Quelle est la première étape pour se protéger des cyberattaques ?

L’entreprise doit en premier lieu réaliser l’inventaire des actifs qu’elle possède comme les postes de travail, les serveurs, les applications ou encore les données.

Une fois cet inventaire réalisé, elle doit évaluer le niveau de protection qu’elle met en place par rapport à ses actifs. Pour réaliser cette évaluation du niveau de protection, des guides de bonnes pratiques existent. L’ANSSI a notamment publié le guide d’hygiène de sécurité, recensant l’essentiel des mesures à appliquer sur le système d’information d’une entreprise pour assurer un niveau de protection acceptable.

Quelles mesures rapides peuvent être prises ?

Différentes mesures peuvent être prises :

• Sensibiliser les collaborateurs au risque cyber : car ils sont les premiers remparts face à ces risques. La sécurité fait appel à un vocabulaire très technique. Il est nécessaire de leur expliquer comment cela fonctionne de manière simple, pour eux et pour l’entreprise.
• S’assurer que tous les systèmes d’information sont mis à jour, car des vulnérabilités sont découvertes de façon continue sur les systèmes d’information.

Pour cela, la DSI doit s’assurer que les mises à jour sont effectuées et que les vulnérabilités sont corrigées sur le système d’information. Encore une fois, l’ANSSI publie régulièrement des alertes concernant les nouvelles vulnérabilités détectées :

• S’assurer que tous les postes de travail et serveurs sont protégés par un antivirus.
• Vérifier les accès au système d’information : les accès au SI doivent se limiter aux seuls collaborateurs en activité au sein de l’entreprise. Par ailleurs, parmi ces accès, nous avons des accès dits « à privilèges » qui permettent d’avoir des privilèges plus importants sur le SI de l’entreprise. Il est nécessaire de s’assurer que ces accès sont limités au minimum de personnes possible car c’est souvent à travers ces comptes que de nombreuses attaques se réalisent.

Comment former les équipes au risque cyber ?

Il existe différents types de formation des équipes au risque cyber. Cela peut être des sessions de formation en présentiel, avec un quizz à la fin de la formation pour s’assurer que ce qui a été présenté a bien été compris par les utilisateurs. Des applications de Serious Game proposent également des mises en situation des utilisateurs. Les utilisateurs sont impliqués dans un scénario de cyberattaque et doivent prendre des décisions face aux risques encourus. Chaque prise de décision, qu’elle soit bonne ou mauvaise, comporte une explication du bon choix à prendre et un rappel des bonnes pratiques. A travers des outils dédiés, des attaques par phishing sont simulées et permettent d’identifier le niveau de maturité des collaborateurs face à ce risque.

Les entreprises sont-elles aujourd’hui assez équipées face aux cyber-risques ? Qu’en est-il spécifiquement des ETI et des PME ?

Pendant de longues années, la sécurité a été peu mise en avant. Toutefois, avec le contexte fort d’insécurité, ainsi que les sanctions liées au RGDP en cas de fuite de données, les entreprises prennent de plus en plus conscience du risque. Cela se traduit par une augmentation des investissements dans la sécurité.

Où en est leur niveau d’investissement dans ce domaine ?

Selon une étude IDC, les investissements des entreprises dans la cybersécurité devraient atteindre 3,9 milliards d’euros en 2022 au niveau mondial. 50 % des entreprises envisagent une augmentation de leur investissement et 43 % comptent maintenir leur niveau d’investissement.

Pour beaucoup, ces investissements sont liés aux sanctions appliquées par le RGPD en cas de non conformité et notamment en cas de fuite de données par défaillance des mesures de sécurité.

Propos recueillis par Emma Valet