Cyberattaques : à quelles menaces les entreprises doivent-elles se préparer ?

Dans nos sociétés hyper-connectées, les enjeux liés à la sécurité numérique n’ont jamais été aussi importants. De plus en plus dépendantes des technologies de l’information et de la communication, les entreprises doivent désormais se préparer aux risques de cyberattaques.

Porteuses de croissance et d’innovation, les technologies de l’information et de la communication n’en sont pas moins vulnérables et peuvent faire l’objet d’attaques malveillantes. En 2018, un nouveau degré d’intensité a ainsi été atteint. Dans les sept pays que sont l’Allemagne, la Belgique, l’Espagne, les Etats-Unis, la France, les Pays-Bas et le Royaume-Uni, 61 % des entreprises, soit trois sur cinq, ont été la cible d’une ou plusieurs cyber-attaques.

Bien que conscientes des risques liés à la cybercriminalité, peu d’entreprises y sont  correctement préparées. En France par exemple, un rapport publié en 2019 par le groupe d’assurances spécialisées Hiscox, rapporte que 81 % des entreprises peinent à instaurer une stratégie de cybersécurité adaptée. Preuve la plus flagrante de ce manque de préparation : les dépenses en matière de cybersécurité ne représentent que 5 % de leur budget informatique.

Bien que conscientes des risques liés à la cybercriminalité, peu d’entreprises y sont  correctement préparées. En France par exemple, 81 % des entreprises peinent à instaurer une stratégie de cybersécurité adaptée.

Parmi les cibles des malveillants : les TPE et PME, qui n’ont pas toujours les ressources suffisantes pour mettre en place des stratégies de cyber-sécurité adaptées et efficaces. Un point pourtant crucial pour assurer la protection de leurs données, de leurs compétences et de leurs avantages concurrentiels.

Reste qu’il est encore difficile pour les entreprises d’appréhender ce que recouvre la cybersécurité — tant elle est plurielle —, et d’identifier correctement les  risques auxquels elles s’exposent.

Commençons donc pas un rappel des termes. Également appelée “sécurité des systèmes informatiques et électroniques”, la cybersécurité  désigne l’ensemble des dispositifs mis en place pour assurer l’échange et le stockage des informations numériques de manière sécurisée. Les éléments à protéger sont donc aussi bien les supports de stockage  — sites, bases de données, communications électroniques, transactions dématérialisées —, que les “émetteurs”, les “récepteurs” et les réseaux permettant d’établir un lien entre les informations (Wifi, Bluetooth…).

Quatre types de risques cyber menacent les entreprises

Qu’il s’agisse d’espionner une entreprise, de nuire à son image ou encore de saboter ses services informatiques, les cyber-attaques se limitent rarement à une seule technique. Voici les quatre principales menaces auxquelles font face les entreprises selon la classification faite par  l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) :

• L’atteinte à l’image : Lancées contre des entreprises ou des administrations, ces attaques de déstabilisation visent à prendre le contrôle des systèmes d’information, à divulguer des informations ou encore à défigurer un site internet dans le but de nuire à l’image de l’entreprise visée.
• La cybercriminalité : il s’agit des attaques visant à obtenir des informations afin de les exploiter ou de les revendre. Les techniques les plus utilisées sont l’hameçonnage (phishing) et le «Rançongiciel» (ransomware).
• L’espionnage : ici  le malveillant capte  des informations stratégiques de l’entreprise.  Très ciblées et sophistiquées, ces attaques sont souvent utilisées pour l’espionnage à des fins économiques et peuvent avoir de lourdes conséquences pour les intérêts nationaux. Sans compter qu’il faut parfois des années à une organisation pour s’apercevoir qu’elle est victime d’espionnage.
• Le sabotage informatique s’apparente à une “panne organisée”, frappant tout ou une partie des systèmes d’information d’une organisation, selon le type d’atteinte recherchée : désorganisation durable ou non, médiatisée ou non, plus ou moins coûteuse à réparer.

Les tendances généralement observées par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) attribuent plutôt la déstabilisation aux hacktivistes, le rançongiciel et l’hameçonnage aux cybercriminels et l’espionnage aux concurrents et aux États. Néanmoins, des attaques simples peuvent être le fait d’États et des attaques complexes le fait de groupuscules ou de structures criminelles organisées.

Sécurité numérique : la compréhension des cyber-risques est essentielle

Avec  l’entrée en vigueur du Règlement général sur la protection des données (RGPD) en mai 2018, la question de la cybersécurité est devenue de plus en plus pressante. Cette législation européenne impose en effet aux entreprises de l’Union Européenne de garantir la sécurité des données de leurs employés, partenaires et clients, sous peine de recevoir une sanction qui peut représenter jusqu’à 4 % de leur chiffre d’affaires mondial.

Il est donc essentiel pour les entreprises de  mettre en place un certain nombre d’outils de prévention, de détection, d’analyse ou encore de correction. Une attention toute particulière doit notamment être portée à la formation des équipes. En effet, le maillon humain est encore trop souvent négligé. Un paradoxe quand on sait que l’utilisateur derrière son écran peut aussi bien être un maillon faible de la chaîne de sécurité des données que l’un des meilleurs remparts face aux risques informatiques.