Cybersécurité : nouveau point de mire pour les CPA

On préviendrait de nombreuses cyberattaques en faisant preuve de toute la prudence nécessaire dans la collecte, la communication et le transfert de données. (Getty Images/valentinrussanov)

Tandis que les cyberattaques se multiplient, il devient urgent – notamment pour les CPA – de comprendre les rouages de la cybersécurité.

Grâce à une meilleure connaissance de cet enjeu, les CPA à tous les échelons pourront élargir leur expertise en gestion des risques et en prévention de la fraude, puis explorer d’autres avenues professionnelles, comme des postes de direction.

« La cybersécurité devra bientôt faire partie des compétences de base des CPA », signale Will Xiang, CPA, vice-président et expert en cybersécurité, analyse des données et confidentialité chez Richter.Voici quelques points à garder en tête concernant le rôle des CPA dans le domaine de la cybersécurité.

POURQUOI LES CPA ONT-ILS UN RÔLE À JOUER?

Les CPA possèdent déjà les compétences leur permettant d’agir comme conseillers de confiance en cybersécurité, affirme Marc Tassé, FCPA, professeur à la faculté de droit et à l’école de commerce de l’Université d’Ottawa.

« On dit souvent que les CPA sont des gardiens de l’entreprise parce qu’ils sont là pour protéger sa valeur, tout comme les renseignements confidentiels et les données qu’elle recueille, souligne le professeur. Dès qu’une cyberattaque survient, les conséquences financières et réputationnelles peuvent être énormes pour une organisation. »

Austin Creighton, directeur principal des pratiques en cybersécurité chez Grant Thornton, abonde dans le même sens : « La cybersécurité est devenue la responsabilité de tous. C’est particulièrement le cas pour les CPA, puisqu’ils ont accès à des données financières et comptables hautement confidentielles. »

Les dirigeants se tournent également vers les CPA pour obtenir leur avis sur les questions budgétaires liées à la prévention des cyberattaques (par exemple pour déterminer où l’entreprise devrait investir à cette fin) et pour prendre des décisions coûts-avantages sensées en cas d’incident.

PRÉVENIR LES CYBERATTAQUES : LES BONNES PRATIQUES

Les cyberattaques peuvent prendre bien des formes, mais il est possible de prévenir nombre d’entre elles en faisant preuve de toute la prudence nécessaire dans la collecte, la communication et le transfert de données. « Les CPA devraient rester prudents, et ne jamais chercher à prendre de raccourcis dans l’application des processus avec les clients, insiste Marc Tassé. Il est important de toujours vérifier et valider les faits. Il faut être particulièrement vigilant, parce qu’on ne rencontre plus les clients en personne comme avant. Dans les communications virtuelles, on doit toujours s’assurer de parler à la bonne personne, et non à un pirate informatique. »

Par exemple, si vous recevez un courriel dans lequel on demande une modification des renseignements bancaires, appelez la personne concernée pour vérifier si elle est bien à l’origine de cette demande. Si vous ne suivez pas cette simple mesure de précaution, les conséquences pourraient être graves. Par exemple, un employé du service des finances de la Ville d’Ottawa a été victime d’un pirate qui, en se faisant passer pour un directeur municipal, l’a amené à procéder à un transfert de plus de 100 000 $.

LES CONNAISSANCES À ACQUÉRIR PAR LES CPA

L’adoption de bonnes habitudes en matière de cybersécurité réduit les risques, soutient Austin Creighton. « Le monde est de plus en plus interconnecté et dépendant des communications virtuelles, et les CPA font partie de cette transition. Il est donc primordial qu’ils développent des pratiques de cybersécurité sûres afin de protéger leurs données personnelles et celles de leurs clients ou de leur entreprise. »

Il conseille aux CPA d’appliquer ces pratiques :

