity Summit a été présenté par BusinessWorld Publishing Corp., avec GCash et Maya, avec le soutien des sponsors JuanHand, X10 Technologies et TCS; des organisations partenaires Asian Consulting Group, Asia Society of the Philippines, British Chamber of Commerce of the Philippines, French Chamber of Commerce and Industry in the Philippines, Management Association of the Philippines, Philippine Chamber of Commerce and Industry, Philippine Franchise Association, et Philippine Retailers Association; du partenaire créatif ConSync Digital; et du partenaire média The Philippine STAR .