Cybersécurité : comment protéger son entreprise ?

Dans ce contexte, les TPE-PME font office de cibles de choix pour ceux animés d’intentions malveillantes. C’est pourquoi KPMG Pulse vous propose quelques conseils sur la façon de protéger votre entreprise, sur la conduite à tenir en cas de cyberattaque et sur la nécessité de se faire accompagner, le cas échéant.

Cybersécurité : protéger votre entreprise, une nécessité !

Hameçonnage, usurpation d’identité, fausses factures, vol de données ou de secrets industriels, demande de rançon au moyen de « rançongiciels »… Les risques qui pèsent sur les entreprises sont nombreux. À ce titre, les TPE-PME sont particulièrement vulnérables, leur dimensionnement ne leur permettant pas, la plupart du temps, d’assurer leur sécurité, par manque de formation de leurs équipes ou en raison d’insuffisance de moyens techniques.

Pourtant, de simples précautions peuvent faire une grande différence : utilisation d’anti-virus, de pare-feu, sauvegardes des données, mises à jour régulières des logiciels d’exploitation… des pratiques anodines qui permettent déjà d’établir des fondations solides pour sa sécurité.

Mais il est important de comprendre que la cybersécurité ne se joue pas uniquement sur la protection de son matériel informatique. La fragilité qu’un pirate souhaitera le plus souvent exploiter sera celle de l’utilisateur. Il est donc très important de sensibiliser et de former ses collaborateurs, pour éviter qu’une simple erreur ne mette en péril la sécurité de votre entreprise.

Le mot de passe

La configuration des mots de passe est l’un des points les plus évidents quand il est question de cybersécurité. Quelques règles simples sont à observer au moment de les choisir. Ainsi, un mot de passe doit être :

• unique et propre à chaque salarié ;
• composé de plusieurs types de caractères différents (majuscule, minuscule, chiffre, caractères spéciaux) ;
• libre de toute information personnelle (date de naissance, prénoms des enfants, lieu de résidence, etc.).

Sachez qu’il est possible d’utiliser des générateurs ou des coffres-forts de mots de passe pour une sécurité optimale.

La boîte mail

La boîte mail, outil professionnel quotidiennement utilisé, peut constituer une des failles principales pour la cybersécurité d’une entreprise. Les utilisateurs doivent être sensibilisés pour apprendre à être méfiant et critique au sujet de ce qui peut arriver sur leur boite mail.

Bien que des solutions techniques existent pour bloquer l’arrivée de courriels frauduleux, certains passeront néanmoins et la vigilance d’un collaborateur pourrait, de ce fait, être le dernier rempart pour se protéger.

Quelques indices simples peuvent permettre de déceler un courriel frauduleux :

• un expéditeur inconnu ;
• une adresse électronique qui n’a rien à voir avec le sujet ;
• une syntaxe approximative ;
• un lien dont la destination est dissimulée par un bouton cliquable, ou un lien modifié ;
• un caractère d’urgence dans la demande de l’interlocuteur ;
• un courriel émanant d’une adresse connue mais rédigée dans une langue qui n’est pas celle habituellement employée par l’interlocuteur ;
• une absence de personnalisation du contenu du message.

Les déplacements professionnels

Autre source importante de risque : les déplacements professionnels. Mais, là encore, plusieurs précautions de bon sens permettent simplement de minimiser la probabilité d’une intrusion malveillante dans les systèmes d’informations de l’entreprise.

Par exemple, il est recommandé d’utiliser du matériel informatique dédié pour les déplacements, afin de limiter les données sensibles qui sont transportées et plus exposées à un vol. Idéalement, un accès à distance aux données de l’entreprise constitue une sécurité d’autant plus importante.

De la même façon, il est déconseillé de se connecter à des réseaux publics (gares, hôtels, bar et restaurants), les autres utilisateurs du réseau pouvant plus facilement accéder à tous les matériels connectés et leur contenu.

Cybersécurité : que faire en cas d’attaque cyber ?

Si la prévention échoue et que l’entreprise se retrouve malgré tout victime d’une cyberattaque, il peut encore être temps de limiter les conséquences de l’évènement.

