Les entreprises démunies face à la multiplication des cyberattaques

 |   |  850  mots
Les ETI sont les plus touchées et les plus vulnérables. Mais bizarrement seule 1 sur 10 d'entre elles est couverte contre le risque cyber alors même qu'elles le sont toutes contre le risque incendie.
Les ETI sont les plus touchées et les plus vulnérables. Mais bizarrement seule 1 sur 10 d'entre elles est couverte contre le risque cyber alors même qu'elles le sont toutes contre le risque incendie. (Crédits : DR)
OPINION. Longtemps réservée aux romans de science-fiction, la cyberguerre ou cybercriminalité constitue désormais une menace de plus en plus sérieuse pour les entreprises, les administrations et même les individus. Par Antoine Denry, directeur stratégie de H+K Strategies Paris, professeur au Celsa et à l’Université Panthéon-Sorbonne et Laurence Bault, directrice chez H+K Strategies Paris, et membre de l’AEGE, le réseau d’experts en intelligence économique.

Au cours des dernières années, les attaques informatiques ont littéralement explosé. Que les chiffres proviennent du ministère de l'Intérieur ou du dernier rapport du Cesin, il est établi que 8 entreprises sur 10 ont été victimes d'au moins une cyberattaque durant la dernière année. La moitié de ces entreprises ont même subi au moins quatre cyberattaques sur les 12 derniers mois. Ce n'est plus un risque ou une menace, c'est une crise avérée, une guerre ouverte qui se joue.

Vulnérabilité accrue

Avec les processus de digitalisation mis en place par les entreprises et l'essor du cloud computing, la vulnérabilité des entreprises s'est nettement accrue. Les attaques sont toujours plus ciblées et sans cesse renouvelées, à la portée de petits génies de l'informatique, ou de criminels pouvant récupérer des logiciels d'intrusion sur le dark web ou à même de maîtriser les techniques de manipulation. Avec un objectif : maximiser l'impact des attaques sur le monde physique (coupures d'électricité, de distribution d'eau etc.).

De la récupération de données au défacement [forme de détournement d'un site web, Ndlr] et à la demande de rançon voire au sabotage, les attaques peuvent venir de groupes d'individus, y compris éthiques, de mafias, de groupes terroristes ou d'États. On le voit de manière claire dans la confrontation actuelle entre les États-Unis et l'Iran : selon les données recueillies par le fournisseur de services de sécurité Check Point, la semaine qui a suivi l'opération contre Soleimani, des pirates iraniens se sont attaqués à 35 entreprises, notamment américaines et israéliennes.

De lourdes répercussions

Les ETI sont naturellement les plus touchées et les plus vulnérables. Mais bizarrement seule 1 sur 10 d'entre elles est couverte contre le risque cyber alors même qu'elles le sont toutes contre le risque incendie. Et pourtant l'impact de ce type d'attaque peut avoir de lourdes répercussions sur le compte d'exploitation de l'entreprise et peut même l'entraîner jusqu'à sa faillite.

On se souvient de l'épisode Saint-Gobain qui avait dû arrêter ses systèmes de production pendant quatre jours à la suite d'une attaque du virus « NotPetya » en 2017 : 250 millions d'euros de chiffre d'affaires partis en fumée pour un coût de 80 millions d'euros sur le résultat d'exploitation. Depuis, les attaques se sont accélérées : de Fleury-Michon à Eurofins, Airbus ou Altran pour ne citer qu'elles, sans parler de toutes celles qui n'ont pas d'écho médiatique mais qui n'en sont pas moins dévastatrices. Une récente étude de RSM montre ainsi que 39% des grandes entreprises européennes admettent avoir été victimes d'une cyberattaque et que dans 75% des cas celle-ci n'a pas été rendue publique.

Des stratégies pas encore à la hauteur des enjeux

Reflet de ces chiffres effrayants, 41% des chefs d'entreprise considèrent le risque cyber comme le 1er risque couru par leur entreprise en raison de la menace critique qu'il fait peser sur la continuité de ses activités et sur sa réputation (Baromètre des risques Allianz 2019). Et paradoxalement les stratégies mises en place ne sont pas à la hauteur de l'accélération de la menace : la cybersécurité est encore trop souvent vue comme une affaire technique. Comme si les entreprises subissant une cyberattaque étaient encore vues comme des victimes !

