Top 10 des billets publiés sur Harvard Law School Forum au 29 juillet 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 29 juillet 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

Harvard Law -Tesla's Governance Record & ESG | Blog | Truvalue Labs

  1. EESG Activism After ExxonMobil
  2. Corporate Governance in the Face of an Activist Investor
  3. Commenters Weigh in on SEC Climate Disclosures Request for Public Input
  4. SEC Increasingly Turns Focus Toward Strength of Cyber Risk Disclosures
  5. Connecting the Dots: Breaking the ESG Code
  6. Buybacks: Look Before You Leap
  7. Stewardship Excellence: ESG Engagement In 2021
  8. Voluntary Environmental and Social Disclosures
  9. Spotlight on Boards and Board Oversight of Business Strategy and Risk Management in a Post-Pandemic World
  10. Does Socially Responsible Investing Change Firm Behavior?

Ce que les entreprises doivent savoir sur les attaques de ransomware modernes et comment y répondre


Voici un sujet qui interpelle sérieusement les conseils d’administration et la responsabilité fiduciaire des administrateurs, notamment avec l’accroissement des activités liées à la cybercriminalité.

L’article a été publié par Antonia M. Apps et Adam Fee , associés de Milbank et Matthew Laroche, conseiller juridique spécial chez Milbank sur le Forum du HLS on Corporate Governance.

Les auteurs examinent les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques.

Après avoir exploré les ransomwares modernes, l’article met l’accent sur des directives aux entreprises qui réagissent immédiatement après une attaque afin que celles-ci soient mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Je vous invite à lire la version française de la publication effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

What Companies Need to Know About Modern Ransomware Attacks and How to Respond

Cybercriminalité : les coûts des dégâts sous-estimés

 

Les ransomwares sont une menace de cybersécurité croissante et évolutive à laquelle sont confrontées les organisations du monde entier. En 2020, les attaques de ransomwares ont été multipliées par sept à la fin de l’année, avec plus de 17 000 appareils détectant les ransomwares chaque jour. [1] En tant que défi supplémentaire, les ransomwares sont plus sophistiqués que jamais avec des variantes modernes conçues pour infliger d’immenses dégâts et les auteurs exigeant des paiements plus élevés. Au cours des derniers mois seulement, les ransomwares ont provoqué des perturbations catastrophiques dans les activités commerciales de, entre autres, Colonial Pipeline, le géant de la transformation alimentaire JBS USA Holdings Inc. et le système national de santé irlandais. [2]

Les attaques réussies coûtent des millions de dollars aux entreprises, y compris les perturbations de l’activité, le coût du personnel, le coût des appareils, le coût du réseau, les opportunités perdues, les atteintes à la réputation et le paiement potentiel d’une rançon. [3] Les cybercriminels sont exigeants et gagnent de plus en plus d’argent, le paiement moyen des ransomwares par événement passant d’environ 115 000 $ en 2018 à plus de 300 000 $ en 2020 ; et la rançon la plus élevée payée a plus que doublé, passant de 5 millions de dollars entre 2015 et 2019 à 11 millions de dollars en 2021. [4] Les gouvernements, les forces de l’ordre et les organismes de réglementation en ont pris note, les entreprises étant confrontées à des pressions pour se préparer et répondre efficacement aux attaques de ransomware. [5]

Compte tenu de l’environnement actuel des menaces, il est essentiel que les entreprises qui cherchent à gérer leurs risques de cybersécurité comprennent comment les ransomwares ont évolué pour devenir l’une des menaces de cybersécurité les plus dommageables aujourd’hui. Les entreprises sont confrontées à un examen juridique, réglementaire et politique accru à la suite de ces attaques, ce qui oblige les entreprises à mettre en place des structures de gestion et des contrôles appropriés, sous la surveillance du conseil d’administration, afin d’anticiper et de traiter les dommages importants qui peuvent être causés à la suite d’une attaque de ransomware.

Ci-dessous, nous examinons les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques. Après avoir exploré les ransomwares modernes, nous recommandons ensuite des directives aux entreprises qui réagissent immédiatement après une attaque afin que les entreprises soient les mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Principales caractéristiques des ransomwares modernes

Les attaques de ransomwares opéraient traditionnellement en accédant à un système, généralement via des e-mails de phishing, puis en verrouillant ou cryptant automatiquement les données en recherchant les fichiers avec certaines extensions. Dans le passé, la plupart des acteurs des ransomwares utilisaient une approche « spray and please » ou « shotgun » dans laquelle les ransomwares étaient distribués sans discernement à la recherche d’une organisation vulnérable. Bien que ces attaques opportunistes aient connu plusieurs succès notables, en 2018, les organisations s’étaient largement adaptées à la menace en mettant en œuvre des mesures de cybersécurité et des plans de reprise après sinistre et de continuité des activités en réponse aux attaques. En conséquence, les ransomwares traditionnels ont eu moins de succès et ont été, pendant un certain temps, largement éclipsés par d’autres cybermenaces. [6]

