Les communications liées aux cyberattaques peuvent devenir des preuves coûteuses, ce qui rend indispensable une documentation rigoureuse et des pratiques en matière de privilèges dès le premier jour.
Les premières 24 heures après un cyberincident sont compliquées. Les équipes évoluent rapidement et beaucoup de choses sont dites sur Slack ou par courrier électronique qui peuvent revenir plus tard. Les gens se démènent pour contenir le problème, comprendre ce qui s’est passé et faire avancer les choses. Ce faisant, ils créent un disque qui ne vieillit pas toujours bien.
Des mois, voire des années plus tard, une fois la poussière retombée, les RSSI découvrent souvent que ces premières communications sont brisées par des litiges ou des enquêtes. Ce que votre équipe a documenté et comment elle l’a déclaré peut avoir une durée plus longue – et un résultat financier plus désastreux – que l’attaque elle-même.
Il est facile de voir comment cela se produit. L’instinct, une fois que vous apprenez que vous avez été violé, est d’agir rapidement. Répondez à un appel. Lancez un message Slack. Boucle chez les avocats. Commencez à comprendre ce qui s’est passé.
D’après mon expérience, les cyber-litiges ne dépendent pas uniquement de ce qui s’est passé. Cela dépend également de ce que vous avez documenté et de ce que vous avez dit lorsque cela s’est produit. Le problème est que les communications générées au cours de ces premières heures chaotiques deviennent souvent des preuves dans le cadre de litiges, d’enquêtes réglementaires et de mesures coercitives. De nombreuses organisations opèrent sous une illusion dangereuse : la copie légale d’un e-mail ou d’un message Slack le rend protégé. Ce n’est pas le cas.
Le secret professionnel de l’avocat et la protection des produits du travail sont réels, mais ils ne constituent pas une panacée. J’ai vu que les tribunaux évaluant les revendications de privilège dans les affaires de cybercriminalité ne se soucient pas de savoir si les documents juridiques ont simplement été copiés sur le fil. Ils doivent voir si le but prédominant d’une communication était d’obtenir ou de fournir des conseils juridiques. Un résumé technique de la manière dont un attaquant s’est déplacé sur un réseau, une chronologie de ce qui a été corrigé et à quel moment, ou un rapport d’incident documentant ce que l’équipe de sécurité a découvert sont souvent créés pour des raisons opérationnelles. Les tribunaux jugent régulièrement que ces documents peuvent être découverts même lorsque l’avocat général les a examinés par la suite.
La Conférence de Sedona, dont les groupes de travail produisent des orientations juridiques largement citées sur la cybersécurité et l’information électronique, a noté que les tribunaux s’intéressent de plus en plus précisément à ces questions : la communication a-t-elle été créée à des fins de conseil juridique, ou s’agissait-il d’un document commercial ordinaire qui est passé entre des mains juridiques ?
Où le privilège s’effondre réellement
Lors de l’atténuation des violations, vous pouvez vous attendre à ce que les moments les plus dommageables proviennent d’investigations techniques ou d’un programme de sécurité qui n’a pas pu résister à un examen minutieux. Mais la réalité est que les entreprises se retrouvent en difficulté lorsque les filtres de contenu internes tombent en panne sous la pression.
Lorsqu’un cyberincident survient, le chaos est la norme. Les équipes de sécurité doivent faire face aux délais de confinement, aux fenêtres de notification réglementaires, aux escalades exécutives et à une centaine d’autres priorités, dont aucune ne peut attendre. C’est un environnement stressant, et les gens ont tendance à faire des suppositions ou à être trop francs sur tous les canaux, qu’il s’agisse de Slack, Teams ou des e-mails.
Des commentaires comme ceux-ci créent les preuves les plus préjudiciables lorsqu’ils sont exposés lors de l’interrogatoire préalable et deviennent des pièces à conviction lors d’un procès :
- « Nous étions censés régler ce problème il y a six mois »
- « Personne ne prend ça au sérieux »
- « Nous savions que c’était un risque »
Si votre réponse à un incident se déroule dans un canal Slack de 40 personnes avec un service juridique uniquement, vous créez un enregistrement consultable pour le plaignant. De nombreux dirigeants et équipes de sécurité fonctionnent avec l’idée erronée que l’ajout de votre avocat à un canal Slack spécifique à un incident ou l’application de « ACP » (privilège avocat-client) sur le titre de la chaîne signifie que toute conversation sur ce canal est protégée. Ce n’est pas.
