“La cybersécurité doit être l’une des pierres angulaires de chaque entreprise”
Un monde en mutation
La crise sanitaire a bouleversé le paysage numérique. Le télétravail est devenu la norme, alors que les outils numériques ont souvent représenté la solution pour les entrepreneurs désireux de maintenir leurs activités. “Hélas, les cybercriminels, toujours aussi opportunistes, ont profité de cette crise et de l’incertitude qu’elle a suscitée pour attaquer les organisations de manière encore plus ciblée”, observe Yannick Scheelen, Senior Manager Cybersecurity & Privacy chez EY Consulting. 2020 fut ainsi une année record pour les prises d’otage numériques, qui ont vu des hackers paralyser des entreprises ou des organisations pour exiger ensuite une rançon. L’année écoulée a été également marquée par une recrudescence notable du nombre de tentatives de phishing. “La plupart des collaborateurs sont moins vigilants quand ils travaillent depuis leur domicile que dans l’environnement sécurisé de leur entreprise. Les cybercriminels savent en profiter.” À cela s’ajoute le fait que, pour quantité d’entreprises, la priorité n’était pas à la cybersécurité. “Dans l’esprit de nombreux entrepreneurs, il s’agissait avant tout de faire en sorte que leur entreprise continue à tourner”, souligne Koen Machilsen, Executive Director chez EY Consulting. “La cybersécurité ne l’emportait clairement pas sur tout le reste.”
“Les cybercriminels, toujours aussi opportunistes, ont profité de la crise pour attaquer les organisations de manière encore plus ciblée.”
des organisations ont été victimes d’un cyberincident l’an dernier (EY Global Information Security Survey)
des organisations ont augmenté leur budget de cybersécurité cette année (EY Global Information Security Survey)
gère sa sécurité informatique en interne; l’expertise propre et la conviction que le coût d’une externalisation dépasserait les profits sont les principaux motifs invoqués pour ne pas s’adresser à un partenaire informatique externe (UNIZO Limbourg, rapport d’enquête 2020)
Impact
Des milliers d’attaques par jour
Face à une multiplication des cyberattaques, la cybersécurité trône désormais au sommet de la to-do list. “Les systèmes informatiques des grandes entreprises et organisations doivent parfois supporter des milliers d’attaques par jour: il faut les parer en continu”, commente Yannick Scheelen. Ces attaques proviennent du monde entier et sont de plus en plus ciblées. Alors qu’ils privilégiaient encore les très larges attaques il y a quelques années – dans l’espoir que quelqu’un finisse par tomber dans le piège – les cybercriminels préfèrent dorénavant se concentrer sur des personnes spécifiques, comme le responsable financier d’une entreprise. Le rythme de ces attaques ciblées s’accélère. Et elles s’avèrent nettement plus dangereuses. “La complexité des cybermenaces oblige les entreprises à s’armer sur plusieurs fronts, aussi bien technique qu’organisationnel, avec une bonne compréhension de leurs données cruciales, de leurs processus opérationnels clés et de la manière dont elles doivent mettre en œuvre des mesures de protection optimales”, note Yannick Scheelen
Voici une décennie, une cyberattaque n’avait en général que peu d’impact opérationnel. Tout au plus l’environnement informatique était-il paralysé un jour ou deux; les activités opérationnelles, quant à elles, se poursuivaient, bien qu’avec moins d’efficacité. Aujourd’hui, une cyberattaque ciblée paralyse complètement les entreprises et les organisations. Car la technologie s’impose en tant qu’élément fondamental des processus opérationnels clés et du service. L’automatisation connecte les environnements de production à des outils numériques qui permettent de piloter machines et installations à distance. Et cela n’a pas échappé aux cybercriminels. “Ne pas intégrer la cybersécurité dans ses activités opérationnelles, cela revient à attendre qu’un hacker retire la prise!”, conclut Yannick Scheelen.
