Pour l’ANSSI (Agence Nationale de la Sécurité des Système d’Information), la cybersécurité est un « état recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises » En d’autres termes, la cybersécurité a pour objet de contrer la ou les menaces numériques.
Cette menace et ces risques sont multiples, et à titre d’exemples il peut s’agir:
• D’une escroquerie;
· L’exemple le plus courant est celui de la « fraude au Président », le but de l’escroc est bien souvent d’obtenir qu’un virement soit réalisé en se faisant passer pour le mandataire social (en usurpant une adresse électronique par exemple).
• D’une atteinte à un système de traitement automatisé de données;
· On peut citer comme exemple la reproduction et/ ou la destruction de données présentes dans un système de traitement automatisé de données. Cela pourrait être le fait d’un concurrent qui copierait des données.
• D’abus de confiance;
· Souvent le fait d’un salarié qui détourne le matériel ou les données informatiques que l’employeur lui fournit, à d’autres fins que celles convenues par l’employeur.
• D’extorsion (c’est-à-dire le fait d’obtenir, par violence ou menace de violence, un engagement);
L’origine de la faille qui permet l’infraction peut être technique, mais elle peut également être humaine.
C’est pourquoi, même s’il n’existe aucune méthode qui permette d’éviter de façon certaine une attaque, l’anticipation reste la clef pour: limiter les risques d’attaque et le préjudice subi.
CYBERSÉCURITÉ: ANTICIPER LES RISQUES Les mesures techniques Sur son site internet, l’ANSSI a préparé plusieurs guides qu’elle met à disposition des professionnels, certains sont spécifiquement rédigé à l’adresse des PME et ETI. Sans surprise, le premier conseil délivré par l’ANSSI est la réalisation d’un inventaire et d’une cartographie physique et logique: des périphériques,; logiciels,; données et traitements de données, et des accès. Cet inventaire permet notamment de déterminer quels sont les biens, les données et les traitements susceptibles d’affecter l’activité, dans les cas où ils viendraient à être altérés. Il s’agit par ailleurs du préalable à l’instauration de mesures
techniques (qu’il est impossible d’énumérer de façon exhaustive) tels que le chiffrement de données, la mise en place de passerelle d’accès sécurisé qui permettront diminuer les risques. La formation et la sensibilisation du personnel Toutes les entreprises doivent former leurs effectifs et les intervenants extérieurs aux bonnes pratiques de sécurité informatique. L’objectif est de sensibiliser les utilisateurs du système, qu’il soit salarié ou non, afin d’assurer sa sécurité. La création d’une charte informatique détaillant les usages numériques à respecter semble ainsi indispensable. Cette charte permet de circonscrire des règles d’utilisation des systèmes d’information, proportionnées à l’objectif poursuivi. Elle ne peut néanmoins être établie qu’après avoir réalisé l’analyse de risques mentionnés ci-dessus, afin d’en déterminer les éléments pertinents. Parmi ces règles d’utilisation on peut ainsi notamment énumérer: une politique de gestion des mots de passe, l’encadrement de la pratique du « Bring your own device »… Il est impératif que cette charte soit opposable aux salariés et aux prestataires, afin qu’elle puisse servir de fondement à d’éventuelles sanctions ou indemnités contractuelles. Les entreprises concernées doivent donc veiller à communiquer cette charte à leurs prestataires (par exemple, en l’annexant à leur contrat de prestation de services) et à la communiquer à leurs salariés (en l’annexant au règlement intérieur ou au contrat de travail).
CYBERSÉCURITÉ: MESURES DE REMÉDIATION En cas de brèche, l’entreprise victime doit:
• Réunir et conserver les éléments matériels qui serviront aux enquêteurs dans leurs investigations;
• Respecter ses obligations légales; L’article 33 du règlement général sur la protection des données (« RGPD ») précise qu’en cas de violation de données à caractère personnel le responsable de traitement doit notifier la violation à l’autorité compétente (en France, la CNIL) dans un délai de 72 heures. Plusieurs régimes spéciaux peuvent se superposer à cette obligation. Attention le RGPD prévoit des sanctions sévères dans le cas où la brèche serait tenue secrète.
• Respecter ses obligations contractuelles vis-à-vis de ses partenaires d’affaires, clients, salariés et fournisseurs; fournisseurs;
• Lancer les démarches judiciaires adéquates en déposant une plainte auprès des services de police ou de gendarmerie, ou directement entre les mains du procureur de la République.
Enfin, il est impératif de déclarer le dommage subi à son assureur, certaines polices couvrent les préjudices résultant de cyberattaques ●
Télécharger cette publication en PDF
Article initialement publié dans Maintenance & Entreprise — n°665 – mars 2022.