Au cours des 18 derniers mois, cependant, les ransomwares sont revenus au premier plan du paysage des cybermenaces. Les attaques de ransomware modernes sont plus sophistiquées et dommageables à plusieurs égards. Premièrement, les acteurs modernes des ransomwares utilisent fréquemment une approche ciblée, connue sous le nom de « chasse au gros gibier » ou « attaques opérées par l’homme », dans laquelle le ransomware est conçu pour des victimes spécifiques. Avant même qu’une attaque ne soit lancée, les acteurs des ransomwares procèdent à un profilage approfondi des victimes. [7] Les acteurs des ransomwares sont devenus plus compétents pour le faire pour plusieurs raisons, notamment la disponibilité de bases de données et d’autres outils qui aident à identifier les victimes en fonction de leur emplacement, de leur secteur d’activité, de leur taille et de leurs revenus ; et des plateformes de communication anonymes qui permettent des interactions sécurisées et une collaboration accrue des groupes de cybercriminels. Après avoir identifié une victime et obtenu l’accès à leur réseau, les acteurs du ransomware passent un temps considérable (généralement des semaines ou des mois) à prendre le contrôle de sections du réseau avant d’exécuter le ransomware. En passant plus de temps dans le système ciblé, les cybercriminels peuvent se déplacer latéralement pour accéder à davantage de parties du réseau, identifier les données les plus sensibles stockées par la victime et infiltrer les sauvegardes critiques, ce qui rend plus difficile la récupération des victimes après une attaque.[8]

Deuxièmement, en conjonction avec le large accès aux données sensibles fourni par les attaques ciblées, les acteurs des ransomwares utilisent désormais la « double extorsion » dans laquelle le ransomware non seulement crypte les données de la victime, mais les exfiltre également du réseau de la victime. Cela donne aux cybercriminels une autre possibilité d’extorsion : si une victime ne paie pas la rançon, l’attaquant peut publier ou menacer de publier les données de la victime en ligne, vendre les données sur le dark web ou utiliser les données volées pour exploiter les vulnérabilités des systèmes associés. Les victimes sont confrontées à une pression importante pour payer des rançons dans ces circonstances, ce qui a entraîné une augmentation substantielle du montant des demandes de rançon et des paiements. [9]

Troisièmement, les attaques de ransomwares modernes sont souvent menées par plusieurs groupes collaborant sur différents aspects de l’infiltration. Un exemple est le modèle d’abonnement dit de ransomware-as-a-service (« RaaS »), dans lequel les développeurs de ransomware recherchent des affiliés pour mener des attaques et en échange reçoivent une part du produit. [dix]Dans ces scénarios, un groupe possède le ransomware et un ou plusieurs autres groupes contrôlent l’infrastructure compromise, ce qui permet aux cybercriminels d’utiliser des experts à chaque étape de l’attaque. Avec un accès plus large à un réseau de victimes, les cybercriminels sont également devenus plus efficaces pour monétiser différentes parties des actifs compromis. Par exemple, les acteurs des ransomwares peuvent choisir de déployer des ransomwares sur une partie d’un réseau victime tout en vendant l’accès à une autre, créant ainsi plusieurs sources de revenus pour la même attaque. [11] Cette dynamique rend également plus difficile pour les organisations de victimes d’évaluer la durée et l’étendue de la violation et d’identifier tous les auteurs.

Enfin, les acteurs modernes des ransomwares utilisent désormais généralement la crypto-monnaie comme méthode préférée de paiement des rançons. Dans le passé, les cybercriminels étaient contraints d’utiliser d’autres instruments financiers pour recevoir des paiements, tels que des plateformes de paiement par téléphone mobile ou des portefeuilles électroniques, localisés dans une région géographique particulière et/ou réglementés par les gouvernements. La crypto-monnaie, en revanche, contourne les réglementations et est capable de transférer de l’argent dans le monde entier, permettant aux cybercriminels d’initier des transferts d’argent transfrontaliers à haut volume de manière anonyme avec peu de risques.

Les acteurs modernes des ransomwares ont déployé certaines ou toutes les méthodes ci-dessus, obtenant plusieurs succès récents de grande envergure. Les exemples notables incluent :

DarkSide : Darkside est l’une des variantes de ransomware modernes les plus notoires et elle a fait des ravages dans le monde entier, infiltrant des organisations de divers secteurs dans plus de 15 pays. Introduit à l’origine en 2020 par un groupe de cyberhackers connu sous le nom de Carbon Spider, Darkside fonctionne comme un RaaS et utilise diverses méthodes pour obtenir un accès initial à son système cible, notamment via le phishing, l’exploitation du protocole RDP (« RDP ») et d’autres exploits . [12] Une fois que Darkside a infecté le réseau victime, il se déplace vers le contrôleur de domaine (un serveur qui vérifie les informations d’identification de l’utilisateur sur un réseau informatique), où il vole les informations d’identification et se déplace latéralement pour identifier d’autres actifs précieux à voler. Avant de lancer la charge utile du ransomware, Darkside exfiltre les fichiers critiques, en utilisant des sites de fuite basés sur TOR pour héberger les données volées. [13]

