PROTÉGER SON SYSTÈME D’INFORMATION, C’EST SAUVEGARDER SON BUSINESS !

Publication : N° 13 juin 2020

La crise sanitaire liée au Covid-19 a placé le numérique et l’internet au cœur de la continuité économique et de la survie des entreprises. Entre autres choses, elle a démontré l’importance de protéger les systèmes d’information. Car la cybercriminalité n’épargne personne et surtout pas les PME, plus vulnérables aujourd’hui. Contre le vol de données, les arnaques financières, le vandalisme, le sabotage ou l’espionnage, entrepreneurs, voici comment vous protéger !

Pas une semaine sans qu’une fuite de données massive ou qu’une cyber-attaque d’ampleur ne fasse la une de l’actualité ! En pleine période de confinement, la mairie de Marseille et la Métropole Aix Marseille Provence ont subi une attaque paralysant tous les services. Quelques jours plus tôt, Bouygues Construction était visé par une demande de rançon de l’ordre de dix millions d’euros. Au niveau local, les entreprises sont tout autant touchées. « En fin d’année dernière, tous les fichiers et toutes les données de nos 1 150 salariés, dont 400 à Lyon, ont été cryptés, c’est à dire non accessibles et comme paralysés, explique Olivier Piquet, directeur général du groupe de lingerie Lise Charmel. Le ciel nous est tombé sur la tête. Nous sommes restés en état de choc pendant plusieurs semaines. C’était terriblement violent ». Plusieurs PME et collectivités locales de la Loire et du Jura ont également été attaquées récemment par un cryptolocker. Point commun : l’utilisation d’une solution développée par le prestataire informatique, Xefi. Créée en 1997 à Rillieux-la-Pape, cette entreprise de 900 salariés intervient auprès de 18 000 PME à travers la France. « Au total, nous avons eu une trentaine de clients touchés, confirme Pierre Guillermet, directeur marketing de Xefi. Mais ce ne sont pas nos datacenters qui ont été visés. Les attaquants sont passés par les serveurs des clients en utilisant les identifiants de notre ancien outil d’administration à distance ». Aucune entreprise n’est à l’abri de ces multiples malveillances paralysant le business. « Maintenant que les grands groupes sont plus ou moins protégés, les actes de piratage atteignent leurs sous-traitants, leurs fournisseurs ou leurs filiales », indique Sébastien Mouton, gendarme référent sécurité économique à la gendarmerie de la Loire.

AUDITER SA SECURITE
Piloté par l’ENE, le programme Usine du futur accompagne à la mise en œuvre des technologies numériques. Son module « Auditer la sécurité de votre SI » comprend un test d’intrusion et des préconisations correctives.
ene.fr

C’EST QUOI UNE CYBERATTAQUE ?

Les ransomwares ou rançongiciels se basent sur des techniques d’enlèvement. Fréquemment utilisées, ces méthodes consistent à envoyer un programme malveillant via une pièce jointe. Une fois le fichier ouvert, ce programme rend inaccessibles les documents de l’entreprise. Récupérer les données n’est alors possible qu’en payant une rançon.

Également connu sous le nom d’hameçonnage, le phishing se sert de la crédulité de l’être humain pour porter ses fruits. Les cybercriminels rédigent des e-mails en se faisant passer pour une administration ou une entreprise. Ils ne se limitent plus seulement à copier des éléments crédibles d’un site légitime pour faire passer leur site malveillant comme tel. « Dorénavant, les pirates récupèrent l’ensemble des éléments du site et les affichent sur la page piégée, précise le gendarme. L’illusion est donc parfaite. Seule l’adresse URL permet de se rendre compte de la supercherie ». Le but : soutirer des informations confidentielles.

