données sensibles de tiers, des plans d'entreprise, des transactions et des informations financières (collectivement, les
données sensibles). La Société et les tiers sur lesquels elle s’appuie peuvent être soumis à diverses menaces en constante
évolution aux systèmes informatiques et aux données.
Les cyber-attaques, les activités malveillantes sur Internet, la fraude en ligne et hors ligne et d'autres activités similaires
menacent la confidentialité, l'intégrité et la disponibilité des données sensibles de la Société et de ses systèmes de
technologie de l'information, ainsi que ceux des tiers dont elle dépend. Ces menaces sont répandues et de plus en plus
fréquentes, sont de plus en plus difficiles à détecter et proviennent de diverses sources, y compris des "pirates"
informatiques traditionnels, des acteurs de la menace, des "hacktivistes", des acteurs de la menace criminelle organisée,
du personnel (par exemple par erreur, vol ou utilisation abusive), des États-nations sophistiqués et des acteurs soutenus
par des États-nations. Pour des raisons géopolitiques et dans le cadre de conflits militaires et d'activités de défense,
certains acteurs se sont livrés dans le passé et devraient se livrer à l'avenir à des actes malveillants. En temps de guerre et
d'autres conflits majeurs, la Société et les tiers sur lesquels elle s’appuie peuvent être vulnérables à un risque accru de ces
attaques, y compris des cyber-attaques de représailles, qui pourraient perturber matériellement ses systèmes et ses
opérations, sa chaîne d'approvisionnement et sa capacité à produire, vendre et distribuer ses services.
La Société et les tiers sur lesquels elle s’appuie sont soumis et ont fait l'expérience d'une variété de menaces évolutives, y
compris, mais sans s’y limiter, le piratage psychologique (y compris les attaques par hameçonnage), les codes malveillants
(tels que les virus et les vers), les logiciels malveillants (y compris à la suite d’intrusions par des menaces persistantes
avancées), les attaques par déni de service (telles que le bourrage d’informations d’identification), la collecte
d’informations d’identification, les fautes ou erreurs du personnel, les attaques par rançongiciel, les attaques de la chaîne
d’approvisionnement, les bogues logiciels, les dysfonctionnements des serveurs, les défaillances logicielles ou matérielles,
la perte de données ou d’autres actifs informatiques, les logiciels publicitaires, les défaillances des télécommunications,
les tremblements de terre, les incendies, les inondations et d’autres menaces similaires.
En particulier, les attaques graves de rançongiciel sont de plus en plus fréquentes et peuvent entraîner des interruptions
importantes de ses activités, la perte de données sensibles et de revenus, une atteinte à sa réputation et le détournement
de fonds. Les paiements d’extorsion peuvent atténuer l’impact négatif d’une attaque de rançongiciel, mais la Société peut
ne pas vouloir ou ne pas pouvoir effectuer de tels paiements en raison, par exemple, de lois ou de réglementations
applicables interdisant de tels paiements.
Le télétravail est devenu plus courant et a augmenté les risques pour les systèmes informatiques et les données de la
Société, étant donné qu’un plus grand nombre de ses salariés utilisent des connexions réseau, des ordinateurs et des
appareils en dehors de ses locaux ou de son réseau, y compris le travail à domicile, en transit et dans des lieux publics. En
outre, les transactions commerciales futures ou passées (telles que les acquisitions ou les intégrations) pourraient
exposer la Société à des risques et à des vulnérabilités supplémentaires en matière de cybersécurité, car ses systèmes
pourraient être affectés par des vulnérabilités présentes dans les systèmes et les technologies des entités acquises ou
intégrées.
En outre, la Société pourrait découvrir des problèmes de sécurité qui n'ont pas été décelés lors de l'audit préalable des
entités acquises ou intégrées, et il pourrait être difficile d'intégrer les entreprises dans son environnement informatique
et son programme de sécurité.
En outre, la dépendance de la Société à l’égard de fournisseurs de services tiers pourrait introduire de nouveaux risques
et vulnérabilités en matière de cybersécurité, y compris des attaques de la chaîne d’approvisionnement, et d’autres
menaces pour les opérations commerciales de la Société. La Société peut s’appuyer sur des fournisseurs de services et des
technologies tiers pour exploiter des systèmes commerciaux essentiels afin de traiter des données sensibles dans divers
contextes, y compris, sans s’y limiter, l’infrastructure basée sur le Cloud, les installations des centres de données, les
courriels des salariés et d’autres fonctions. La Société peut également s’appuyer sur des fournisseurs de services tiers
pour fournir d’autres produits, services, pièces ou autres pour mener ses activités. La capacité de la Société à contrôler les
pratiques de ces tiers en matière de sécurité de l’information est limitée, et ces tiers peuvent ne pas avoir mis en place
des mesures de sécurité de l’information adéquates. Si les fournisseurs de services tiers de la Société subissent un
incident de sécurité ou une autre interruption, la Société pourrait en subir les conséquences négatives. Bien que la
Société puisse avoir droit à des dommages-intérêts si les fournisseurs de services tiers de la Société ne respectent pas
leurs obligations en matière de protection de la vie privée ou de sécurité envers la Société, toute indemnisation peut être
insuffisante pour couvrir ses dommages, ou la Société peut ne pas être en mesure de recouvrer une telle indemnisation.
En outre, les attaques de la chaîne d’approvisionnement ont augmenté en fréquence et en gravité, et la Société ne peut
pas garantir que l’infrastructure de tiers dans sa chaîne d’approvisionnement ou celle de ses partenaires tiers n’a pas été
compromise.
Bien que la Société ait mis en œuvre des mesures de sécurité destinées à la protéger contre les incidents de sécurité, rien
ne garantit que ces mesures soient efficaces. La Société prend des mesures pour détecter, atténuer et remédier aux
vulnérabilités de ses systèmes d'information (tels que son matériel et/ou ses logiciels, y compris ceux des tiers dont elle
dépend). Toutefois, il se peut que la Société ne puisse pas détecter et remédier à toutes ces vulnérabilités, notamment en