Le déploiement de Darkside le plus notoire a été l’attaque de mai 2021 contre Colonial Pipeline, une entreprise responsable de près de la moitié de l’approvisionnement en carburant de la côte est des États-Unis. [14] Darkside a utilisé une double extorsion en verrouillant les systèmes informatiques de Colonial Pipeline et en volant plus de 100 gigaoctets de données d’entreprise. [15] Cette attaque a provoqué une perturbation importante de la distribution de carburant aux États-Unis, et Colonial Pipeline a payé une rançon de 4,4 millions de dollars en bitcoins pour retrouver l’accès à ses systèmes. Le Federal Bureau of Investigation a ensuite récupéré une partie de la rançon en surveillant un registre bitcoin visible au public alors que les pirates transféraient la rançon bitcoin vers d’autres registres numériques, qui s’apparentent à des portefeuilles numériques personnels. Lorsqu’une partie importante de la rançon, environ 64 bitcoins, a été transférée à une adresse numérique pour laquelle le FBI avait obtenu une « clé privée » ( c’est -à- dire le mot de passe pour accéder à l’adresse), le FBI a obtenu un mandat de perquisition et a saisi le bitcoin . [16] D’autres victimes récentes de Darkside couvrent plusieurs secteurs, notamment les services financiers, le droit, la fabrication, les services professionnels, la vente au détail et la technologie. [17]

Nefilim : Nefilim a été identifié pour la première fois en mars 2020 et a été l’une des variantes les plus réussies pour violer les réseaux de victimes. Nefilim obtient généralement un accès initial à un réseau victime en exploitant des informations d’identification faibles sur le RDP exposé ou d’autres services connexes. Une fois à l’intérieur d’un réseau cible, les acteurs Nefilim téléchargent des outils administratifs supplémentaires pour faciliter les déplacements latéraux dans le réseau. Nefilim exfiltre ensuite les données, les publie sur des sites Web protégés par TOR et lance la charge utile du ransomware pour crypter le réseau de la victime. Au cours de la dernière année, Nefilim a publié en ligne environ deux téraoctets de données volées. [18]

Nefilim s’est distingué des autres familles de ransomwares en ciblant des entreprises dont le chiffre d’affaires annuel se chiffre en milliards de dollars. L’attaque la plus médiatisée de Nefilim a été dirigée contre l’organisation maritime australienne, Toll Group, en mai 2020. Toll Group aurait refusé de payer les demandes de rançon de Nefilim et, en conséquence, Nefilim a divulgué des données sensibles de Toll Group et a annoncé comment Toll Group pourrait être infiltré dans le futur. [19] Nefilim a également été identifié comme l’auteur d’un certain nombre d’autres attaques, notamment contre des victimes aux États-Unis, en Amérique du Sud, en Europe et en Asie.

REvil : REvil (également connu sous le nom de Sodinokibi) est apparu en 2019 et a commencé à cibler diverses industries aux États-Unis, en Australie, au Canada, en Finlande et à Hong Kong. Les variantes récentes de REvil accèdent généralement aux réseaux des victimes via des e-mails de spam malveillants, des vulnérabilités RDP et des sites Web compromis. Comme Darkside et Nefilim, après avoir eu accès au réseau des victimes, REvil utilise la double extorsion, dispose d’un site de fuite dédié à la publication de données sensibles et aurait tenté de mettre aux enchères des données volées en ligne. [20]

REvil a été identifié comme l’auteur de plusieurs attaques de ransomware très médiatisées, notamment (i) l’attaque de juin 2021 contre Grupo Fluery, une société brésilienne de diagnostic médical qui effectue environ 75 millions d’examens cliniques chaque année ; (ii) l’attaque de juin 2021 contre l’entreprise de transformation alimentaire JBS, qui a fermé des usines qui traitent environ un cinquième de l’approvisionnement en viande des États-Unis ; et (iii) l’attaque de mai 2020 contre le cabinet d’avocats Grubman Shire Meiselas & Sacks, qui aurait entraîné le vol de près d’un téraoctet de données client sensibles. [21] JBS a finalement payé à REvil 11 millions de dollars en crypto-monnaie pour protéger JBS contre d’autres interruptions d’activité, ce qui est le plus grand paiement de ransomware signalé publiquement à ce jour. [22]

Répondre à une attaque de ransomware moderne

À la lumière du récent succès des attaques de ransomwares modernes, nous nous attendons à ce que les ransomwares continuent de tourmenter les industries du monde entier dans les années à venir. Lorsqu’une attaque se produit, l’organisation victime doit agir de manière décisive pour contenir l’incident, et les premières 48 heures suivant l’attaque sont les plus critiques. Pendant ce temps, les organisations doivent agir rapidement pour évaluer l’attaque, isoler les systèmes affectés, identifier si les données sont récupérables via des fichiers de sauvegarde ou d’autres méthodes, et évaluer les risques juridiques et réglementaires, qui sont nombreux. Une organisation qui traite efficacement chacun de ces problèmes sera dans la position la plus forte possible pour reprendre ses activités normales et déterminer si elle doit ou non payer la rançon. Compte tenu de la sophistication des attaques de ransomware modernes,

Mobiliser l’équipe d’intervention en cas de violation: Les organisations doivent former une équipe pour coordonner la réponse à la violation. Idéalement, cette équipe avait déjà été identifiée et préparée bien avant que la violation ne se produise, et comprend la haute direction, la criminalistique, la sécurité de l’information, la technologie de l’information et les composants juridiques. À la lumière de la complexité des attaques de ransomware modernes, les organisations devraient envisager de faire appel à des enquêteurs judiciaires indépendants possédant une expertise en ransomware. Les organisations devraient également envisager sérieusement de retenir les services d’un avocat externe pour les guider dans la réponse aux incidents en vertu du secret professionnel de l’avocat, y compris les questions juridiques et réglementaires discutées ci-dessous. De plus, si l’organisation décide de faire appel à des enquêteurs médico-légaux indépendants, ces personnes devraient être retenues par un avocat externe pour préserver le privilège juridique de leur travail,

