Cybersécurité - Innovations digitales et numériques

« Tous les systèmes ont des failles et il en suffit d'une seule », considère Thierry Karsenti, directeur technique Europe de Check Point Security. Le risque zéro n'existe pas et les attaquants ont souvent un coup d'avance. La clef contre la catastrophe ? L'anticipation. En interne comme en externe, il faut savoir sur quelles équipes et quels dirigeants compter pour répondre à l'urgence, en termes techniques comme de communication. « Les entreprises ont toutes prévu des plans d'urgence en cas de crue de la Seine, constate Alain Bouillé. Mais elles sont encore peu nombreuses à se préparer en cas d'intrusion informatique. »

Des offres de cyberassurance appliquées au vol de données

En France, parmi les règlementations contraignantes, certaines dispositions de la récente loi de programmation militaire vont imposer aux opérateurs d'importance vitale (OIV) des notifications en cas d'incidents de sécurité. Tous les périmètres identifiés comme étant vitaux au bon fonctionnement de la nation seront soumis à cette obligation.

« On voit donc arriver un certain nombre d'initiatives dans les entreprises pour mieux détecter les attaques des systèmes informatiques et pour y réagir », confirme Chadi Hantouche, du cabinet Solucom, en rappelant qu'un écosystème se crée en réaction à cette évolution. Il évoque notamment les produits de cyberassurance élaborés par de grands acteurs du secteur de l'assurance. En cas de vol de données, ces contrats peuvent, selon le cas, couvrir l'identification du problème, la remise en état des systèmes, la prise en charge des frais de notifications aux clients et aller jusqu'à la restauration de l'image de l'entreprise.

Conclusion : si les analyses de Brian Krebs sont valides, le piratage de Home Depot a donc probablement touché plus de 2 000 magasins aux Etats-Unis et, ce depuis avril ou mai selon les témoignages des banques interrogées par le blogueur. Rappelons que le vol de données chez Target, qui a duré environ 3 semaines seulement, concernait 1 800 magasins. Et avait abouti à la mise en vente de 40 millions de numéros de cartes. Il faut donc s’attendre à des chiffres encore plus vertigineux avec Home Depot, qui semble parti pour remporter le triste record de la plus grosse fuite de données bancaires à ce jour.

Mais des évolutions venues de Bruxelles devraient rapidement voir le jour pour uniformiser la réglementation au niveau européen. Une proposition de règlement général - « sans obligation, donc, de transposition dans le droit national », note Gabriel Voisin - sur la protection des données devrait entrer en vigueur en 2016 ou 2017. Il prévoit l’obligation, pour toute entreprise, d’informer le régulateur national en cas d’attaque, voire les personnes affectées le cas échéant. «  Cela va permettre d’harmoniser en partie le millefeuille de couches réglementaires qui se superposent en fonction des pays et peuvent poser problème aux multinationales », explique Gabriel Voisin. Et donc faciliter le recours juridique des sociétés attaquées, déjà bien contrariées par une telle affaire.