Protéger une PME des impacts majeurs de cyberattaque
Comment une PME peut se protéger à un coût raisonnable des impacts majeurs de cyberattaque ? Sélectionner les mesures adaptées à son domaine d’activité en fonction des véritables risques pour une PME. Nous proposons une approche pragmatique et limitant les investissements nécessaires.
Pour comprendre comment se protéger des cyberattaques, il nous faut aborder 3 caractéristiques d’une cyberattaque qui vont nous permettre de sélectionner les mesures efficaces pour une PME :
- Les techniques employées par les auteurs de cyberattaque.
- Le but recherché par les auteurs de cyberattaque.
- Les impacts subis par la PME et ses partenaires.
Les techniques de cyberattaque les plus courantes
Les techniques de cyberattaque s’appliquent à votre infrastructure, à vos identifiants ou à vos comportements :
- Les Malwares : logiciels du type virus ou trojan malveillants et installés sur vos machines.
- Le phishing : obtention d’informations personnelles en se faisant passe pour quelqu’un que vous connaissez.
- Les attaques VPN / accès distants : connexion sur vos machines à distance et prise de contrôle de vos données.
- Usurpation de compte mail : accès à votre compte mail avec vos identifiants.
- Exploitation de vulnérabilités OS/Applications : accès à vos machines par une faille connue de sécurité.
- Vol d’identifiants : vol de vos comptes et mots de passe.
- DDoS : saturer un site web avec des requêtes.
Il existe des outils et des bonnes pratiques pour se protéger de ces techniques. Les anti-virus, les firewalls et une application rigoureuse des mises-à-jour s’imposent, complétés par des login sans mot de passe et une bonne formation aux techniques de phishing.
Les buts recherchés par les auteurs de la cyberattaque
Le but recherché lors d’une cyberattaque peut être différent selon votre domaine d’activité et vos ressources financières:
- Le vol de données
- Le vol financier
- Le chantage
- L’usurpation d’identité
- La paralysie de l’activité
Par exemple la technique du phishing peut être utilisée dans tous les buts décrits ci-dessus, alors que la technique du DDoS cherchera uniquement à paralyser l’activité d’un site internet. Nous comprenons qu’en fonction du but recherché par l’auteur d’une cyberattaque, les techniques vont être plus élaborées, ce qui va nécessiter des mesures de protections également plus élaborées.
Les Ransomwares
Il est un type de cyberattaque qui nécessite des clarifications, car il est devenu à la fois fréquent et très impactant. Pour le comprendre, Il faut préciser que le ransomware se décline en 2 variantes :
- le chiffrage des données et demande d’une rançon pour les récupérer, ce qui va immédiatement paralyser votre activité pour une période assez longue. Dans cette variante, le hacker cible un seul but : le chantage.
- le vol de données « sensibles » et demande d’une rançon pour ne pas les publier, ce qui représente un risque futur et portant atteinte à votre réputation et à vos partenaires commerciaux. Dans ce cas, le hacker cible deux buts : le vol de données + le chantage.
Dans 30 % des attaques avec chiffrage des données, les données sont également volées afin de faire chanter la victime si elle ne veut pas payer. Il s’agit alors d’une combinaison des deux variantes ci-dessus avec comme but : vol de données + chantage.
Le ransomware peut utiliser plusieurs techniques d’attaque pour atteindre les données convoitées, sur un PC ou sur des serveurs à l’intérieur de votre réseau. La vitesse d’exécution devient très courte, réduisant la capacité de réaction avant d’être bloqué.
Concernant la question de savoir s’il faut payer la rançon, il faut comparer le coût de la rançon et le temps de récupération des données, par rapport à la restauration des sauvegardes. Clairement, le coût de la restauration est nettement moindre que le coût de la rançon, de plus le temps de récupération des données chiffrées peut se compter en semaines après le paiement de la rançon, contre quelques jours pour une restauration de données bien préparée.
Seul 3 à 5 % des cas de paiement de la rançon n’auraient pas récupéré leurs données, ce qui est tout de même conséquent.
Les impacts d’une cyberattaque pour une PME et ses partenaires
En différenciant la technique d’attaque et le but recherché, nous pouvons maintenant aborder les différents impacts. Ils peuvent être financiers, opérationnels, juridiques, de réputation ou stratégiques.
