By Mhicole A. Moral, Special Features and Content Writer

Les organisations évoluent désormais dans une économie numérique où la technologie alimente presque tous les aspects de l’activité. À mesure que la dépendance aux systèmes interconnectés s’intensifie, la cybersécurité et la protection des données sont devenues des éléments de plus en plus importants de la stratégie d’entreprise à long terme.

Ces enjeux ont donné le ton à la première table ronde du BusinessWorld Cybersecurity Summit, intitulée « Navigating Cybersecurity Laws and Compliance ». Le panel a examiné comment les réglementations mondiales en matière de cybersécurité influencent les organisations philippines et pourquoi la conformité ne suffit plus à renforcer la cybersécurité.

Alvin M. Navarro, secrétaire adjoint et directeur exécutif adjoint du Cybercrime Investigation and Coordinating Center, a déclaré que la cybersécurité va bien au-delà de la protection des entreprises, car ses effets touchent les institutions publiques, la sécurité nationale et les citoyens ordinaires.

« Among the general population, the dark side of exploiting cyber weaknesses is felt through scams. More than 60% of all the complaints we receive come from scams. Imagine the losses, the anxiety, and the suffering that people go through,“ a-t-il expliqué.

M. Navarro a souligné que la transformation numérique reste une priorité gouvernementale parce qu’elle améliore la prestation des services publics. Toutefois, la cybersécurité doit faire partie intégrante de chaque étape de cette transformation.

« We need to make sure that cybersecurity is embedded into our digital transformation: first, to improve public service; second, to make sure that all systems and processes that are intended to deliver those public services are robust and safe », a-t-il ajouté. « If all of these things fail, it’s not only the economy that will falter. It will affect political stability and our survival as a nation. »

Gilbert T. Trinchera, partenaire en conseil technologique chez R.G. Manabat & Co. (KPMG in the Philippines), a déclaré que la cybersécurité entre dans une phase où plusieurs forces ne fonctionnent plus séparément, mais convergent au sein de chaque organisation.

S’appuyant sur les dernières considérations de KPMG en matière de cybersécurité publiées plus tôt cette année, M. Trinchera a indiqué que huit grandes forces redessinent la cybersécurité aujourd’hui et dans les années à venir : l’intelligence artificielle, la géopolitique, la réglementation, l’hyperconnectivité, les identités non humaines, les dépendances de la chaîne d’approvisionnement, la cryptographie post-quantique et la sécurité autonome.

« These forces are not just operating individually in silos; they are converging, and that’s why it’s becoming an important imperative across the entire enterprise, whether you’re a government institution or a private industry. This is a huge consideration for everyone because the goal is not to perfect all compliance checklists, but simply to understand where we are, to be proactive and risk-averse, and definitely to ensure we consistently show our trust to our clients and stakeholders », a-t-il expliqué.

Par ailleurs, Jay R C. Ipac, associé gérant de DivinaLaw, a déclaré que deux des réglementations les plus influentes qui touchent actuellement les entreprises locales sont le General Data Protection Regulation (GDPR) de l’Union européenne et la directive NIS2 de l’Union européenne. Le champ d’application extraterritorial du GDPR signifie que les entreprises philippines qui traitent les données personnelles de résidents de l’UE doivent s’y conformer quel que soit leur lieu d’établissement, tandis que la directive NIS2, entrée en vigueur en 2023, a étendu les obligations en matière de cybersécurité à un plus large éventail de secteurs et imposé des exigences plus strictes en matière de signalement des incidents dans l’ensemble de l’UE.

Bien que certains cadres restent à l’état de projet, M. Ipac a indiqué qu’ils montrent comment les discussions sur la cybersécurité se sont étendues au-delà de la conformité technique pour englober la résilience organisationnelle.

Il a également cité la Bangko Sentral ng Pilipinas comme l’un des régulateurs les plus actifs du pays en matière de gouvernance de la cybersécurité, notant que les institutions financières font face à des évolutions technologiques rapides et à des menaces numériques de plus en plus sophistiquées. La supervision de la BSP s’appuie sur le socle juridique existant des Philippines, qui comprend le Data Privacy Act of 2012 (Republic Act No. 10173) et le Cybercrime Prevention Act of 2012 (Republic Act No. 10175), lois qui ont établi les obligations de base du pays en matière de protection des données et de poursuite de la cybercriminalité.

Kristoffer Rada, responsable des affaires institutionnelles chez Maya Philippines Inc., a déclaré que les lois sur la cybersécurité dans le monde entier placent désormais la responsabilité sur les conseils d’administration et la haute direction, au lieu de la limiter aux équipes techniques.

« The focus is now shifting from prevention alone to operational resilience, the ability to detect, respond, recover, and continue to deliver essential services », a-t-il souligné.

Cependant, la technologie seule ne suffit pas. La sensibilisation des clients reste tout aussi importante, ce qui explique pourquoi l’entreprise associe les protections technologiques à des campagnes d’éducation du public.