Évaluer les dommages: Les organisations doivent agir le plus rapidement possible pour évaluer l’ampleur de l’attaque. Cela inclut l’identification du ou des systèmes informatiques concernés, l’origine de l’attaque, la variante du ransomware ou tout autre logiciel malveillant utilisé pour infiltrer le système et toute connexion externe actuelle au système. Cette étape est plus compliquée lors de la réponse à une attaque de ransomware moderne car, comme décrit ci-dessus, l’attaque peut impliquer plusieurs cybercriminels qui ont passé des semaines ou des mois à se déplacer sur le réseau de la victime. Les organisations de victimes ne doivent pas supposer que l’identification de logiciels malveillants sur une section de leur système constitue l’intégralité de la violation. L’équipe d’intervention doit plutôt déterminer si ce logiciel malveillant a été utilisé dans le cadre d’une attaque de ransomware ciblée plus large. Si c’était,

Conserver les fichiers journaux : les fichiers journaux sont essentiels pour évaluer l’attaque par ransomware, et les organisations doivent prendre des mesures immédiates pour les préserver. Cela inclut l’augmentation de la taille par défaut des fichiers journaux sur les serveurs et la désactivation des tâches de maintenance automatisées telles que la suppression des fichiers temporaires et la rotation des journaux pour empêcher l’écrasement des journaux. Si la journalisation n’est pas activée sur un système affecté, l’organisation doit activer la journalisation immédiatement, ce qui peut également fournir des informations utiles à la suite de la violation.

Isoler et imager les systèmes affectés : Une fois les systèmes affectés identifiés, ils doivent être isolés. Ce processus comprend non seulement la suppression de ces systèmes du réseau lui-même, mais également la sécurisation des zones physiques potentiellement liées à la violation. Une fois que ces systèmes sont isolés, ils doivent également faire l’objet d’une image médico-légale, ce qui aidera à enquêter sur les origines et les causes de la violation. De plus, si l’organisation paie l’acteur du ransomware pour une clé de déchiffrement, il est possible que la clé contienne des bogues qui peuvent endommager les données pendant le processus de déchiffrement. Si cela se produit, l’image médico-légale peut être utilisée pour tenter de répéter le décryptage sans endommager les données d’origine.

Fichiers de sauvegarde sécurisés : la sécurisation des fichiers de sauvegarde le plus rapidement possible joue un rôle crucial dans la reprise rapide des opérations commerciales. Idéalement, au moins certains fichiers de sauvegarde sont stockés sur un réseau à vide que l’attaque n’a pas atteint et n’a pas pu atteindre. Dans la mesure où les fichiers de sauvegarde sont connectés au réseau infecté, les entreprises doivent déconnecter le stockage de sauvegarde du réseau et/ou verrouiller l’accès aux systèmes de sauvegarde jusqu’à ce que l’infection soit résolue. Ici encore, les organisations doivent agir avec prudence, car les attaques de ransomwares modernes ciblent spécifiquement les fichiers de sauvegarde pour empêcher délibérément une récupération rapide. De plus, étant donné que les attaques de ransomware modernes ont des délais plus longs, les entreprises doivent être prêtes à identifier et à récupérer les fichiers de sauvegarde qui sont considérablement antérieurs à la découverte de l’intrusion.

Évaluer les problèmes juridiques et réglementaires: Les organisations sont confrontées à une variété de considérations juridiques et réglementaires aux niveaux étatique, fédéral et, potentiellement, international suite à une attaque de ransomware, et bon nombre de ces problèmes doivent être résolus immédiatement. Selon l’organisation et le type de données compromises, l’attaque de ransomware peut déclencher un patchwork complexe d’exigences de notification légale, dont certaines ont des délais de notification courts. Par exemple, les États ont promulgué une législation exigeant la notification des atteintes à la sécurité impliquant des informations personnelles, certaines dans les 24 heures suivant la découverte du vol. De plus, la SEC a publié des directives concernant les divulgations à la suite d’une violation de la cybersécurité. Et le Règlement général sur la protection des données du Royaume-Uni impose aux organisations de signaler certaines violations de données personnelles dans les 72 heures, dans la mesure du possible. [23]

Les organisations doivent également se préparer aux enquêtes gouvernementales et aux litiges. Les secteurs réglementés tels que les soins de santé, la finance et les infrastructures critiques font régulièrement l’objet d’un examen minutieux après des cyberattaques de la part des autorités de réglementation et des procureurs généraux des États. Lorsque des données de consommateurs sont impliquées, les droits d’action privés en vertu des lois de l’État sur la protection des consommateurs peuvent conduire à des recours collectifs. Au-delà de cela, les organisations doivent également déterminer si elles doivent ou non payer la rançon, ce qui soulève une foule d’autres problèmes pratiques et juridiques. Le FBI conseille généralement aux entreprises de ne pas payer de rançon. L’Office of Foreign Assets Control (« OFAC ») du département du Trésor a déclaré que certains paiements de ransomware peuvent également constituer des violations des lois sur les sanctions économiques. Au-delà de l’OFAC, le paiement de la rançon peut impliquer les lois anti-blanchiment et le Patriot Act. En outre,[24] à New York, les législateurs ont également proposé une législation qui interdirait les paiements de ransomware par toute entité exerçant des activités à New York ou dans un établissement de santé réglementé par le ministère de la Santé de New York. [25] Comme nous l’avons indiqué, la participation précoce d’un conseiller juridique est importante pour évaluer toutes ces questions tout en préservant le privilège.