Rémi Grivel
directeur général de Ciril Group.
Villeurbanne, 69

Beaucoup de collaborateurs tombent aussi dans le piège de la fraude au président. Un pirate se fait passer pour le dirigeant et envoie un courriel à l’un des membres du service comptable. Ce dernier lit que son patron a décidé du rachat d’une entreprise, une opération qui nécessite de virer une somme d’argent à l’étranger. Compte tenu de sa confidentialité, il ne faut en parler à personne sous peine de mettre cette acquisition en péril. « C’est gros, mais ça marche dans bien des cas », commente Rémi Grivel, directeur général de Ciril Group. Basé à Villeurbanne, cet éditeur de solutions numériques pour le service public subit régulièrement des tentatives de fraudes au président ou aux fournisseurs. « Ce n’est pas pour autant une fatalité et les dirigeants doivent intervenir le plus en amont possible auprès de leurs équipes pour insuffler des bonnes pratiques, sans forcément avoir à dépenser de grosses sommes », indique Sébastien Mouton. Car dans 91 % des menaces, l’e-mail est utilisé comme vecteur d’intrusion. La vulnérabilité la plus grande dans une entreprise se trouve entre la chaise et le bureau : c’est l’utilisateur ! Que le mobile soit financier (73 % des attaques selon le baromètre Verizon) ou à visée d’espionnage (21 %), l’attaquant exploite la faiblesse du maillon humain dans le dispositif. La cybersécurité, c’est donc 20 % de technologie, 80 % de management.

COMMENT SENSIBILISER LES COLLABORATEURS ?

« Pour améliorer la cybersécurité, le meilleur conseil est de sensibiliser ses collaborateurs, souligne Sébastien Mouton. Ceux-ci doivent être capables de reconnaître des tentatives d’intrusion. Aujourd’hui, les pirates essaient de cibler le public le moins informé : l’administration, la finance, le marketing... plutôt que des développeurs qui ont la culture de la cybersécurité ». Suite à plusieurs tentatives d’arnaque, Nigay, l’un des leaders européens de la fabrication de caramels, a fait appel au gendarme pour former ses équipes. Avec un chiffre d’affaires de près de 71 millions d’euros réalisés sur tous les continents, les enjeux demeurent importants en cas de piratage. Sébastien Mouton a animé au siège social basé à Feurs dans la Loire plusieurs réunions de sensibilisation auprès des équipes administratives, notamment commerciale, comptable, ressources humaines et secrétariat. Son intervention a permis de rappeler les différents types d’arnaques susceptibles de viser l’entreprise familiale et potentiellement comment les déjouer. « Tous les exemples concrets sur lesquels Sébastien Mouton a sensibilisé nos 250 salariés indiquent à nos collaborateurs que la malveillance est permanente, proche de nous, souligne Henri Nigay, le Pdg. C’est nécessaire de le faire, car les conséquences sont parfois catastrophiques pour la santé financière de l’entreprise ». Lise Charmel en sait quelque chose. « Un clic sur une boîte e-mail privée entre midi et deux, sur un poste pro des plus banals et c’est tout le groupe qui a été bloqué, précise Olivier Piquet. Notre chaîne est totalement informatisée, ce qui nous a fragilisés, mais nous avions aussi de nombreux programmes de sauvegarde sur divers supports. En recollant tous les morceaux, nous avons tout retrouvé en quelques jours ». De son côté, Xefi a restauré rapidement les données de pratiquement tous les clients concernés.

VIGILANCE
Attention, consulter ses e-mails professionnels ou gérer son entreprise à distance depuis le réseau Internet non sécurisé de sa maison, d’un aéroport ou du TGV comporte des risques cyber souvent mal anticipés. Cette confusion entre les appareils personnels et professionnels multiplie les possibilités de contamination par un virus ou un ransomware.
Sébastien Mouton
gendarme référent sécurité économique à la gendarmerie de la Loire
42
“Une attaque extérieure, un sabotage ou un piratage génèrent une paralysie totale. Or, chaque jour interrompu est un jour d'activité perdu.”
Sébastien Mouton
gendarme référent sécurité économique à la gendarmerie de la Loire
50 %
La part des entreprises françaises prévoyant cette année une augmentation du risque de cyberattaque. Source : Enquête FireEye, novembre 2019.
39 %
des entreprises seulement disposent d’une triple protection, antivirus, firewall, antispam pour leurs ordinateurs de bureau. Source : Enquête 2019 sur les risques numériques pour les entreprises, CPME.

QUELS SONT LES MOYENS POUR PROTEGER SES DONNEES ?

La mise en place d’outils de défense paraît donc une nécessité dans cet environnement numérique incertain. « Le risque zéro n’existe pas en matière de cybersécurité, mais il y a des moyens pour prémunir son entreprise, indique Rémi Grivel.  Avec une simple procédure de sauvegarde, un bon firewall et une vraie politique de mots de passe, individuels et changés régulièrement, on éviterait déjà de nombreux problèmes dans les PME ».
Microsoft alerte les entreprises sur la fragilité de la plupart des mots de passe utilisés par les internautes. Leur réutilisation sur plusieurs services basés sur des comptes est courante, indique le géant dans son rapport annuel sur la cybersécurité. Près de 52 % des internautes utilisent le même password pour plusieurs services. Or, 30 % de ces mots de passe peuvent être crackés en moins de 10 suppositions par des pirates informatiques futés.

