Le paysage des menaces de sécurité évolue sans cesse, ce qui exige l'adoption de politiques de sécurité plus complètes. Face à cette réalité, la Federal Trade Commission (FTC) a étendu sa règle relative aux mesures de protection, initialement conçue pour les institutions financières, aux concessions automobiles. Cette règle vise à maintenir des mesures de protection efficaces pour les données clients, renforçant ainsi la résilience des entreprises face aux cyberattaques.
La nouvelle règle de la FTC en matière de garanties
La règle révisée relative aux mesures de protection s'applique à toutes les informations client en votre possession, qu'elles concernent des particuliers avec lesquels vous entretenez une relation client ou les clients d'autres institutions financières qui vous ont communiqué des informations. Cette modification étend le champ d'application de cette règle aux entreprises qui la détiennent désormais, notamment les concessionnaires automobiles possédant plus de 5 000 dossiers clients. Il est important de noter que cela concerne tous les dossiers, et non seulement les dossiers transactionnels.
Quelles sont les nouvelles exigences ?
La FTC a fixé au 9 juin 2023 la date limite pour que tous les concessionnaires qui possèdent plus de 5 000 dossiers clients se conforment aux exigences suivantes :
- Désignez une personne qualifiée pour superviser, mettre en œuvre et faire respecter votre programme de sécurité de l'information.
- Effectuer des évaluations des risques liés à la sécurité de l'information et aux mesures de protection existantes.
- Mettre en œuvre des mesures de protection obligatoires pour contrôler les risques, notamment les contrôles d'accès, l'inventaire des systèmes, le chiffrement, les pratiques de développement sécurisées, l'authentification multifacteurs (MFA), les procédures d'élimination, les procédures de gestion des changements, ainsi que la surveillance et l'enregistrement de l'activité des utilisateurs autorisés.
- Testez ou auditez régulièrement l'efficacité de vos mesures de protection, de vos contrôles clés, de vos systèmes et de vos procédures.
- Mettez en place des politiques et des procédures permettant au personnel de mettre en œuvre votre programme de sécurité de l'information.
- Supervisez les prestataires de services afin de vous assurer qu'ils respectent vos politiques de sécurité.
- Élaborez votre plan de réponse aux incidents afin de vous préparer à d'éventuels incidents de cybersécurité.
- Préparez un rapport annuel à l'attention du conseil d'administration ou d'une entité équivalente, détaillant vos efforts en matière de cybersécurité et tout incident survenu au cours de l'année.
Comprendre les risques
Aucun secteur n'est à l'abri des cyberattaques. Petites, moyennes et grandes entreprises sont toutes la cible d'attaques de phishing, de ransomware ou autres cyberattaques qui mettent en péril les données personnelles. Les conséquences de telles violations peuvent aller du vol d'identité et de la falsification de documents au détournement de données.
Si votre concession automobile subit un incident de sécurité, vous pourriez faire l'objet d'un audit de conformité mené par la FTC. Le non-respect des réglementations pourrait entraîner des amendes. De plus, votre assureur en cybersécurité pourrait également procéder à un audit. S'il constate que vous n'êtes pas conforme à la nouvelle réglementation sur les garanties, il pourrait refuser de couvrir l'incident.
Étapes vers la conformité
Bien que l’échéance du 9 juin 2023 puisse paraître lointaine, il est temps de commencer à mettre en œuvre ces réglementations de sécurité essentielles. Voici quelques mesures à prendre en compte :
- Commencez par une évaluation de votre réseau qui comprend des tests de sécurité et d'autres dispositions clés de la règle de sauvegarde.
- Élaborez un plan qui ne soit pas une action ponctuelle. La règle relative aux garanties exige des tests réguliers, des mises à jour et des rapports à votre conseil d'administration ou à une entité équivalente.
- Assurez-vous de disposer au sein de votre personnel d'une personne qualifiée pour élaborer et gérer votre plan de sécurité de l'information. Si vous n'en avez pas, recherchez un partenaire qualifié capable de vous fournir les services dont vous avez besoin.
- Appliquez votre plan à tous les systèmes que vous utilisez, y compris ceux de vos fournisseurs tiers. Plus tôt vous mettrez en œuvre ces règles de sécurité essentielles, plus votre concession sera protégée contre les cyberattaques et les problèmes de non-conformité.
Conclusion
La nouvelle réglementation de la FTC sur les mesures de protection vise à garantir la sécurité des informations des clients et à renforcer la résilience face aux incidents de cybersécurité. Son extension aux concessions automobiles témoigne de l'importance croissante de la cybersécurité dans tous les secteurs d'activité.
L'échéance du 9 juin 2023 approchant à grands pas, il est essentiel de comprendre les exigences de la règle de la FTC relative aux mesures de protection et de prendre les mesures nécessaires pour s'y conformer. Ce faisant, vous protégez non seulement votre entreprise contre les incidents de cybersécurité et les problèmes de conformité potentiels, mais vous renforcez également la confiance de vos clients. C'est une situation gagnant-gagnant : vous améliorez la sécurité de votre entreprise tout en optimisant l'expérience client.
N'oubliez pas que la cybersécurité n'est pas un projet ponctuel, mais un processus continu. L'environnement est dynamique et les menaces évoluent constamment. Il est donc essentiel de revoir et de mettre à jour régulièrement votre plan de sécurité de l'information et de rester informé des dernières tendances et bonnes pratiques en matière de cybersécurité.
Restez prudents et respectez la réglementation. Vos clients comptent sur vous.