Malgré l’escalade des conflits géopolitiques, la plupart des entreprises n’ont pas formalisé des plans à jour sur la façon de naviguer dans des scénarios complexes qui pourraient avoir des impacts désastreux sur leurs opérations et leurs activités.
Cette semaine a commencé avec le Premier ministre britannique Sir Keir Starmer ordonnant aux représentants du gouvernement de mettre à jour leurs plans d’urgence en cas de guerre totale. Il a noté que les plans actuels ont environ 20 ans et «mal à jour».
Le lendemain, nous avons été témoins de la confrontation cinétique entre l’Inde et le Pakistan une escalade majeure, avec la possibilité très réelle que les deux nations puissent continuer à dégénérer à un conflit plus géographiquement répandu.
C-Suites doit demander à leurs équipes: sommes-nous préparés à tout événement, y compris la guerre, qui peut avoir un impact sur notre personnel, notre infrastructure, notre chaîne d’approvisionnement, nos clients et autres facettes de notre entreprise?
Prudence Reigns
L’appel de Starmer pour mettre à jour les plans d’urgence est la prudence. Les plans C devraient exiger des briefings de la gestion des risques, de la continuité des activités, de la gestion des crises et des équipes de cyber-résilience sur l’état actuel de préparation en général et en particulier en ce qui concerne les zones géographiques où les conflits sont présents et l’entité a des actions.
Lors de la conférence RSA en avril, Tom Cross, conseiller stratégique de Witfoo, et Greg Conti, co-fondateur de Kopidion Cybersecurity, ont présenté «la planification de la guerre pour les entreprises technologiques». Ils n’ont pas haché: les entreprises devraient «créer un plan de guerre» comme la notion d’un «grand conflit de pouvoir n’est plus une menace inimaginable», ont-ils expliqué.
Cross et Conti ont demandé: «Comment votre organisation réagirait-elle» et a souligné les points chauds du monde entier comme preuve du besoin croissant de répondre formellement à une telle question en termes de processus et de procédures. L’invasion russe de l’Ukraine a attiré de nombreuses entreprises à plat. Ils se sont retrouvés avec des actifs et du personnel dans des endroits qui étaient désormais en flammes ou dans l’empreinte géographique d’un agresseur.
Les entreprises sont désormais confrontées à des décisions sur la façon d’éteindre leurs lumières et de garantir que les données privilégiées et protégées sont effectivement supprimées et détruites sur place. Une tâche que peu intègrent dans leurs plans d’intervention d’urgence.
Comment le conflit Inde-Pakistan augmente les enjeux
Si le conflit entre ces deux puissances nucléaires augmente et devient une guerre à part entière, la perturbation des chaînes d’approvisionnement, de la recherche et du développement et des services de soutien a le potentiel d’être significatif. Les pôles techniques du Pakistan à Karachi, Lahore et Islamabad seront placés en danger. Les centres techniques de l’Inde à Bengaluru, Hyderabad, Chennai, Pune, Delhi, Mumbai et Kolkata peuvent être ciblés.
Examinez que les grandes parties des 1,45 milliard de l’Inde et les 255 millions de citoyens du Pakistan peuvent être en mouvement, et on peut facilement imaginer la possibilité d’un chaos sociétal et d’une interruption des infrastructures. Et avec l’Inde qui dirige toujours le monde dans l’externalisation informatique et les centres captifs, représentant 17,58% du marché mondial, les impacts commerciaux directs d’un conflit plus large seront importants.
Mon entreprise est-elle prête pour la guerre?
Lors de la Conférence de sécurité de Berlin en novembre 2024, l’amiral Rob Bauer, alors président du comité militaire de l’OTAN, a parlé franchement des chefs de file de l’industrie dans le contexte de la guerre illégale de la Russie contre l’Ukraine, posant deux questions centrales des chefs d’entreprise:
- Mon entreprise est-elle prête pour la guerre?
- Que peut faire mon entreprise pour empêcher la guerre?
Bauer reconnaît que la deuxième question pourrait en prendre surprise, mais pas celles qui ont gardé un œil sur les événements géopolitiques. J’ai abordé cela après l’invasion de l’Ukraine de février 2022, et l’Occident a commencé à émettre des sanctions, exhortant ceux qui ne sont pas affectés par des sanctions à se retirer de la Fédération de Russie. À cette époque, j’ai noté que les entreprises avaient le choix de continuer à faire des affaires comme d’habitude, de se retirer de la Russie ou de ne rien faire. Tous les trois étaient des choix, et tous les trois ont porté avec eux les conséquences de chaque action spécifique.
