En 2016, les cyber-attaques ne sont plus une menace, elles sont une réalité. Le marché de la cyber-sécurité en 2015 a atteint 42 milliards de dollars et les prévisions des grands cabinets de consulting indiquent qu’il atteindra plus de 70 milliards de dollars en 2020.

Une cyber-attaque est une action visant à corrompre vos systèmes informatiques, les endommager durablement, ou prendre la maitrise de vos équipements à des fins de malveillance (frande, destruction, etc.). La cyber-attaque touche vos données personnelles, les données de vos employés, clients, fournisseurs, vos travaux en cours, ou encore vos brevets. Le paiement en ligne, les objets connectés, les sites d’approvisionnement en eau, électricité, carburant, tous sont des cibles potentielles.

L’intention n’est pas toujours claire puisque vous pouvez être confrontés à tout type de pirates. Certains le feront par jeu, d’autres par intérêt ou même par métier. Quelques soient les intentions, la cyber-attaque est dangereuse pour votre entreprise, pour votre réputation, pour vos clients ou vos proches.

Le ransomware

Le ransomware est un virus qui se propage actuellement sur Internet et touche beaucoup d’entreprises. Dans la plupart des cas, vous recevez un mail avec une pièce jointe. Une fois cette dernière ouverte, une procédure chiffre à votre insu votre disque dur ou vos unités de stockage sur le réseau. Seul remède, payer une rançon pour obtenir la clé qui permettra de déchiffrer vos données et de les rendre à nouveau accessibles.

Un modèle économique très au point?

Il est actuellement très facile de lancer une attaque contre un individu ou une société en achetant un virus sur le « darknet ». Le ransomware correspond à un véritable modèle économique : des organisations se chargent de vous vendre un virus, de le faire déployer, de chiffrer les disques durs, d’encaisser une rançon en prélevant une commission et même de gérer le support 24/7. En effet, ces organisations criminelles ont tout intérêt à ce que cela fonctionne bien et disposent d’un support permettant d’obtenir de l’aide pour la configuration du virus pour l’attaquant, ou pour la création d’un compte en bitcoins pour les victimes.

Faut-il payer?

De toute évidence, payer une organisation criminelle n’est pas éthique et permettra à celle-ci de se développer. Et si, après avoir payé la rançon, vous n’obteniez pas la clé de déchiffrement ou que vous soyez victime d’une nouvelle attaque ? Personne ne pourra vous dire que l’on peut faire confiance à des pirates, c’est évident.

Comment se prémunir?

La sécurité de votre système d’information ne dépend pas que de vos équipements. La défense de vos systèmes doit se préparer et comprendre vos infrastructures, vos outils de protection, une gestion de crise, des procédures de continuité, de la formation et la sensibilisation de vos collaborateurs. Ce dernier point étant d’ailleurs le plus sous-estimé alors même que l’humain est la composante essentielle d’une attaque.

La chaîne de défense

L’entreprise est la première responsable de la chaîne sécuritaire. Les dirigeants doivent prendre conscience que la sécurité fait partie intégrante de la stratégie de l’entreprise, au même titre que son informatique. La direction se doit donc de mettre en place une politique de gouvernance et notamment une politique de sécurité de l’information. Elle sensibilisera et formera ses collaborateurs aux dangers de la cybercriminalité et se chargera de prendre des mesures organisationnelles afin de développer une attitude à la résilience.

Le partenaire technique sécurité

La protection de votre système d’information est un enjeu essentiel pour la pérennité de votre entreprise. Mobilité, ouverture du système d’information ou BYOD sont de nouveaux défis pour la gestion de la sécurité informatique. Spécialisé dans les domaines de la sécurité informatique et des réseaux, un partenaire technique vous offre proximité et réactivité. Des formations peuvent être dispensées et des tests de pénétration (« ethical hacking ») peuvent être réalisés afin d’auditer votre sécurité.

Les recommandations:

• Prévoir une architecture informatique sécurisée
• Mettre à jour vos logiciels et antivirus
• Faire des audits de vos systèmes régulièrement
• Sensibiliser et former vos employés à la problématique
• En cas d’attaque, arrêtez vos PCs et contactez-les rapidement

Le partenaire organisationnel

Mettre en place une organisation résiliente, des plans élaborés pour soutenir vos processus critiques, des procédures clairement définies en cas d’attaque, vous permettront de traverser la crise, de minimiser les impacts et de reprendre plus rapidement votre activité. Audit sécurité organisationnel, sensibilisation et formation, gestion de crise et plan de continuité : tels sont les outils que le partenaire organisationnel peut vous aider à mettre en place.

Les recommandations

• Formation et sensibilisation du personnel
• Anticiper et préparer la crise
• Identifier vos processus critiques
• Prévoir des plans de continuité d’activité
• Faire des audits de sécurité régulièrement

Qui contacter ?

La police

La brigade de criminalité informatique enquête sur les infractions commises via les nouvelles technologies. Les cyberattaques proviennent de plus en plus d’organisations structurées et dont l’arnaque est devenue le métier. La police travaille dans le but d’identifier ces organisations et de les traduire en justice.

Les recommandations :

• Déposer plainte
• Ne pas payer les rançons qui financent les organisations mafieuses

La confédération

La Confédération dispose d’une cellule dédiée à la Cybercriminalité, le SCOCI. Les cas doivent être dénoncés pour faciliter les regroupements et alerter les entreprises. La Confédération dispose également d’une Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI).

* * * * * * * * * *

PS: Vous trouverez cet article dans le numéro 34 du Monde Economique (voir ici)

A propos des auteurs :

Charly DELAY et Vincent OTTINGER sont les fondateurs de Pragm@TIC-Consulting, cabinet de conseil spécialisé en gestion de crise, gestion de la continuité et prévention contre la fraude. www.pragmatic-consulting.ch