Cybersécurité - Innovations digitales et numériques

Les vrais atouts de la France, ne seraient pas dans son école mathématique ou ses ingénieurs, mais dans sa capacité d’utopie et la vivacité de ses start-up, qu’il faut absolument soutenir et aider à grandir. Philippe Lemoine parie sur la capacité des grandes entreprises à quitter le XXe siècle et sa culture de la maîtrise, pour entrer au XXIe siècle numérique, en s’ouvrant au lâcher prise.

« Tous les systèmes ont des failles et il en suffit d'une seule », considère Thierry Karsenti, directeur technique Europe de Check Point Security. Le risque zéro n'existe pas et les attaquants ont souvent un coup d'avance. La clef contre la catastrophe ? L'anticipation. En interne comme en externe, il faut savoir sur quelles équipes et quels dirigeants compter pour répondre à l'urgence, en termes techniques comme de communication. « Les entreprises ont toutes prévu des plans d'urgence en cas de crue de la Seine, constate Alain Bouillé. Mais elles sont encore peu nombreuses à se préparer en cas d'intrusion informatique. »

La question de la sécurité informatique dans les entreprises occupe aujourd’hui une place stratégique. “Les réseaux sont de plus en plus flous, constate Éric Michonnet, directeur d’Arbor network pour l’Europe du Sud (éditeur de solutions logicielles de sécurité). La frontière s’arrête aujourd’hui dans la poche des utilisateurs via les smartphones.” D’où la nécessité pour les entreprises de redoubler de vigilance concernant la protection de leurs données.

Malgré l’encadrement strict de la prestation d’hébergement des données de santé, la cybercriminalité menaçante a obligé les constructeurs de matériels médicaux et le personnel soignant à être vigilant.
Le premier facteur de risques est le facteur humain. Le personnel se doit de rester vigilant à la diffusion des données personnelles et anticiper les conséquences de futures attaques.

Afin de parer à cette éventuelle menace : 

• L’analyse des risques apparaît comme essentielle afin de concilier les exigences métiers aux exigences sécurité. 
• Les constructeurs doivent également intégrer la sécurité dans les dispositifs (médicaux pour la santé),
• Suivi des normes : ISO 27000 overview and vocabulary, ISO 27001 ISMS requirements, ISO 27002 code of practrice, ISO 27004 Measurement, … 27005 Risk Management

En conclusion, le savoir faire de l’entreprise permet de préserver les marchés et la marge. Une gestion des risques pour un maintient du capital immatériel qui correspond à la valeur de l’entreprise pour 80 % d’après la Banque Mondiale.

Vous aurez une cartographie de vos risques en suivant ce lien

Le fait que les entreprises soient de plus en plus interconnectées et dépendantes de la technologie contribue à renforcer les risques. Selon une étude sur le coût de la cybercriminalité publiée par le Ponemon Institute, institut d’enquête indépendant, les entreprises américaines ont subi en moyenne, en 2012, 102 attaques par des pirates informatiques réussies par semaine, soit plus du double du total enregistré en 2010. Les coûts liés à la cybercriminalité ont augmenté de près de 40% par rapport à 2010 et atteignent un montant annuel moyen de 8,9 millions de dollars pour les entreprises américaines de l’échantillon de référence. La même étude souligne que 78% de ces coûts sont liés à un code malveillant, un déni de service, des appareils volés ou détournés, du personnel mal intentionné. Dans un post publié en mars 2012 dans Future of Business, PA Consulting, cabinet de conseil spécialisé dans la gestion, la technologie et l’innovation, estimait que « près de 80% de la valeur d’une entreprise est exposé dans le cyberespace » et qu’une « attaque de pointe coûte à la victime plus de 150 millions de dollars, avec pour conséquence, en moyenne, 12% de perte de capitalisation consécutive ».

Compuware a d'ailleurs identifié trois facteurs expliquant l'absence de mesure des performances et d'analyse de leur impact : 

• l'incapacité des entreprises à comprendre l'origine des problèmes de performance et, en conséquence, une faible aptitude à les résoudre.
• l'incapacité à comprendre la gravité de l'impact des problèmes de performance sur l'activité, ce qui se traduit souvent par une réponse inadaptée, des efforts et des ressources mal ciblés.
• un manque de cohérence et des tensions entre le service informatique et les métiers, résultant de perceptions différentes de la gravité d'un problème informatique et du temps nécessaire pour le résoudre.

Pour gérer ces problèmes, les entreprises agissent dans l'urgence et ne prennent pas forcément les bonnes décisions. Une réflexion à long terme mérite donc d'être menée. Car ni l'achat de nouveaux matériels ou logiciels, ni la multiplication des formations IT internes, ni l'augmentation des effectifs IT et le recours à des consultants IT extérieurs ne règle vraiment le problème.

Mais des évolutions venues de Bruxelles devraient rapidement voir le jour pour uniformiser la réglementation au niveau européen. Une proposition de règlement général - « sans obligation, donc, de transposition dans le droit national », note Gabriel Voisin - sur la protection des données devrait entrer en vigueur en 2016 ou 2017. Il prévoit l’obligation, pour toute entreprise, d’informer le régulateur national en cas d’attaque, voire les personnes affectées le cas échéant. «  Cela va permettre d’harmoniser en partie le millefeuille de couches réglementaires qui se superposent en fonction des pays et peuvent poser problème aux multinationales », explique Gabriel Voisin. Et donc faciliter le recours juridique des sociétés attaquées, déjà bien contrariées par une telle affaire.

Ces sommes incluent les dommages et intérêts liés aux infractions, ainsi que les coûts supplémentaires liés à la mise en conformité du parc de logiciels des entreprises concernées se retrouvant dans l’obligation de racheter les licences pour pouvoir continuer à les utiliser.

En bref, cela bénéficiera sans aucun doute aux entreprises d’une manière ou d’une autre… à l’avenir ! Mais dans l’immédiat il convient peut-être de rappeler que les menaces qui visent l’entreprise sont parfois (souvent) très différentes de celles qui ciblent les Etats.

Comment faire alors ? « Il faut réfléchir à la sécurité dès la conception des réseaux », tranche Jonathan Brossard. « Même si les banques sont en avance, elles doivent faire évoluer leur réseau, car elles sont de plus en plus ouvertes au public », considère Philippe Courtot, fondateur de Qualys, une société de cybersécurité.

« On ne peut pas tout protéger. Il faut avoir une cartographie des personnes critiques et des données ultrasensibles », explique Michel Van Der Berghe. Atheos trace les administrateurs des logiciels sensibles, comme les outils de paie, afin de suivre tous leurs mouvements grâce à un système de mots de passe enfermés dans des coffres-forts électroniques. Même sur le devant de la scène, la cybersécurité reste taboue - ni Carrefour ni Voyages-sncf n'ont souhaité témoigner - et les entreprises réfléchissent à deux fois avant de porter plainte. « Elles ont souvent peur que la procédure pénale ne leur échappe, et que cela ne leur fasse de la mauvaise publicité », explique Isabelle Renard, avocate au cabinet Derriennic.