PME, TPE, Grandes Entreprises : toutes concernées par la cybersécurité

Les entreprises de plus en plus victimes  des cyberattaques

Plus d’attaques et moins de ciblage. C’est le constat que nous faisons de la cybercriminalité en ce début 2017.  D’après une étude de « l’Usine Nouvelle » menée sur 374 entreprises françaises, plus de la moitié des petites structures interrogées ont été touchées par une attaque en 2016 (soit +13,4 points sur un an). Et près d’un tiers des PME attaquées font état d’un impact financier, contre 7,2 % des grandes entreprises.

Au total, ce n’est pas moins de 56 % des entreprises industrielles interrogées qui reconnaissent avoir été victimes d’attaques informatiques au cours de l’année.

Ces éléments montrent bien l’ampleur du phénomène : des attaques de plus en plus fréquentes et indifférenciées auxquelles les entreprises doivent faire face, quelles que soient leurs tailles. L’objectif est clair : récupérer les données sensibles : données financières, fichiers clients… Petites, moyennes, grandes, le bilan est immédiat : les entreprises doivent se préparer pour limiter au maximum les risques liés à une attaque informatique.

La sécurisation des données doit donc devenir une préoccupation majeure. Malgré une prise de conscience des RSSI (Responsables de la Sécurité des Systèmes d’Information), les méthodes employées ne sont pas suffisantes et devraient impliquer tous les acteurs d’une entreprise. Tout salarié peut être une cible et un vecteur de risque potentiel. C’est pourquoi, les données sensibles doivent être sécurisées de façon fiable.  Des solutions existent et permettent de se protéger efficacement des différents types d’attaques.

Quelles sont les attaques informatiques que les entreprises rencontrent ?

Face à l’explosion de la cybercriminalité (+48% entre 2015 et 2016) les entreprises se doivent de réagir vite afin de garantir la sécurité de leurs données. Ainsi, comme nous l’indique Philippe Trouchaud, associé PwC spécialiste de cybersécurité, « En France, les entreprises ont subi en moyenne 21 incidents/jour en 2015 ».

Les objectifs des cyberattaques sont divers

• Le vol ou la destruction de données, grâce à des logiciels malveillants (malware) et à l’hameçonnage,
• Des demandes de rançon en échange de la restitution des données piratées « ransomware». L’incidence de telles pratiques peut être déterminante sur la pérennité et la santé financière des entreprises. Afin de donner un ordre d’idée, en 2016, le coût moyen lié à une cyberattaque représente en moyenne 772 942 d’euros par entreprise (source : NTT Com Security)

Un impact financier et en termes d’image pour l’entreprise visée

Au-delà de l’impact financier, les dégâts en termes d’image et de réputation peuvent être désastreux. Par exemple, en 2011, Sony, victime d’une faille de sécurité, a vu ses données utilisateurs compromises. La défiance qui en résultat eut pour conséquence une chute de 8% de ses actions en une semaine, soit un préjudice financier de 24 milliards de dollars.

Un niveau de sécurité informatique trop limité pour les PME et TPE française

Comme le soulignait Stephane Richard (PDG d’Orange) au FIC (Forum international sur la cybersécurité) : « La cybersécurité ne concerne pas que les grands groupes. Il y a aussi un enjeu important, celui des PME. » Les petites et moyennes entreprises sont donc également visées par les cyberattaques. Malheureusement, elles sont moins bien protégées que les grandes entreprises.  Elles subissent donc un coût supérieur en cas d’attaque. Se croyant à l’abri des attaques de par leur taille limitée, leur secteur d’activité ou leur emplacement géographique, les PME et TPE françaises n’ont pas de système de sécurité informatique très performant.

Et pourtant. Ces entreprises sont tout aussi touchées que les autres par des attaques larges et indiscriminées, comme les ransomwares (qui chiffrent les données et exigent une rançon en échange de la clef).

L’erreur ou l’imprudence des collaborateurs comme source de préoccupation

Lorsqu’on interroge les entreprises sur les menaces potentielles, c’est bien l’humain qui apparaît comme le maillon faible de la sécurité.  57% des entreprises craignent avant tout l’erreur ou l’imprudence de leurs collaborateurs dans les menaces potentielles (Etude Usine Nouvelle et Orange).

Pourtant des opérations assez simples à mettre en place peuvent limiter dans un premier temps le risque d’attaque grave sur les systèmes informatiques.

Les solutions de prévention des attaques sont multiples :

• La sécurisation des passerelles entre les ordinateurs de la société et Internet,
• La prévention de l’infection des systèmes par l’action des utilisateurs, qui au passage, doivent bénéficier de formations adéquates sur les bonnes pratiques de sécurisation (mots de passe, ouverture des pièces jointes, connexion wifi public…),
• La limitation des accès administrateurs, sur un principe de « moindre privilège »,
• La création d’un mot de passe complexe (voir les recommandations de l’ANSSI), un facteur important à la protection des données,
• La mise à jour fréquente des logiciels et systèmes informatiques (CMS…),
• L’utilisation de boites mails sécurisées (comme Exchange Online par Openhost, par exemple : avec des solutions anti-spam, anti-virus, signature de mails),
• L’exploitation d’un hébergement sur des serveurs cloud qui bénéficient de niveau de sécurité optimal. D’un côté, les entreprises externalisent leurs systèmes informatiques chez des hébergeurs experts, qui disposent de certifications de sécurité (ISO 27001) et de techniques de sécurisation des infrastructures poussées. De l’autre côté, les entreprises peuvent stocker des données chez des hébergeurs français qui garantissent la confidentialité des données (VS les hébergeurs américains soumis au Patrioct Act),
• Les prestations telles que le Plan de sauvegarde ou mieux, le Plan de Reprise d’Activité sont des solutions viables pour toutes les entreprises. Elles garantissent la continuité d’activité malgré une attaque paralysant le système. Le PRA permet, en cas de perte de données, d’orchestrer les opérations de bascule pour que l’activité de l’entreprise ne s’arrête pas.
• Enfin, les entreprises ne doivent pas hésiter à avoir recours à des prestataires extérieurs pour être accompagnées sur ces problématiques de sécurité informatique.

Le manque d’expertise en sécurité informatique en cause

Car nous le voyons, les solutions mises en œuvre sont encore malheureusement trop faibles. Seule 53,7% des entreprises ont augmenté le budget alloué à la sécurité informatique en 2017.  La cause évoquée le plus souvent est le manque de professionnels informatiques qualifiés pour prévenir, détecter et stopper les éventuelles pertes de données liées aux cyberattaques.  D’où la nécessité de se tourner vers des sociétés de conseil extérieures ou de faire appel à des hackers éthiques qui réaliseront des tests de vulnérabilité.

Dans tous les cas, la problématique des attaques informatiques ne peut désormais être ignorée des entreprises.  Il en va de leur santé financière et de leur réputation sur le marché.

Si nous devions finir par quelques conseils de base, nous vous recommanderions donc de vous entourer d’experts (hébergeur, société de conseil), d’adopter des règles informatiques strictes auprès des collaborateurs, d’effectuer vos mises à jour, protéger vos réseaux et enfin, envisager un plan de sauvegarde de vos données.

A bientôt !