Ce temps-là est révolu : leurs publics leur reprochent désormais un manque de préparation. Au-delà des pertes liées à l'arrêt de l'activité, d'autres dommages sont en effet à prendre en compte. C'est notamment l'image des sociétés victimes qui est souvent dégradée auprès des clients et partenaires à la suite d'une défaillance de sécurité. Une étude du cabinet PwC a d'ailleurs montré que 87% des consommateurs sont prêts à rompre leur contrat avec une société qui affiche une faille informatique.

Impliquer l'ensemble des salariés

Même si les entreprises ne peuvent se prémunir à 100% contre les risques de cyberattaques, ne rien faire n'est pas une option. Le risque zéro n'existe pas, le critère à considérer est celui du coût de l'attaque par rapport aux dommages causés. Il vaut mieux ainsi parler de cyber immunité plutôt que de cybersécurité, ce qui suppose d'impliquer réellement l'ensemble des salariés dans l'application des procédures et de faire porter le projet par le top management pour qu'il investisse en conséquence et mobilise toutes les strates de l'entreprise.

La vitesse, qui est la base des technologies de l'information, et la sécurité sont difficilement compatibles. C'est la raison principale pour laquelle, en dépit d'investissements conséquents en cybersécurité, une entreprise est toujours vulnérable à une attaque. Il faut par conséquent s'y préparer et surtout envisager la continuation de l'activité. Les entreprises les mieux préparées à ce type de crise sont souvent celles qui en ont déjà traversé un. Elles adoptent la politique du « plus jamais ça » et se mettent ainsi dans les meilleures conditions pour y répondre.

Réagir

Votre email ne sera pas affiché publiquement
Tous les champs sont obligatoires

Commentaires
a écrit le 23/01/2020 à 8:33 :
La France des clochers et du pastis ne pourra jamais s'adapter au monde qui vient.
a écrit le 22/01/2020 à 21:48 :
Sommes nous suffisamment crédules pour avoir pensé un instant que les autoroutes des données ne comportaient aucune bretelle de sortie...ni aucune sortie de sécurité dont seuls quelques uns ont les clés ? Nous avons un rêve qui est en train de devenir un cauchemar.Pour vivre heureux, vivons cachés... d'internet.
a écrit le 22/01/2020 à 17:13 :
On va finir par croire que cela fonctionner mieux avant l'apparition d'internet? On essaye toujours de faire vos fond de poche!
a écrit le 22/01/2020 à 16:43 :
Article étrange. Les entreprises ne sont pas démunies face aux risques cyber : elles récoltent ce qu'elles sèment !
Les problèmes principaux sont, sans ordre particulier, la non affectation de moyens (financiers et autres), la sous-évaluation des risques, l'absence de sensibilisation des personnels, l'absence de formation des développeurs, l'absence de contrôles adéquats, qui résultent globalement de la mauvaise compréhension du sujet par la Direction.
En outre, 90% des attaquants ne sont pas des "petits génies" mais des individus qui utilisent des outils faits par ailleurs et exploitent majoritairement les nombreuses erreurs commises par des utilisateurs peu ou pas sensibilisés et des administrateurs mal formés.
a écrit le 22/01/2020 à 14:00 :
On va finir par croire que cela fonctionner mieux avant l'apparition d'internet? On essaye toujours de faire vos fond de poche!
a écrit le 22/01/2020 à 12:54 :
Quand un site web peut nous renvoyer notre mot de passe en clair (sur l'adresse mail qu'ils connaissent, donnée quand on s'est inscrit) quand on l'a oublié, c'est grave, ça veut dire qu'il est stocké tel quel et en cas de piratage, librement accessible aux hackeurs, phisheurs, fraudeurs, .... (revendu sur le 'darkweb'). La pratique vertueuse, quand il est stocké crypté, est de proposer de le réinitialiser vu que nul ne peut le "décrypter", juste comparer celui qui est stocké crypté à celui qu'on saisit, une fois crypté (selon le même algorithme).

Merci pour votre commentaire. Il sera visible prochainement sous réserve de validation.

 a le à :