Entreprendre en toute sécurité
Aussi pour les PME
Les grandes entreprises et organisations ne sont pas seules dans le collimateur des cybercriminels: une PME belge sur cinq a déjà été victime d’une cyberattaque, selon une enquête récente de l’Unizo. “Pour les cybercriminels, l’identité de l’entreprise qu’ils paralysent et qui leur verse une rançon n’a aucune importance”, indique Koen Machilsen. “En outre, les PME étant souvent des sous-traitants d’entreprises beaucoup plus grandes, une cyberattaque sur l’une d’elles peut être une porte d’entrée vers les multinationales pour lesquelles elle travaille.” Les PME sont fréquemment des maillons d’une chaîne logistique plus large. “Elles doivent donc pouvoir démontrer à leurs clients que leur service est cyberproof, par exemple pour garantir la continuité opérationnelle et les livraisons”, ajoute Yannick Scheelen
Plan de continuité ou de restauration?
Le plan de cybercontinuité entre en action dès que l’entreprise ou l’organisation est touchée par une cyberattaque susceptible d’avoir un impact sur ses activités. Ce plan de sauvegarde est destiné à préserver les services essentiels, après une attaque par ransomware par exemple. Le plan de restauration, quant à lui, inclut les différentes étapes à accomplir pour reprendre les activités normales après un incident. “L’entreprise ou l’organisation doit les établir à l’avance: au moment de l’attaque, il est trop tard!”, prévient Koen Machilsen.
La cybersécurité, pierre angulaire d’un programme de numérisation
“La priorité des PME est la croissance, mais elles ne sont pas toujours conscientes que la cybersécurité est un élément crucial pour garantir cette croissance.”
Pourtant, de nombreuses PME ne sont pas encore conscientes des risques. “Leur priorité est la croissance, mais elles ne réalisent pas toujours que la cybersécurité est un élément crucial pour garantir cette croissance”, souligne Koen Machilsen. “Pour rester compétitives, de nombreuses PME misent sur la numérisation, tant en interne que pour les services qu’elles proposent”, remarque Koen Machilsen. “Or, toute numérisation expose à des cyberattaques. Il est donc indispensable de faire de la cybersécurité une pierre angulaire de ses activités.”
Où commencer?
Identifiez les points faibles
Les entreprises qui désirent améliorer leur cybersécurité doivent d’abord identifier leurs points faibles. Cette analyse constituera la base d’un plan stratégique incluant toutes les priorités, ainsi que les étapes, outils et ressources financières nécessaires pour atteindre le niveau de cybersécurité visé. “Il s’agit surtout de définir des priorités sur la base du risque, du coût et de l’impact de chaque intervention”, précise Yannick Scheelen.
Si le plan spécifique diffère d’une entreprise à l’autre, certaines priorités bien concrètes se retrouvent chez la plupart d’entre elles:
- Sensibiliser aux risques les collaborateurs, et spécifiquement ceux du service financier (pour éviter les fraudes à la facture, par exemple)
- Remédier à l’utilisation de mots de passe faibles et investir dans une authentification forte
- Identifier les systèmes informatiques et technologies dont votre cœur d’activité est le plus tributaire afin d’en faire vos priorités
- Recourir au piratage éthique ou au red teaming pour tester la robustesse de votre environnement informatique et technologique.
- Développez des capacités de Computer Security Incident Response (CSIRT) pour détecter les attaques et les parer avant qu’elles n’aient des conséquences irréparables
- Former le management à la gestion d’une cybercrise et établir un plan de continuité solide
- Veiller à ce que la cybersécurité soit partie intégrante des nouveaux projets et initiatives
Quatre formes de cybercriminalité
Phishing
les victimes sont attirées, souvent par un e-mail, sur un faux site Web qui est la copie conforme d’un véritable site. Elles s’y connectent sans rien soupçonner et livrent ainsi leurs données de connexion et souvent leurs données bancaires.
Spear phishing
attaque de phishing ciblée sur un individu, une entreprise ou une organisation.
Ransomware
des pirates installent un logiciel dans les systèmes informatiques d’une entreprise et paralysent ainsi l’ensemble des processus opérationnels et de production. Le cybercriminel demande ensuite une rançon pour débloquer le tout.
Fraude au CEO
forme de fraude à la facture consistant à essayer de faire virer des fonds sur le compte bancaire de l’escroc. Celui-ci se fait passer pour le CEO ou un autre directeur haut placé d’une entreprise.
Contact