Responsabilité personnelle du responsable de la sécurité (RSSI)
Exposition personnelle, civile, réglementaire et parfois pénale, du responsable de la sécurité des systèmes d'information, révélée par des poursuites américaines depuis 2022 ; elle pose la question de sa couverture par l'assurance des dirigeants.
Pendant longtemps, le responsable de la sécurité des systèmes d'information était un cadre technique, rarement mis en cause personnellement après une attaque. Deux affaires américaines ont changé la perception. En 2022, l'ancien responsable de la sécurité d'une plateforme de transport avec chauffeur a été condamné pénalement pour avoir dissimulé aux autorités une fuite de données de 2016, en la faisant passer pour un programme de récompense des chercheurs. En 2023, l'autorité américaine des marchés a poursuivi un éditeur de logiciels et son responsable de la sécurité pour avoir présenté aux investisseurs une sécurité plus solide qu'elle ne l'était, avant l'attaque qui avait compromis sa chaîne de mise à jour ; l'essentiel des accusations a été rejeté par le tribunal en 2024. D'autres textes ont accru l'exposition : la réglementation financière new-yorkaise impose une certification annuelle de conformité signée, et la directive NIS2 fait peser sur les organes de direction une responsabilité en matière de cybersécurité. Pour l'assurance, la question est pratique : le responsable de la sécurité est-il un assuré de la police des dirigeants ? Il ne l'est pas toujours s'il n'est ni mandataire social ni dirigeant de fait, et les entreprises étendent désormais la définition des assurés pour l'inclure. Sa couverture porte sur les frais de défense, les amendes pénales restant inassurables.
Le 4 mai 2023, Joseph Sullivan, ancien responsable de la sécurité d'Uber, est condamné à trois ans de mise à l'épreuve et à 50 000 dollars d'amende pour avoir dissimulé la fuite de 2016, qui touchait 57 millions d'utilisateurs et de chauffeurs. Les pirates avaient reçu 100 000 dollars présentés comme une récompense de recherche de failles.
responsabilité du RSSI, CISO liability, responsabilité du directeur de la sécurité informatique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.