« Regulation should be risk-based and outcome-based, so that institutions are accountable for results while retaining the room to adopt better technology. Also, transparency should be timely, accurate, and useful to people. Finally, cybersecurity must be collaborative. Threat intelligence, scam prevention, and incident coordination, together with consumer education, require government and industry to work together », a expliqué M. Rada.

De la responsabilité technique à la gouvernance d’entreprise

L’influence croissante des réglementations internationales a également modifié la manière dont les organisations définissent le leadership en matière de cybersécurité.

M. Ipac a indiqué que de nombreuses organisations délèguent encore presque entièrement la cybersécurité aux directeurs de la sécurité des systèmes d’information ou aux départements informatiques. Si les entreprises mettent souvent en place des politiques et complètent la documentation, ces préparatifs se révèlent fréquemment insuffisants lorsqu’un véritable incident cybernétique survient.

« The biggest misconception is still looking at cybersecurity as a tech issue. All stakeholders should have a genuine interest in making sure [cybersecurity] is at the top of all companies’ agendas in their digitized business », a-t-il déclaré. « Your people are your best assets. You have to be able to create a cybersecurity culture, not just awareness, but the resilience that the public trusts. »

M. Navarro a par ailleurs indiqué que les dirigeants doivent disposer d’une compréhension technologique suffisante pour prendre des décisions éclairées tout en assumant la responsabilité de l’avenir de leur organisation. Une part importante de cette responsabilité consiste à maintenir une cybersécurité solide dans l’ensemble de l’organisation.

« Cybersecurity has assumed a proportion, such that it not only affects businesses immensely but also impacts national security without question », a-t-il expliqué.

L’intelligence artificielle augmente les enjeux

Les organisations utilisent l’intelligence artificielle (IA) pour améliorer l’efficacité et renforcer les défenses, mais cette même technologie offre aussi aux cybercriminels de nouveaux moyens de lancer des attaques, de manipuler l’information et d’exploiter des utilisateurs peu méfiants.

Les panelistes ont observé que cela a creusé l’écart entre l’innovation technologique et la réglementation, ce qui accroît la responsabilité des organisations à mettre en place une gouvernance avant l’entrée en vigueur de nouvelles lois.

M. Trinchera a déclaré que les Philippines se trouvent encore dans une période où l’adoption de l’IA a progressé plus vite que la législation. Plusieurs projets de loi liés à l’IA ont été déposés, mais les organisations évoluent actuellement sans cadre juridique complet définissant clairement la responsabilité liée à son usage.

« The implication is that, if anyone is using AI, whether it’s for good or bad, they do not have a sense of accountability and obligation. It’s merely a playground », a-t-il expliqué.

Il a ajouté que l’usage généralisé des réseaux sociaux, des plateformes numériques, des places de marché en ligne et des technologies émergentes par les Philippins crée des opportunités supplémentaires pour les escroqueries pilotées par l’IA, les campagnes de désinformation, les tentatives de phishing et d’autres cybermenaces.

Sans sensibilisation et gouvernance suffisantes, a-t-il dit, la technologie peut accélérer la diffusion de contenus nuisibles tout en rendant les cyberattaques plus crédibles et plus difficiles à détecter.

« Regulatory convergence should be our goal, and we should align it to our ultimate vision, which is to maintain trust. This is the current universal currency that everybody understands, regardless of industry or jurisdiction », a-t-il souligné.

M. Navarro a indiqué que la législation tente de suivre le rythme de l’IA, même si le processus législatif avance naturellement plus lentement que le développement technologique. Dans l’intervalle, il a encouragé les organisations à établir des politiques internes régissant l’utilisation de l’IA en fonction de leurs propres besoins opérationnels et risques de cybersécurité.

Les organisations peuvent donc déjà élaborer des mesures de gouvernance pratiques qui définissent une utilisation responsable de l’IA tout en traitant les failles de sécurité propres à leurs activités.

« There’s no legislation yet, but it’s not entirely hopeless. It’s not a situation where our hands are tied. From our organizations, we can already develop the policy that is more specific to our needs, to the security issues or gaps that we face », a déclaré M. Navarro.

De même, les organisations trouvent de nouvelles façons d’intégrer l’intelligence artificielle dans leurs opérations de cybersécurité. Chez Maya, l’IA est devenue un outil important pour identifier des transactions financières suspectes parmi un volume élevé d’opérations.

Dans le même temps, M. Rada a reconnu que la technologie présente à la fois des opportunités et des risques. Les politiques et les cadres demeurent utiles, mais ils produisent des résultats significatifs lorsqu’ils collaborent avec le gouvernement.

« [There should be] collaboration between the public and private sector. We [should] work very closely with the policymakers, with legislators, and the enforcers, because that’s the only way that we can catch up in terms of coming up with a rational policy », a-t-il expliqué.