Les tribunaux ont clairement indiqué qu’une chaîne comptant des dizaines de participants n’est pas considérée comme privilégiée. Plus il y a de monde sur la chaîne, plus la revendication est faible. Si vous combinez des discussions stratégiques juridiques avec des discussions opérationnelles, il y a de fortes chances que vous partagiez trop et que vous mettiez des éléments douteux au compte rendu.
Les tribunaux ne limitent pas non plus la découverte à l’incident actuel. L’avocat adverse est libre de demander des documents sur des incidents antérieurs. Cela inclut la manière dont l’organisation a géré ces événements, ce qui a été dit et quels processus existaient. La norme doit s’appliquer à tous les incidents, y compris ceux qui n’ont jamais été rendus publics. Si ce n’est pas le cas, vous êtes vulnérable.
Le problème de l’IA que personne n’a encore compris
Si votre outil d’IA s’entraîne sur vos données d’incident, vous avez peut-être déjà renoncé à vos privilèges. Les tribunaux commencent tout juste à se demander si les communications générées par l’IA bénéficient de protections de privilèges et la jurisprudence reste mince.
Il existe quelques signes avant-coureurs.
Les premières décisions indiquent que l’utilisation d’outils d’IA grand public, dans lesquels le fournisseur peut se former sur les entrées des utilisateurs, crée une réelle exposition, puisque les tribunaux ont tendance à considérer de manière défavorable les revendications de privilège lorsque les informations ont été partagées avec des parties extérieures. Les outils d’entreprise utilisant l’IA doivent être conçus pour garantir la confidentialité afin d’avoir la plus grande probabilité de préserver le privilège juridique.
Les preneurs de notes IA sont une autre zone grise. Un outil de transcription automatisé modifie-t-il le niveau de privilège lors d’une réunion en présence d’un avocat ? Nous ne le savons pas encore, mais il y a quelques indications.
L’IA est-elle partie prenante à l’incident ? Sans doute pas, mais cela dépend des protections de confidentialité en place et de la manière dont l’outil est conçu. S’il n’y a pas de protection de la confidentialité, adieu le privilège. Ensuite, qui a accès au contenu de la sortie de l’IA ? S’il s’agit d’un groupe non privilégié, les privilèges pourraient également disparaître. Il faut réfléchir à tout cela sans même mentionner l’exigence qu’un avocat soit impliqué dans la communication. De nombreux facteurs entrent en jeu.
Concevoir pour le privilège avant la violation
Au moment où vous êtes au milieu d’un incident, il est déjà trop tard pour résoudre le problème. Le privilège n’est pas quelque chose qui s’improvise sous pression. Cela doit être intégré au processus. Cela signifie établir une séparation structurelle claire entre :
- Dossier opérationnel — la documentation factuelle qui montrera ce que l’organisation a fait et quand
- Discussions sur la stratégie juridique qui doit rester protégé (ce que vous dites, divulguez et défendez)
Si ces sujets sont discutés sur le même canal de communication, alors vous ne protégez pas le privilège ; vous le diluez. L’embauche de cabinets médico-légaux « à double filière », dont un dirigé par un avocat externe, ne résout pas non plus ce problème. Au lieu de cela, garder ces fonctions délibérément séparées dans des endroits dédiés, plutôt que dispersées sur des appareils personnels, des applications grand public ou des canaux improvisés, rend les revendications de privilèges beaucoup plus crédibles lorsqu’elles sont soumises à un examen ultérieur.
En pratique, cela signifie définir des canaux et des outils spécifiques pour la stratégie juridique par rapport aux opérations quotidiennes en cas d’incident, limiter la participation aux discussions privilégiées à ceux qui ont vraiment besoin d’être là, documenter qui contrôle l’accès et la conservation pour chacun et tester votre processus lors d’exercices sur table plutôt que d’événements réels. La plupart des équipes ont un plan, mais ce n’est pas ce à quoi les avocats prêtent attention. Lorsque l’assignation à comparaître arrive, l’accent est mis sur ce qui a été dit et documenté. C’est la partie qui colle, et celle que vous devez être capable de défendre.
Dans les litiges pour violation, la plus grande responsabilité n’est généralement pas ce qui s’est passé. C’est ce que votre équipe en a dit et où elle l’a dit.