Le cas du Ransomware peut conduire à tous les impacts possibles. Vous payerez peut-être une rançon, vous devez interrompre votre activité, vous êtes responsable du non respect de prescriptions légales, votre réputation est compromise et si vous ne récupérez pas vos données, votre PME va peut-être disparaître.
Vous comprenez maintenant pourquoi le Phishing et le Ransomware sont devenus les risques les plus élevés. Le phishing peut amener à tous les sinistres (vol de données, chantage, usurpation d’identité) et le Ransomware peut conduire à tous les impacts potentiels pour une PME, jusqu’à sa disparition.
Les risques liés aux cyberattaques ne sont pas qu’un problème IT et qui peut coûter cher, mais c’est un risque pour la survie même d’une PME. Considérons maintenant les impacts pour une PME :
- Impacts financiers : paiement d’une rançon, vols de fonds, interruption de services.
- Impacts opérationnels : indisponibilité, perte de données, difficulté à communiquer.
- Impacts juridiques et de conformité : violation dela LPD ou RGPD, procédures judiciaires, audit externe obligatoire.
- Impacts de réputation : perte de confiance, difficulté à gagner de nouveaux marchés.
- Impacts stratégiques : perte d’avantage concurrentiel, mise en péril de l’entreprise.
Les risques pour une PME sont donc majeurs, peut-être même plus impactant qu’un sinistre suite à une inondation par exemple, car lors d’un vol de données vous pouvez être tenu responsable des conséquences pour des clients ou des partenaires.
En étant informé des techniques de cyberattaques, des buts recherchés par les auteurs de cyberattaques et des impacts pour une PME, il est maintenant possible de prendre les mesures adaptées pour limiter aussi bien les cyberattaques, que leurs conséquences.
Subir une cyberattaque n’est pas une fatalité, des sociétés particulièrement exposées comme les opérateurs de communication ou dans le domaine de l’énergie subissent quotidiennement un nombre extrême d’attaques. Leur position intéresse particulièrement les hackers qui cherchent à obtenir des informations sensibles ou à nuire aux infrastructures critiques d’un pays. Pourtant ces opérateurs parviennent à résister à ces attaques et ne subissent pas les impacts majeurs décrits précédemment, car ils ont pris les mesures indispensables à leur protection.
Une PME peut également se protéger, mais afin de choisir les mesures efficaces et supportables financièrement, il faut distinguer deux types de mesures :
- Les mesures préventives : qui vont réduire le risque de réalisation d’une cyberattaque. Comme la gestion des identifiants, les mises-à-jour des OS/Applications ou les protections de votre réseau.
- Les mesures de résiliences : qui vont permettre à une PME de reprendre son activité suite à une cyberattaque. Comme des sauvegardes hors site et un plan de reprise d’activité documenté et testé.
Les mesures préventives ne suffisent plus dans le contexte de cyberattaques à grande échelle. Le facteur humain, les échanges avec des partenaires ou l’intervention de sous-traitants dans votre réseau sont autant de risques pouvant vous exposer à une cyberattaque. C’est pourquoi les mesures de résilience sont aujourd’hui indispensables pour réduire les impacts potentiels suite à une cyberattaque.
Nous avons tous pu observer dans la presse des situations de PME ayant subi récemment un incident majeur, j’en retiens trois situations caractéristiques qui démontrent l’importance des mesures de résilience :
- Cas 1 : Un ransomware qui paralyse une entreprise pendant plus d’une semaine, la récupération des données se révèle complexe et l’accès aux données de clients est impossible de manière prolongée.
- Cas 2 : Une erreur humaine a conduit à la perte de données d’une PME, celle-ci n’a pas été en mesure de récupérer ses données, après avoir dépensé des sommes conséquentes, elle a malheureusement fait faillite. Une cyberattaque peut conduire à la même situation en cas de perte de données sans capacité de restauration.
- Cas 3 : Une cyberattaque menée contre une PME bien préparée. Elle n’a pas subi d’interruption de service, elle a récupéré ses serveurs en quelques jours et n’a pas constaté de fuite de données
La différence entre ces trois cas est le niveau de préparation des mesures de résilience. Savoir comment réagir immédiatement en cas d’attaque, puis comment restaurer ses serveurs et ses données.
Pour conclure, il faut rappeler que les mesures ne se limitent pas à des solutions techniques, mais comprennent des procédures documentées et communiquées, et surtout une vigilance de tous les instants.
Prochainement
Dans notre prochain article, nous aborderons le Plan de reprise d’activité.