Compte tenu de la prolifération d’acteurs de ransomware sophistiqués à la recherche de primes de plus en plus importantes pour les données sensibles de l’entreprise, les entreprises doivent à la fois anticiper et être prêtes à répondre à l’attaque inévitable. En prenant les mesures décrites ici, les entreprises se mettront dans la meilleure position pour contenir la violation une fois qu’elle se produira, empêcher la perte de données supplémentaires, lancer le processus de récupération, limiter l’exposition légale et réglementaire et déterminer si elles doivent payer la rançon.

Notes de fin

Voir Fortinet, Global Threat Landscape Report : A Semiannual Report by FortiGuard Labs (février 2021), disponible sur https://www.fortinet.com/content/dam/maindam/public/02_marketing/08_Report/Global-TLR-2021 -2H.pdf .(retourner)

2 Collin Eaton et Dustin Volz, PDG de Colonial Pipeline, expliquent pourquoi il a payé une rançon de 4,4 millions de dollars aux pirates , Wall St. J. (19 mai 2021) ; Catherine Stupp, Le système de santé irlandais lutte contre les perturbations technologiques après l’attaque par ransomware de mai , Wall St. J. (18 juin 2021).(retourner)

Voir Dep’t of Health & Human Serv., Ransomware Trends 2021 à 11 (3 juin 2021), disponible sur https://www.hhs.gov/sites/default/files/ransomware-trends-2021.pdf.(retourner)

4 Palo Alto Networks, rapport sur les menaces de ransomware à 4 (2021) ; voir aussi Jacob Bunge, JBS Paid $11 Million to Resolve Ransomware Attack , Wall St. J. (9 juin 2021).(retourner)

Voir, par exemple , Communiqué de presse, Sénateur américain Jackie Rosen, Rosen Leads Bipartisan Group of Senators to Reintroduce Bipartisan Electric Grid Security Legislation (24 juin 2021) ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur les récentes attaques de ransomware (4 juin 2021) ; Communiqué de presse, Dep’t of Homeland Security, DHS annonce de nouvelles exigences en matière de cybersécurité pour les propriétaires et exploitants de pipelines critiques (27 mai 2021).(retourner)

6 Magno Logan, Erika Mendoza, et al., The State of Ransomware: 2020’s Catch-22 (3 février 2021), disponible sur https://www.trendmicro.com/vinfo/us/security/news/cybercrime- and-digital-menaces/the-state-of-ransomware-2020-s-catch-22 .(retourner)

7 Mayra Fuentes, Feike Hacquebord et al., Modern Ransomware’s Double Extorsion Tactics and How to Protect Enterprises Against Them at 9 (2021), disponible sur https://documents.trendmicro.com/assets/white_papers/wp-modern-ransomwares -double-extorsion-tactiques.pdf .(retourner)

Id. Certains acteurs de ransomware incluent une troisième couche d’extorsion en ajoutant des attaques par déni de service (« DDoS ») contre les sites Web des victimes, qui peuvent submerger un réseau de trafic, provoquant une interruption supplémentaire des opérations. D’autres ont même ajouté une quatrième couche d’extorsion en contactant directement les clients d’une victime dans le but d’augmenter la pression sur la victime pour qu’elle paie. Voir Janus Agcaoili, Miguel Ang et al., Ransomware Double Extortion and Beyond : REvil, Clop et Conti (15 juin 2021), disponible sur https://www.trendmicro.com/vinfo/dk/security/news/ cybercriminalité-et-menaces-numériques/ransomware-double-extorsion-and-beyond-revil-clop-and-conti .(retourner)

Voir le rapport Palo Alto, supra note 4, p. 4.(retourner)

10 Voir Fuentes et al., supra note 7, à 6.(retourner)

11 Bob McArdle, The Life Cycle of a Compromised (Cloud) Server, Trend Micro (1er septembre 2020), disponible sur https://blog.trendmicro.com/the-lifecycle-of-a-compromised-cloud-server .(retourner)

12 Voir, par exemple , Cybersecurity Infrastructure & Sec. Agency (« CISA »), Darkside Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks (30 mai 2021), disponible sur https://us-cert.cisa.gov/ncas/alerts/aa21-131a . TOR est un logiciel gratuit qui permet des communications anonymes sur Internet.(retourner)

13 Id.(retourner)

14 Id.(retourner)

15 Jordan Robertson & William Turton, Colonial Hackers Stole Data Thursday Ahead of Shutdown , Bloomberg (8 mai 2021), disponible sur https://www.bloomberg.com/news/articles/2021-05-09/colonial-hackers- volé-données-jeudi-avant-l’arrêt-du-pipeline .(retourner)