« Autrefois, on rangeait les données dans une armoire fermée à clé, poursuit Rémi Grivel. Il faut transposer au numérique ce qu’on faisait avec le papier. Rien ne sert d’investir des sommes colossales, il suffit de respecter certaines règles de sauvegarde : bien choisir ses prestataires, déterminer les données à conserver sur le cloud, quitte à placer ses données les plus confidentielles sur un serveur externe local ». Xefi, par exemple, propose des solutions d’hébergement et de sauvegarde cloud, via ses deux datacenters. « La sauvegarde externalisée reste la solution la plus efficace, souligne Pierre Guillermet. En cas de pertes de données suite à une attaque ou un incendie, nous sommes en capacité de restaurer 100 % des données dans des délais les plus brefs ». Reste à faire les bons choix. Pour toutes ces questions, Nigay a nommé un référent biovigilance suite au diagnostic sécurité réalisé par Sébastien Mouton et à une évolution du référentiel sur la sécurité des aliments. Sa mission : assurer la sûreté numérique du site de production face aux différents dangers. D’autres font appel à des entreprises spécialisées, chargées de mener des audits, des tests d’intrusion ou de phishing avant de proposer des solutions adéquates. Ou deviennent membre du Clusir ! Rassemblant les différents acteurs de la sécurité des systèmes d’information, ce club rhônalpin organise tous les mois un groupe de travail autour de la sécurité des SI. Un moment d’échange d’expériences et de réflexions dont l’objectif vise à confronter les besoins des utilisateurs aux solutions du marché.

REFERENT EN CYBER-SECURITE
CCI Formation propose un nouveau cycle destiné à identifier et analyser les problèmes de cybersécurité, à effectuer des démarches de prévention au sein de l’entreprise et à les mettre en place pour faire face aux attaques éventuelles. Inscription :
cciformationpro.fr
Pierre Guillermet
directeur marketing de Xefi
Lyon, 69

QUELS SONT LES IMPACTS REELS ?

D’après l’Agence nationale de la sécurité des systèmes d’information (Anssi), 60 % des PME impactées par les cyberattaques mettraient la clé sous la porte à court terme. Une situation que Lise Charmel anticipe. Car ces mois d’arrêt forcé, le temps de redéployer tous les systèmes, ont généré un manque à gagner de plusieurs millions d’euros. La mise en redressement judiciaire de toutes les entités françaises du groupe, le 27 février dernier, est avant tout technique : « C’est pour nous mettre à l’abri, nous protéger de toute pression financière alors que nous voulons rattraper notre retard de production et de livraison, aller de l’avant et travailler dans la sérénité, indique Olivier Piquet. Nous avions amélioré la sécurité, mais l’essentiel n’est pas là, car aucun système n’est infaillible. Il faut être prêt au cas où ça recommencerait. J’invite tous les chefs d’entreprise à réfléchir à leur capacité à se régénérer en cas de paralysie totale, à faire un diagnostic et un plan de relance en repartant de zéro ». Chez Lise Charmel, cela a pris presque deux mois sans machines abîmées ni serveurs détruits…

Au rayon des solutions en cas d’attaque, les PME disposent aussi d’un service proposé par l’État, la plateforme cybermalveillance.gouv.fr mise en place en 2017. Ce guichet unique aide toutes les victimes, qu’elles soient touchées par du harcèlement, une arnaque à la carte bleue, une demande de rançon, un blocage d’ordinateurs. Les personnes peuvent faire un signalement et éventuellement être orientées vers d’autres services : police, gendarmerie, prestataires privés capables de réparer des systèmes informatiques partout en France.

www.cci-lemageco.fr
www.cybermalveillance.gouv.fr

PRIORISER SA SECURITE
Dans le cadre du programme Ambition Eco de la région Auvergne-Rhône-Alpes, en partenariat avec la CPME, l’accompagnement « Identifier ce qui caractérise la valeur de mon entreprise afin de prioriser ma cybersécurité » permet de bénéficier d’un diagnostic.
ambitioneco.auvergnerhonealpes.fr
“Les attaques informatiques sont de plus en plus fréquentes et touchent toutes les entreprises ; le meilleur bouclier c’est la vigilance des collaborateurs, qu’il convient de sensibiliser et de former régulièrement.”
Irène Breuil
présidente de la délégation CCI de Saint-Étienne