Pour commencer, ne pas céder à la panique, notamment si vous êtes amené à faire face à un rançongiciel : il s’agit d’une attaque qui va bloquer l’usage d’un ordinateur ou en crypter les données tant qu’une somme n’aura pas été payée au pirate (celui-ci se faisant parfois passer pour un réparateur informatique proposant son aide pour résoudre une avarie).

Dans une telle situation, il est vivement conseillé de ne pas céder à la demande de paiement, puisque rien ne garantit que les données soient par la suite retrouvées ou que l’ordinateur soit débloqué.

Il faut en priorité déconnecter le matériel touché du réseau de l’entreprise afin d’éviter une propagation de l’attaque. Et si l’entreprise est suivie par un professionnel qui gère les systèmes, il doit immédiatement être contacté.

Ensuite, il sera nécessaire de constituer un dossier regroupant les preuves de cette cyberattaque en vue d’éventuelles poursuites judiciaires et de procéder à un dépôt de plainte.

Un point doit également être gardé à l’esprit, dans l’hypothèse où un pirate a accès aux données de l’entreprise : il peut être soustrait des données à caractères personnel concernant ses partenaires, clients ou salariés. Il sera alors obligatoire de se rapprocher de la Commission nationale de l’informatique et des libertés (CNIL) afin de l’avertir de cette violation des données.

Concrètement, dans les 72 heures suivant l’évènement, l’entreprise devra informer la CNIL de la violation, de la nature des informations piratées, des conséquences probables et des mesures prises pour atténuer les conséquences de cet évènement.

Précisons également que si l’incident représente un risque élevé pour la vie privée des personnes concernées, ces dernières doivent également être notifiées de ce vol.

Cybersécurité : se faire accompagner par des spécialistes

Là où les précautions de bon sens ne suffisent pas, il est opportun de faire appel à des spécialistes pour maximiser la protection de son matériel et améliorer sa capacité de réaction et de réponse en cas d’attaque.

Mais comment trouver un professionnel compétent et de confiance ?

Pour que ce choix puisse être fait de manière sereine, un label a été mis en place en 2021. Il s’agit de la certification ExpertCyber.

Les professionnels certifiés ont vu leurs compétences testées afin de garantir qu’ils offrent un service de qualité dans les domaines suivants :

• systèmes d’information professionnels ;
• téléphonie ;
• sites Internet.

Cybersécurité : utiliser les outils fournis par l’administration

L’administration propose de nombreux outils pour assister les professionnels et garantir la sécurité de tous les utilisateurs. Voici une sélection de ceux qu’il vous faut connaître :

• les plateformes en ligne (THESEE, Pharos, etc.) permettant le dépôt de plainte pour les cyberattaques ; les voies traditionnelles (commissariat, gendarmerie, parquet) restant parfaitement utilisables ;
• le guide de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et de la Direction générale des entreprises (DGE) à destination des TPE et PME pour faire l’état des lieux de sa cybersécurité ;
• le formulaire de signalement à la CNIL en cas de violation de données personnelles ;
• le site PHAROS permettant de signaler une tentative d’escroquerie ;
• le dispositif Alerte Cyber, par lequel le Gouvernement et les organismes interprofessionnels peuvent alerter les TPE-PME sur un risque cyber particulier.

En conclusion

Il est primordial de comprendre que la cybersécurité de l’entreprise est l’affaire de tous ses collaborateurs et que la formation, la vigilance et le bon sens constituent des protections aussi importantes qu’un solide système d’information.

Il ne faut pas pour autant négliger le fait de s’entourer de professionnels de référence compétents et informés pour parfaire sa sécurité et ainsi, éviter les conséquences graves qui peuvent suivre une cyberattaque.

Sources :

• La Cybersécurité pour les TPE/PME en 13 questions | entreprises.gouv.fr
• Administration numérique -Escroquerie ou arnaque sur Internet : il est désormais possible de porter plainte en ligne | Service-public.fr
• Cédric O présente le nouveau dispositif d’alerte des entreprises en cas d’incident cyber majeur – Assistance aux victimes de cybermalveillance
• Multiplication des attaques par rançongiciel : comment limiter les risques ? | CNIL
• Notifier une violation de données personnelles | CNIL
• Confiance, qualité, expertise : le label ExpertCyber – Assistance aux victimes de cybermalveillance
• Entreprises : comment protéger vos données sensibles lors de vos déplacements à l’étranger ? | economie.gouv.fr