16 Communiqué de presse, US Dep’t of Justice, Department of Justice saisit 2,3 millions de dollars en crypto-monnaie payés aux ransomwares Extortionists Darkside (7 juin 2021).(retourner)

17 Shining a Light on Darkside Ransomware Operations, Fireeye (11 mai 2021), disponible sur https://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware -opérations.html .(retourner)

18 Voir Fuentes et al., supra note 7.(retourner)

19 Ry Crozier, Toll Group peut avoir perdu plus de 200 Go de données lors d’une attaque de ransomware , IT News (20 mai 2020).(retourner)

20 Phil Muncaster, REvil Ransomware Group Auctions Stolen Data , Info Security Group (3 juin 2020), disponible sur https://www.infosecurity-magazine.com/news/revil-ransomware-group-auctions .(retourner)

21 Lawrence Abrams, Healthcare Giant Grupo Fleury Hit By REvil Ransomware Attack , BleepingComputer (23 juin 2021), disponible sur https://www.bleepingcomputer.com/news/security/healthcare-giant-grupo-fleury-hit-by- attaque-revil-ransomware/ ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur la cyberattaque JBS (2 juin 2021).(retourner)

22 Voir Bunge, supra note 4.(retourner)

23 Voir S. 645, 117e Cong. (2021), disponible sur https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/warnerrubiodraftbill.pdf(retourner)

24 Voir, par exemple , Doug Olenick, Should Paying Ransoms to Attackers Be Banned, Data Breach (24 mai 2021) ; Cynthia Brumfield, Four States Propose Laws to Ban Ransomware Payments , CSO (28 juin 2021), disponible sur https://www.csoonline.com/article/3622888/four-states-propose-laws-to-ban-ransomware- paiements.html .(retourner)

25 N.YS 6806, 2021-2022 Sess. (18 mai 2021), disponible sur https://www.nysenate.gov/legislation/bills/2021/s6806 .(retourner)

Avancés en matière de mesure des facteurs ESG


Aujourd’hui, je vous présente les conclusions d’un rapport sur les avancés en matière de mesure des facteurs ESG dans les grandes entreprises américaines.

Cet article a été publié par John Borneman, Tatyana Day et Olivia Voorhis, Semler Brossy Consulting Group*  sur le Forum de Harvard Law School in Corporate Governance.

« Je ne me souviens pas d’une époque où il était plus important pour les entreprises de répondre aux besoins de leurs parties prenantes. Nous traversons une période de terribles difficultés économiques. Nous sommes également à un carrefour historique sur la voie de la justice raciale, qui ne peut être résolue sans le leadership des entreprises. »
— Larry Fink, 2021 Lettre aux PDG

Je vous invite à lire un extrait de la version française de la publication effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

2021 ESG & Incentives Report

 

Inclusion of ESG Metrics in Incentive Plans: Evolution or Revolution?

 

Au début de la nouvelle décennie, l’engagement des entreprises envers les questions environnementales, sociales et de gouvernance (« ESG ») s’accélérait déjà, faisant partie d’un changement à grande échelle de l’objectif de l’entreprise vers la responsabilité envers un large groupe de parties prenantes. L’année 2020 a eu un impact profond sur la gouvernance et la responsabilité des entreprises, la pandémie mettant en lumière la santé et la sécurité, et l’accent national mis sur la justice raciale attirant une attention particulière sur la diversité et l’inclusion dans les entreprises américaines.

En conséquence, l’ESG est devenu l’un des ensembles de questions les plus importantes discutées dans les conseils d’administration à travers le pays au cours de la dernière année. Alors que l’attention des parties prenantes et des investisseurs sur ces questions continue de croître, la direction de l’entreprise s’est efforcée de démontrer son engagement envers le progrès. L’inclusion de mesures ESG dans la rémunération incitative est souvent considérée comme un élément clé pour démontrer publiquement cet engagement. En conséquence, les mesures ESG ont proliféré dans les plans d’intéressement.

L’année dernière, Semler Brossy a commencé à publier une série de rapports annuels pour suivre l’intégration ESG dans les plans de rémunération incitative des dirigeants, en commençant par le Fortune 200. Cette année, la série de rapports couvre l’intégralité du S&P 500, un large échantillon qui comprend les plus grandes entreprises. Au total, 57 % des sociétés du S&P 500 divulguent l’utilisation d’une certaine forme d’ESG pour déterminer les résultats de la rémunération incitative. Ce premier rapport se penche sur les principales tendances de la saison des procurations 2021 et met en évidence les changements dans les mesures ESG au cours de l’année écoulée. Les rapports ultérieurs couvriront des informations sur la conception des incitations ESG et les tendances spécifiques à l’industrie.

Ensemble de données S&P 500

L’étude de cette année englobe l’intégralité du S&P 500. Ces sociétés couvrent tous les secteurs, avec une capitalisation boursière médiane de 30 milliards de dollars et une représentation importante des secteurs de la finance, de l’industrie et de la santé. L’étendue de l’ensemble de données par rapport à l’étude Fortune 200 de l’année dernière fournit une image plus complète des industries et des pratiques (y compris les moins répandues) et étend la recherche aux entreprises qui ne sont pas couvertes dans les grands titres des médias. Pour ce premier rapport, nous avons examiné les divulgations publiques déposées entre mars 2020 et mars 2021. Nous avons constaté que 57 % du S&P 500 incluent une mesure ESG dans le plan d’intéressement annuel ou à long terme.

