Les cyberattaques envers les entreprises, partout dans le monde, se multiplient. Au-delà de l’impact financier, la réputation des entreprises touchées est à reconstruire, d’autant que ces dernières sont responsables de la protection des données de leurs clients. Dans ce domaine, les PME françaises sont en retard, plus pas "manque de moyens et de temps" que "d’absence de prise de conscience", nous dit Cédric Cailleaux, Responsable Cellule Etudes et Conseils chez Axians.
Les entreprises françaises sont-elles en retard sur les questions de cybersécurité ?
Je ne suis pas persuadé que seules les entreprises françaises soient en retard, tout dépend des catégories d’entreprises. Les plus grosses ne le sont pas car elles sont plus sensibles au sujet. Elles sont la cible de beaucoup de cyberpirates donc plus à l’écoute. Ce sont les PME qui représentent les cibles plus faciles parce qu’elles n’ont pas ou mal été préparées et qu’elles n’ont pas les moyens de se prémunir des attaques. Du coup, elles sont à la traîne. Ce n’est pas un manque de prise de conscience mais une question de temps et implicitement de coût de mise en place de solutions adéquates.
Quels sont les impacts d’une cyberattaque sur les entreprises touchées ?
On pense bien sûr en premier au coût financier. Les premiers vecteurs d’attaques sont les logiciels malveillants catégorisés comme demandes de rançons, les ransomware. Mais ce n’est que la partie visible de l’iceberg. Il y a une multitude d’impacts dans la partie immergée. Sur l’image de l’entreprise par exemple, les conséquences sont terribles. Une entreprise touchée va devoir investir du temps, de l’énergie et de l’argent pour redonner confiance à ses clients. Son image est totalement dégradée. Et c’est sans compter l’impact juridique qui va se renforcer avec la prochaine directive européenne (1). Il y a deux ans, un laboratoire a été attaqué dans le sud de la France, les hackers ont récupéré les données des clients et ont menacé le laboratoire de les divulguer s’il ne payait pas la rançon. Le laboratoire n’a pas payé, les données ont été publiées. Or, ici, l’entreprise encours des sanctions pénales car les données, à caractère de santé, sont sous sa protection et donc sa responsabilité.
Comment mieux se protéger ?
La sensibilisation reste primordiale, surtout dans les PME. En parallèle de l’attaque type ransomware, il y a également l’escroquerie dite"au président" qui est une attaque de type ingénierie sociale (social engineering). Elle consiste à se faire passer pour quelqu’un de très important dans l’entreprise et de profiter de l’absence de ce dirigeant pour donner des ordres de virements. Plusieurs petites et grandes entreprises ont été flouées ces 10 dernières années par ce type d’arnaques. On peut leur apporter des solutions en mettant en place des processus internes de validation à double "facteur" comme faire valider une décision par deux personnes au minimum, par exemple mais surtout en faisant de la sensibilisation à la sécurité informatique.
Il est primordial de prendre en compte qu’il n’y a pas qu’une réponse technique sur l’approche du risque, il faut savoir ne pas cliquer sur un mail frauduleux. Pour les deux dernières cyberattaques mondiales, Wannacry et Petya, le vecteur d’attaque d’origine a été un mail. Il a donc fallu une personne qui clique sur le mail pour déclencher l’attaque et exploiter les vulnérabilités du système en lui-même. Il y a donc à l’origine une défaillance humaine en plus d’une vulnérabilité technique puisque les systèmes d’exploitation n’avaient pas été mis à jour malgré l’alerte de Microsoft quelques mois auparavant.
(1) Les entreprises ont jusqu’en mai 2018 pour appliquer la nouvelle réglementation européenne sur la protection des données personnelles. En cas de non-conformité, elles devront payer 4% de leur chiffre d’affaires mondial.
Propos recueillis par Marina Fabre @fabre_marina
