Cybersécurité : comment les PME peuvent se protéger

De nombreuses PME partent du principe qu'elles ne sont pas une cible attrayante pour les cyberattaques. Seules 11 % des PME suisses se considèrent comme des victimes potentielles d'une attaque qui mettrait leur activité hors service pendant au moins une journée (gfs-zürich, 2020).

Systèmes d'exploitation obsolètes

Il existe de nombreuses failles de sécurité qu'un attaquant peut utiliser pour accéder à un réseau d'entreprise. Les attaques de ransomware - un certain type de logiciel malveillant - en sont un exemple, particulièrement réussies avec des logiciels et du matériel obsolètes. Les fabricants de logiciels et de matériel comblent par des correctifs et des mises à jour les failles identifiées ultérieurement et qui peuvent être exploitées pour une attaque. Dans le cas de produits obsolètes, ces mises à jour et correctifs ne sont plus disponibles, de sorte que les failles ne peuvent plus être comblées. Lors d'une attaque par ransomware, les pirates exploitent les failles de sécurité existantes dans les systèmes d'exploitation de leur victime et chiffrent les données ou les dérobent afin d'exiger le paiement d'une rançon pour le déchiffrement des données ou pour la non-publication des données volées auparavant. C'est justement à l'époque du télétravail que la confusion entre réseau privé et réseau professionnel devient un problème lorsqu'il existe des failles de sécurité. En effet, de nombreux employés utilisent les réseaux privés, souvent moins sécurisés, lorsqu'ils travaillent à domicile. Des pirates pourraient ainsi avoir accès aux systèmes de l'entreprise et s'approprier des données.

Sécurité de la chaîne d'approvisionnement

Le rôle de la chaîne d'approvisionnement au sein de l'entreprise est une autre faille de sécurité à laquelle les PME accordent encore trop peu d'attention aujourd'hui. De nombreuses PME dépendent d'une série de fournisseurs et de prestataires de services pour maintenir leur activité. D'une part, il est possible que les produits achetés contiennent déjà des points faibles - par exemple des "backdoors". D'autre part, un pirate peut accéder au réseau de l'entreprise acheteuse par le biais d'un fournisseur peu protégé et l'endommager. Une violation de la protection des données survenant chez un fournisseur affecte également l'entreprise cliente. Le réseau local sans fil peut constituer une faille de sécurité dans une entreprise et être utilisé comme porte d'entrée pour des logiciels malveillants ou des attaques de pirates. Il est donc fondamental que les entreprises chiffrent leur WLAN avec un standard sûr et utilisent un WLAN séparé pour les invités. Les collaborateurs ne devraient pas utiliser un WLAN public, car celui-ci est vulnérable aux attaques et, dans le pire des cas, les données de l'entreprise peuvent être détournées.

L'homme comme facteur de risque

Souvent, ce n'est pas l'absence de mesures techniques qui pose problème en cas d'attaque réussie ou de perte de données. L'intrusion dans les systèmes n'est souvent rendue possible que par les collaborateurs. L'homme reste donc la porte d'entrée numéro un pour les cyberattaques. Dans le cas des e-mails d'hameçonnage - l'un des types les plus fréquents d'ingénierie sociale - les criminels tentent d'obtenir les données de connexion ou les informations de carte de crédit de leurs victimes à l'aide d'e-mails conçus de manière professionnelle. Souvent, les pirates utilisent des informations accessibles au public de ces personnes, de sorte que les e-mails paraissent personnels et sérieux. Dans le cas de l'hameçonnage, la victime est redirigée par un clic vers un site web falsifié sur lequel des informations sensibles sont demandées. Parfois, les données sont également obtenues directement par le biais de l'e-mail de l'agresseur, qui semble fiable. De même, il est possible que le destinataire du mail installe un logiciel malveillant en ouvrant un fichier.

Comment les PME peuvent se protéger

La première étape vers une meilleure cybersécurité est pour chaque entreprise la prise de conscience des risques liés aux cyberattaques. La cybersécurité doit être abordée au niveau de la direction. Les collaborateurs doivent être informés des dangers du réseau par des formations internes régulières et ainsi être sensibilisés à ce sujet. Afin d'augmenter leur cybersécurité, environ la moitié des PME collaborent aujourd'hui déjà avec un prestataire de services externe.

Plus la PME est petite, plus les mesures ont tendance à être mises en œuvre sans soutien externe (gfs-zürich, 2020). En collaboration avec la Confédération et les associations, Digitalswitzerland et la SATW ont élaboré, dans le cadre de la Stratégie nationale pour la protection de la Suisse contre les cyberrisques (SNPC), une Test rapide ainsi qu'un guide ont été développés. Ces outils s'adressent en premier lieu aux PME ayant peu de connaissances en matière de cybersécurité et leur permettent, ainsi qu'aux prestataires de services externes, de faire le point sur la situation. Ils indiquent en outre quelles sont les mesures les plus importantes pour une protection de base minimale en matière de cybersécurité. La liste ci-dessous présente une sélection des principales mesures de protection.

Se préparer à une urgence

En cas de cyberincident, une préparation adéquate est essentielle et détermine si une PME peut reprendre ses activités et dans quel délai. Une réaction rapide et adéquate peut réduire de manière décisive les dommages, voire les éviter. Pour cela, il est important que les PME adaptent leur organisation à ces menaces et définissent les processus correspondants : Il s'agit par exemple d'effectuer une sauvegarde régulière des données de l'entreprise, de la stocker physiquement à l'écart des systèmes et de vérifier la relecture et la lisibilité des données.

Il est également recommandé d'établir un plan d'urgence et d'attribuer les droits d'accès de manière sélective. Étant donné que le facteur humain joue un rôle si important dans les cyberattaques, il est essentiel que les collaborateurs connaissent les dangers actuels, sachent utiliser les moyens techniques et respectent les principales règles. Les PME devraient donc ancrer la sensibilisation des employés dans le quotidien de l'entreprise.

De même, pour une protection optimale, il est recommandé d'utiliser des mots de passe sûrs et différents pour différentes applications, d'utiliser un gestionnaire de mots de passe et d'utiliser une authentification à deux facteurs pour les services critiques. Du point de vue technique, un pare-feu à jour aide à protéger l'ordinateur contre les accès non autorisés. Un logiciel antivirus actualisé tient les virus, les vers et les chevaux de Troie à distance du système. Les anciens appareils pour lesquels les mises à jour logicielles ne sont plus disponibles ne devraient pas être connectés à Internet. Lors de la collaboration avec des fournisseurs ou des prestataires de services, il est important de veiller à ce que les partenaires respectent les mesures minimales de cybersécurité. Ce n'est qu'ainsi qu'une PME peut minimiser le risque d'être également touchée par une attaque contre un partenaire.

Source : SATW