Mesures de durabilité par rapport aux mesures opérationnelles

Diverses mesures des intérêts des parties prenantes sont souvent classées comme « ESG ». Cependant, bon nombre de ces mesures ne sont pas explicitement liées aux progrès vers les objectifs de durabilité à long terme qui sont au cœur des demandes plus récentes des actionnaires. Aux fins de cette distinction, nous avons divisé les mesures ESG en deux catégories :

Indicateurs ESG de durabilité

 

Mesures relatives à la stabilité sociale/économique générale à long terme

Mesures ESG opérationnelles

 

Autres mesures des parties prenantes plus alignées sur les résultats commerciaux quotidiens

Empreinte carbone

 

Engagement communautaire

Culture d’entreprise

Diversité et inclusion (D&I)

Émissions/ Confinement chimique

Efficacité énergétique

Approvisionnement durable

Réduction du gaspillage

Consommation d’eau

·Satisfaction du client

 

La cybersécurité

Satisfaction des employés

La qualité des produits

Sécurité

Le développement du talent

Chiffre d’affaires/rétention

La diversité et l’inclusion (D&I) sont désormais la mesure ESG la plus répandue dans les plans de rémunération des dirigeants, devant les mesures plus traditionnelles telles que la satisfaction et la sécurité des clients. D’autres paramètres de gestion du capital humain (c.-à-d. le développement et la rétention des talents) figurent également parmi les cinq premiers. Au total, les mesures d’incitation à la gestion du capital humain se trouvent dans 41 % des entreprises du S&P 500.

La sécurité des employés faisait partie des trois principaux indicateurs ESG en 2020, peut-être sans surprise, étant donné l’accent accru mis sur la santé et la sécurité des travailleurs dans le contexte de la pandémie Covid-19.

Les mesures environnementales continuent de terminer en bas de la liste, avec seulement 14% des entreprises incluant ces mesures. Les émissions/le confinement des produits chimiques et l’empreinte carbone sont les seules mesures environnementales dans le top 10. La faible prévalence des mesures environnementales est surprenante compte tenu de l’attention portée par les actionnaires au changement climatique, et nous nous attendons à ce que la prévalence de ces mesures continue d’augmenter à mesure que les investisseurs appellent de plus en plus à des cibles nettes zéro et à l’intégration de l’ESG dans la rémunération.

D’une année sur l’autre, les mesures les plus fréquemment ajoutées étaient liées à la sécurité, à la satisfaction des clients, à la diversité et à l’inclusion. Les pics de mesure de la sécurité et des clients ont probablement été provoqués par la réponse à la pandémie de Covid-19, et dans le cas de la sécurité, l’augmentation de la prévalence peut être transitoire. En ce qui concerne la mesure ESG la plus courante dans les plans d’intéressement, la D&I est au centre de deux tendances distinctes : l’attention nationale croissante accordée aux inégalités raciales, portée au premier plan en 2020, et l’attention accrue portée à la gestion du capital humain.

Diversité et inclusion

La prévalence des D&I parmi le S&P 500 a augmenté de 19 % d’une année sur l’autre pour les procurations déposées entre janvier et mars (2021 par rapport à 2020). Ces chiffres n’incluent pas les entreprises qui ont divulgué des changements de conception d’incitations pour l’exercice 2021. Bien que l’ajout d’une nouvelle mesure de performance puisse prendre un temps considérable, de nombreuses entreprises ont été incitées à ajouter D&I en réponse à l’attention accrue du problème en 2020. Des entreprises telles que Nike et Starbucks ont également fait la une des journaux cette année pour avoir intégré le D&I dans les plans d’avenir, et nous assistons déjà à une prolifération continue des mesures d’incitation D&I au cours de l’exercice 2021.

La rapidité d’adoption de mesures incitatives est essentiellement due à sa conception. Les difficultés perçues concernant la mesure, l’établissement d’objectifs et la divulgation des performances ont probablement retardé l’adoption initiale de D&I ; mais de nombreuses entreprises semblent maintenant l’ajouter en tant qu’élément plus qualitatif, que ce soit dans le cadre d’objectifs individuels ou en tant que modificateur discrétionnaire.

Nous prévoyons qu’au fil du temps, une plus grande expérience dans la méthodologie de mesure, la gestion et la divulgation des objectifs de D&I, ainsi que la faveur des investisseurs et du public, pourraient pousser les entreprises à concevoir et à divulguer des mesures plus quantitatives.

Impact de COVID-19 sur les métriques ESG

La plupart des entreprises qui ont adopté des mesures de sécurité en réponse à Covid-19 ont intégré la métrique dans le cadre de l’évaluation des performances individuelles plutôt que comme une composante continue et pondérée.

Bien que la pandémie de Covid-19 ait commencé après que de nombreuses entreprises aient déjà fixé des objectifs, dans de nombreux cas, elle a eu un impact profond sur les incitations pour l’exercice 2020. Plus particulièrement, la pandémie a accru le besoin et les initiatives pour déterminer les résultats des incitations dans de nombreuses entreprises. Compte tenu de l’extrême volatilité macroéconomique de l’année et des perturbations des plans de l’entreprise, les conseils d’administration ont été contraints de prendre en compte un large éventail de mesures et d’indicateurs de performance clés non standard pour juger les performances des dirigeants. L’incertitude plus large et le passage au travail à domicile ont également eu un impact sur l’ESG.

