Se protéger des cyberattaques

Actualités

Les cyberattaques se développent depuis quelques années. Eric Gregori, responsable du développement commercial auprès des entreprises, revient sur cette nouvelle criminalité qui vise tout type de structures et de sociétés.

Au début, les victimes de cyberattaques et de tentatives en parlaient peu. Elles redoutaient des incidences sur l’image de marque, une moindre confiance voire des pertes de marché. Aujourd’hui, la presse relaie les attaques majeures, comme celle d’octobre 2016 qui a paralysé une partie du web américain (Netflix, Twitter, Spotify, Amazon, eBay ainsi que des sites de médias comme CNN ou le New York Time).

En France, différents services et structures disposent d’un service dédié à la cybercriminalité, telle la Gendarmerie nationale. A la demande, ses équipes organisent des réunions d’informations pour sensibiliser les chefs d’entreprises mais également les responsables de la sécurité des systèmes d’information (RSSI) à l’intérêt de protéger leur système.
Toutes les entreprises sont concernées. La question n’est plus « est-ce qu’on va être attaqué » mais « quand est-ce qu’on sera attaqué ».

Deux pourcentages sont assez symptomatiques :

  • 76% des RSSI pensent qu’il n’est pas nécessaire de souscrire une cyber-assurance ou que celle-ci représente un coût trop élevé pour l’entreprise.
    Au contraire, il devient indispensable d’intégrer une cyber-assurance dans son plan de sécurité informatique mais pas à n’importe quel prix bien sûr ! Le coût sera maîtrisé en fonction des solutions de protection préexistantes voire améliorées.
  • 33% des RSSI ne connaissent pas la position de leur entreprise vis-à-vis de cette question.
    D’où la sensibilisation des chefs d’entreprises. L’un d’eux nous a indiqué : « J’ai demandé à mes équipes de supprimer complètement certains risques, c’est fait à ce jour. Pour les risques résiduels, je vais me couvrir, si je le peux, contre les risques majeurs. Si c’est financièrement acceptable, je vais me garantir pour un montant cohérent avec notre budget informatique ».

Piratage de données et demande de rançon

Les hackers recherchent soit de l’argent, soit des données. Le piratage des fichiers clients représente l’un des cyber risques majeurs, car ils obtiennent les noms des clients, leurs coordonnées, leur numéro de carte bleue… On ignore en général la finalité de l’attaque : est-ce qu’ils utilisent directement le fichier ? Est-ce qu’ils le revendent ?
Selon les données volées, la victime doit en plus en informer ses propres clients, ce qui ternit son image.

Le deuxième type de cyber risque concerne les crypto-lockers : il s’agit de virus envoyé dans un mail anodin qui se propage sur tout le système informatique et paralyse l’ensemble du système : les ordinateurs, les serveurs, le cloud… Une fois que la société est totalement bloquée, les hackers demandent une rançon (ransomware) en échange du décryptage des données. Ils peuvent demander 10 000 euros à une PME et beaucoup plus à une grande structure. Le paiement de la rançon ne garantit pas la récupération des données, bien au contraire…

Eduquer les collaborateurs dans l’entreprise

Eduquer c’est prévenir les risques (en être conscient, prendre les mesures préventives), être capable de détecter une survenance, être en mesure d’en maîtriser voire d’en diminuer l’impact.
Face à cette criminalité, qui devient de plus en plus présente, il existe deux types de prévention :

  • Renforcer voir éduquer les utilisateurs aux bonnes pratiques concernant les mails, la navigation sur internet et l’utilisation de clés USB.
  • Sauvegarder ses données correctement et fréquemment. La sauvegarde physique est souvent préconisée pour limiter tout cyber risque car, dans certains cas, le cloud peut avoir ses limites.

Audit et test pour révéler les failles du système

Par ailleurs, il existe des contrats d’assurance pour couvrir ces nouveaux risques. Des contrats sur-mesure que Montmirail élabore après un audit complet du système informatique.

Le courtier fait appel à un professionnel expérimenté et agréé qui évalue le risque informatique. En accord avec le client et après avoir signé une lettre de mission ainsi qu’un accord de confidentialité, il peut même lancer un test de cyber attaque pour révéler les failles.
Le but n’est pas de pointer du doigt celles-ci, mais au contraire, de les résorber et d’améliorer ainsi la protection en place.

De nouveau des chiffres révélateurs :

  • Dans 60% des cas, il ne faut que quelques minutes pour que les attaquants compromettent un système,
  • Dans 43% des cas, il faut également quelques minutes à la victime pour se rendre compte de la compromission,
  • Enfin, dans 70% des cas, la victime contient l’incident entre quelques heures et quelques jours.

Des contrats avec des garanties adaptées aux besoins

L’objectif est de montrer, en collaboration avec le client, les faiblesses et d’identifier les correctifs à apporter, au niveau du matériel, de la mise à jour de logiciels ou de l’usage par exemple. Avec cet audit et un questionnaire détaillé, Montmirail évalue les besoins de l’entreprise : y a-t-il un risque concernant le fichier clients ? L’image de marque ? Ou un éventuel manque à gagner de chiffre d’affaires ?

Montmirail analyse l’ensemble de ces données avant de proposer un contrat avec des garanties adaptées.
S’il existe une prise de conscience, toutes les entreprises ne sont pas encore prêtes à souscrire ce type de contrat. Pourtant, la charge qu’il représente reste bien minime face au préjudice subi. Ce type de couverture se démocratisera dans les années à venir, face à l’ampleur du risque…

Vous êtes intéressé ? Contacter l’équipe de Montmirail pour avoir plus de renseignements.

Cadenas

linkedin

Eric Gregori