Il y avait un grand nombre de cyber-indices selon lesquels la guerre arrivait, y compris les avis de la part du gouvernement et des entités commerciales. J’ai discuté de cela dans «les cyberattaques russes sur les préoccupations de la sécurité informatique de l’Ukraine». Immédiatement après l’invasion russe, davantage de conseils ont été partagés et l’analyse de l’interruption de la chaîne d’approvisionnement a suivi.
« La guerre est sur le continent européen », a déclaré Bauer sansté. Il a noté que l’Eurobaromètre en septembre 2024 «a déclaré que 58% des répondants ne se considéraient pas bien préparés à une crise dans la région où ils vivaient. Et presque les deux tiers ont estimé qu’ils ont besoin de plus d’informations pour se préparer aux catastrophes et aux urgences.»
Depuis lors, nous avons vu la Russie se livrer à des conflits à faible intensité dans toute l’Europe. À cet égard, recruter des citoyens sympathiques à la Russie pour s’engager dans le sabotage et les perturbations. Nous avons vu la désinformation et la désinformation utilisées comme une arme contre les démocraties à travers le monde, mais avec une plus grande fréquence et une plus grande concentration sur les nations qui soutiennent l’Ukraine dans la défense de son territoire souverain.
Lorsqu’un conflit implique que la population établit la taille de l’Inde et du Pakistan et comprend sa diaspora, le potentiel pour les entreprises de se faire par inadvertance dans un conflit par leur propre employé prenant une action en utilisant les ressources de l’entreprise à l’appui de leur nation n’est pas improbable.
Bauer a poursuivi: «Les chefs d’entreprise en Europe et en Amérique doivent se rendre compte que les décisions commerciales qu’ils prennent ont des conséquences stratégiques pour la sécurité de leur nation. Les entreprises doivent être préparées à un scénario en temps de guerre et ajuster leurs lignes de production et de distribution en conséquence.»
Chaque CISO doit se demander si elles et leurs entreprises sont prêtes pour la guerre. Vos communications de réseau s’appuient-elles sur un moyen de communication pour les communications des sociétés et une autre pour le commerce? Les technologies opérationnelles utilisent-elles des communications de réseau qui peuvent devenir vulnérables pendant les conflits et ainsi éteindre les lumières de la production? Quel est le plan d’urgence lorsque les communications se dégradent à nul?
Comment les cisos peuvent faire la différence
De plus, comme Bauer l’a noté, «le monde peut être un endroit sombre. Et au cours des dernières années, il est certainement devenu encore plus sombre. Mais il y a aussi de la lumière. Et ils ont été choqués par la réponse unie de l’OTAN, de l’UE et d’autres nations démocratiques du monde entier.»
Il a poursuivi: «Le fait que le climat de sécurité mondial devienne de plus en plus complexe et volatile ne signifie pas que nous devrions nous glisser dans le pessimisme léthargique et penser que ces circonstances sont hors de notre contrôle.»
En plus d’avoir un plan, les entreprises doivent reconnaître qu’elles ont la capacité de faire une différence lors de la prise de décisions d’achat et de mise en œuvre, a déclaré Bauer. Il a recommandé de le faire avec un œil sur le potentiel de prévention des conflits. Posez la question inconfortable: cette décision aidera-t-elle le belligérant? Cela devrait inclure ceux alliés au belligérant et à ceux qui fournissent le belligérant. Si la réponse est oui, ne le faites pas.
Lors de la conférence RSA 20225, Cross et Conti ont exhorté les entreprises à réfléchir à «si votre organisation peut avoir une exposition directe ou tierce aux régions du monde qui peuvent être exposées à des conflits». Le leadership devrait ensuite suivre cela avec une auto-évaluation pour jeter les bases de «développer des plans spécifiques pour atténuer les impacts opérationnels, infrastructures et ressources humaines».
Recommandation finale: exercez votre plan et mettez-vous à jour régulièrement. Comme l’a noté Starmer, le plan de la Grande-Bretagne a plus de 20 ans; Votre plan devrait avoir moins de 12 mois.
