Chronique : La cybercriminalité au cœur de l’entreprise numérique

Gérôme Billois, senior manager chez Solucom, spécialisé en practice risk management et sécurité de l’information, parle pour ce mois de décembre du poids de la cybercriminalité dans les sociétés tournées vers le numérique.

Avec le développement du numérique dans les entreprises et les administrations, les risques liés à la cybercriminalité augmentent à grande vitesse.

Le sujet est présent quotidiennement dans l’actualité : atteinte à la protection des données personnelles, dénis de service, vols de données… autant d’attaques possibles pour des cybercriminels qui usent de moyens de plus en plus sophistiqués. Au-delà de ce que l’on peut lire dans la presse, nous l’avons nous-même constaté chez des clients ciblés parattaques complexes et à très fort impact.

Le cas récent de Sony Pictures montre l’ampleur qu’elles peuvent atteindre : paralysie de l’ensemble du système d’information pendant deux semaines, prise de contrôle de la présence sur les réseaux sociaux, vol de données internes et publication sur Internet, en particulier le vol de films encore inédits ou des données personnelles des collaborateurs, des dirigeants ou des partenaires. Si l’impact sur Sony est violent et immédiat, il s’étalera aussi dans le temps avec les différentes poursuites juridiques qui ne manqueront pas.

Aujourd’hui, l’État a compris les enjeux de la cybersécurité et investit fortement dans ce domaine. En regard, les grandes entreprises adoptent une approche encore trop timorée et réductrice face à l’évolution des menaces. Et si certaines ont su avancer, c’est bien souvent après avoir été durement touchées par un incident. Les directions générales commencent à prendre conscience des risques mais les investissements restent largement en retrait – tout simplement car il est souvent difficile d’avoir une idée claire de la stratégie à suivre face à une menace en constante évolution. Les réponses à apporter ne sont pas si simples : impossible en effet de tout protéger et de garantir une défense impénétrable.

En préalable à toute démarche, il est nécessaire d’évaluer les risques pesant sur l’organisation, en y ajoutant une nouvelle mesure : l’attractivité de l’organisation pour les cybercriminels. En effet aujourd’hui, ces derniers gagnent concrètement de l’argent en volant et revendant des données (coordonnées des clients, données bancaires, secrets d’entreprise…). Ce constat est aujourd’hui trop peu pris en compte dans les analyses de risques.

Au-delà de cette évolution de l’évaluation du risque, il est nécessaire de construire un plan d’ensemble combinant gestion de crise efficace, polices d’assurance, organisation et mesures techniques. Un plan raisonné, orienté vers une protection ciblée des actifs sensibles et vers un entraînement plus poussé à la gestion de crise et à la communication associée. En effet, en cas d’incident, vous serez jugé autant sur votre capacité à rétablir le service ou à limiter le vol de données que sur la manière dont vous gèrerez votre communication vers vos clients et vos actionnaires.

Gérôme BILLOIS, senior manager chez Solucom Practice risk management et sécurité de l’information Solucom est un cabinet conseil en management et système d’information