Les mesures de sécurité ont enregistré l’une des augmentations les plus importantes d’une année sur l’autre pour l’exercice 2020, avec 89 % de celles ajoutées explicitement liées à la réponse à Covid-19. L’augmentation significative démontre à la fois à quelle vitesse les mesures peuvent évoluer et à quel point les organisations possèdent l’autonomie pour faire avancer certaines mesures.

Presque tous les ajouts de sécurité liés à Covid ont été intégrés dans des composants individuels, ce qui implique que les conseils d’administration ont pris en compte le traitement des employés par l’entreprise pendant la pandémie (c’est-à-dire la santé et la sécurité des employés) dans une évaluation rétrospective des performances des dirigeants. Par conséquent, nous ne prévoyons pas que l’augmentation de l’utilisation des mesures de sécurité sera permanente.

Bien que la situation de Covid-19 ait mené à  l’adoption de  mesure de sécurité qui semblent transitoires, le mouvement fait également partie d’une tendance ESG plus large autour de la responsabilité envers un plus grand groupe de parties prenantes. Beaucoup plus d’entreprises ont ressenti un plus fort besoin de divulgation de leur approche du bien-être des employés, d’autant plus que les investisseurs ont appelé les entreprises à démontrer leur engagement envers toutes les parties prenantes.

Utilisation des métriques ESG par taille de chiffre d’affaires

Les plus grandes entreprises utilisent plus fréquemment des méthodes de mesures ESG : 62 % intégrant l’ESG, contre 55 % pour les plus petites entreprises. Les grandes entreprises se concentrent également davantage sur la durabilité que sur les mesures opérationnelles.

L’échantillon plus large de cette année nous permet d’examiner si les entreprises les plus importantes et les plus en vue intègrent l’ESG différemment des plus petites. 

L’une des premières différences à émerger est la prévalence globale : 62 % des 200 plus grandes entreprises intègrent l’ESG, contre 55 % pour les 300 plus petites. Cela correspond aux attentes : les entreprises de premier plan sont souvent parmi les premières à adopter de nouvelles tendances en gouvernance et elles font l’objet d’un examen plus public.

Des différences apparaissent également dans les types de métriques. Les grandes entreprises incluaient plus fréquemment des mesures liées aux talents, à la culture et à l’environnement, tandis que les plus petites se concentraient davantage sur les mesures opérationnelles traditionnelles telles que la satisfaction des clients et la qualité des produits. Les grandes entreprises peuvent également rivaliser plus férocement pour attirer les meilleurs talents, ce qui les conduit à se concentrer sur des mesures plus liées aux talents.

Au fil du temps, nous prévoyons que les mesures ESG deviendront plus courantes dans toutes les sociétés ouvertes, quelle que soit leur taille, car les pratiques des plus grandes sociétés influencent souvent le reste du marché.

Conclusions

Lorsque l’on examine les mises à jour de la saison des procurations pour l’exercice 2020, il est clair que la forme d’ESG dans les plans de rémunération est fortement influencée par les grandes tendances externes. Certains des changements sont circonstanciels et reviendront probablement aux niveaux initiaux l’année prochaine, comme en témoigne l’intégration rapide de la sécurité des employés dans une gamme d’évaluations de performances individuelles. 

D’autres font partie de tendances à plus long terme qui sont là pour rester. Les mesures de D&I ont continué de croître et devraient s’accélérer dans leur adoption à mesure que les investisseurs et le grand public accroissent les pressions pour une plus grande transparence, une plus grande attention et des progrès sur les questions fondamentales. 

Les mesures de durabilité environnementale, tout en restant rares dans les plans d’incitation, ont également présenté un certain mouvement et nous nous attendons à ce que leur inclusion augmente au fil du temps à mesure que les investisseurs se concentrent davantage sur leurs demandes.

Études de cas

Diversité et inclusion

La diversité et l’inclusion sont devenues l’une des mesures les plus discutées en 2020, les troubles sociaux accélérant une tendance déjà bien enclenchée. De nombreuses entreprises notables ont ajouté ou amélioré le D&I en 2020 et continuent de le faire, avec des entreprises telles que McDonald’s, Chipotle et Starbucks, divulguant des mesures D&I futures pour 2021. Les exemples ci-dessous mettent en évidence les conceptions quantitatives et autonomes que nous prévoyons devenir plus communs et importants pour ces mesures à l’avenir.

Alliant Energy

30 % des incitations annuelles d’Alliant est lié à l’expérience client, aux objectifs environnementaux et D&I. Les pondérations, les objectifs et les réalisations spécifiques sont divulgués pour chacun.

Prudential Financial

Prudential inclut un modificateur D&I (±10 %) sur les actions de performance. Bien qu’initialement ciblé pour améliorer la représentation au sein de la haute direction, la mesure a été élargie en 2021 pour se concentrer sur tous les niveaux organisationnels. Les objectifs de représentation et d’engagement sont quantitatifs et « aucun changement » entraîne une note négative.

_________________________

*John Borneman  est directeur général,  Tatyana Day  est consultante principale et  Olivia Voorhis est consultante chez Semler Brossy Consulting Group LLC.