Les attentes des régulateurs à l’égard de la cybersécurité continuent de s’intensifier. À la lumière d’une inspection menée auprès de 73 sociétés inscrites, les Autorités canadiennes en valeurs mobilières (ACVM) publient de nouvelles indications afin d’aider les entreprises à renforcer leurs pratiques et à combler les lacunes observées.
L’organisme souhaite ainsi favoriser des cadres de cybersécurité mieux adaptés à la taille des organisations et à l’évolution rapide des menaces.
Le nouvel Avis 33-322 du personnel des ACVM, dévoilé le 15 juillet, fait état des constats tirés d’un examen ciblé de la conformité portant sur plusieurs volets de la gestion des risques numériques. Les inspections ont notamment évalué les politiques et procédures de cybersécurité, la formation du personnel, les mécanismes d’évaluation des risques, les contrôles en place, la gestion des fournisseurs de services ainsi que les plans d’interventions en cas d’incident.
Des pratiques solides… mais inégales
Selon les ACVM, plusieurs sociétés, particulièrement les plus grandes, disposent déjà d’un cadre de cybersécurité robuste. L’exercice a toutefois permis de relever diverses pratiques pouvant être améliorées, ce qui a conduit le personnel de l’organisme à transmettre des observations de conformité aux sociétés concernées.
Les indications publiées visent également à soutenir les entreprises de plus petite taille, dont les ressources sont souvent plus limitées. Les ACVM précisent que les mesures proposées se veulent suffisamment souples pour être adaptées au profil de risque et aux capacités de chaque société inscrite.
Des menaces en constante évolution
Le contexte actuel exige une vigilance accrue, affirme Stan Magidson, président des ACVM et président-directeur général de l’Alberta Securities Commission.
« Dans le contexte actuel empreint de menaces, les ACVM souhaitent dire clairement aux personnes inscrites qu’il est essentiel de mettre en place des pratiques de cybersécurité rigoureuses », affirme-t-il.
Il souligne que l’utilisation grandissante des outils numériques, des plateformes virtuelles et des modes de travail hybrides contribue à accroître l’exposition des entreprises aux cyberrisques.
« Si nos inspections ont montré que bon nombre de sociétés inscrites se sont dotées d’un cadre de cybersécurité, elles ont également mis au jour des possibilités d’améliorations », souligne Stan Magidson.
Une mise à jour attendue
Le nouvel avis s’inscrit dans la continuité des travaux entrepris par les ACVM en matière de cybersécurité. Il actualise les recommandations formulées dans l’Avis 33-321, publié en 2017, en tenant compte des enseignements tirés de la récente campagne d’inspection.
Les ACVM rappellent enfin que les pratiques de cybersécurité font désormais partie intégrante des inspections de conformité réalisées auprès des sociétés inscrites en vertu du Règlement 31-103 sur les obligations et dispenses d’inscription ainsi que les obligations continues des personnes inscrites.