• Utilisez des mots de passe complexes. Dotez-vous de phrases de passe plutôt que de mots de passe simples. Elles devraient contenir au moins 16 caractères, dont des lettres majuscules et minuscules, et des symboles. « Les phrases de passe devraient être uniques pour les comptes hautement confidentiels. Je suggère parfois de faire des substitutions, comme convertir la lettre O en zéro ou la lettre S en signe de dollar pour créer un mot de passe à la fois complexe et facile à retenir. »
• Utilisez l’authentification multifactorielle pour vous connecter à votre environnement de travail ou à tout autre type de système lorsque vous télétravaillez. « Souvent, une organisation qui essaie de souscrire une assurance cybersécurité voit sa demande refusée parce qu’elle n’utilise pas l’authentification multifactorielle », explique l’expert.
• Évitez le plus possible d’utiliser des réseaux Wi-Fi publics. « De manière générale, les CPA se déplacent beaucoup. Si vous utilisez un réseau Wi-Fi public, assurez-vous qu’un mot de passe est nécessaire pour vous connecter. Autrement, vous exposez à des risques tout renseignement envoyé ou reçu par l’entremise du réseau. Des pirates pourraient donc être capables d’intercepter vos renseignements personnels ou ceux de votre entreprise. »
• Maintenez toujours vos appareils à jour. C’est simple comme tout, mais vraiment important.
• Faites preuve de prudence avec les assistants virtuels (comme Alexa ou Google Home). Ces dispositifs peuvent capter et enregistrer de l’information, éloignez-les donc des conversations confidentielles.

La plupart des organisations devraient offrir régulièrement de la formation sur la cybersécurité. Toutefois, comme le note Austin Creighton, les CPA devraient aussi avoir accès à de la formation de haut niveau, couvrant des sujets précis comme le verrouillage des feuilles de calcul, ou l’entreposage et le chiffrement des fichiers partagés.

UN ATOUT POUR L’AVANCEMENT PROFESSIONNEL

Les experts s’entendent généralement pour dire qu’à l’avenir, les CPA devront posséder de solides connaissances sur la gestion des cyberrisques. « Il leur faudra aussi comprendre les implications pour le flux de données et les finances », renchérit Will Xiang.

Ce constat est particulièrement vrai à une époque où les organisations sont nombreuses à se tourner vers l’automatisation, ajoute-t-il. « Si c’est votre cas, vous augmentez votre exposition aux cyberrisques. Les CPA ne sont pas des programmeurs, mais ils devraient connaître les enjeux de cybersécurité et savoir gérer les risques qui en découlent. »

Ces connaissances peuvent également se révéler très utiles pour l’avancement professionnel. « Les comptables sont généralement vus comme des conseillers de confiance capables de trouver de manière rationnelle la meilleure façon de protéger les organisations, explique Marc Tassé. Il existe une forte demande sur le marché pour les services de cybersécurité, et nous voyons des entreprises offrir de nouveaux services de conseil et de gestion en matière de prévention de la fraude et des crimes financiers. »

Pour les personnes intéressées à diversifier leurs compétences dans le domaine, Will Xiang recommande de se renseigner sur les certifications offertes pour certains outils technologiques disponibles en ligne. Pour les CPA moins à l’aise avec les dernières innovations, il suggère de se concentrer sur les bases, comme la gestion des risques et la mise en place de mesures pour mieux encadrer le numérique et les TI. « Puis, apprenez petit à petit les autres connaissances techniques nécessaires. Beaucoup de CPA manifestent de l’intérêt et de la curiosité, mais n’ont pas les connaissances voulues en raison de leur exposition limitée à ces questions dans leur milieu de travail. »

Marc Tassé mentionne qu’il y a des cours en ligne gratuits ou à petit prix sur des sites comme Coursera ou edX qui abordent les bases de la cybersécurité, ainsi que des plateformes de clavardage et des forums.

Avec la cybersécurité qui se fraie un chemin dans les cursus universitaires, il est rassurant de constater que les nouvelles recrues en comptabilité sont de mieux en mieux outillées, fait remarquer le professeur. « La plupart des nouveaux CPA savent comment la cyberfraude est commise. Ils comprennent Internet et sont au fait des enjeux d’actualité. Par exemple, le programme de l’Université d’Ottawa comprend un cours qui aborde précisément la prévention de la fraude. »

Will Xiang croit que la cyberexpertise est de plus en plus essentielle à mesure qu’on occupe des postes à responsabilités croissantes. « L’expertise en cybersécurité pourrait devenir une exigence pour bon nombre de postes. Dans cinq ou six ans, il se pourrait très bien que les personnes n’ayant pas acquis déjà cette expertise trouvent la marche passablement haute pour se mettre à niveau. »

DEVENEZ CYBERFUTÉS

Apprenez-en plus sur les thèmes relatifs à la cybersécurité et à la confidentialité des données que les directeurs devraient garder sur leur radar, et sur l’importance pour les CPA et les dirigeants financiers d’apprivoiser le sujet. Ne manquez pas non plus de profiter des nombreuses ressources techniques offertes par CPA Canada sur des sujets comme l’IA et l’apprentissage machine, ou encore de rafraîchir vos connaissances en suivant le certificat sur les fondements en gestion des données ou le certificat avancé en gestion des données, qui sont offerts par l’organisation comptable.