Alors que les entreprises avaient eu un premier signal fort avec WannaCry il y a presque deux mois, il semblerait que nombre d’entre elles n’ont toujours pas pris la menace cyber au sérieux.
Or, les récentes attaques nous montrent qu'un incident peut avoir des conséquences catastrophiques impliquant des arrêts de production, des fermetures de sites, des pertes de données vitales, un impact fort sur l'image et la réputation... Dans ce contexte, chaque mois, nous assistons à des cyberattaques toujours plus importantes qui mettent en avant la grande vulnérabilité des entreprises et des États face aux nouvelles menaces. Un billet de Pierre Calais, Directeur Général de Stormshield, paru sur le site Les Echos.
Une nécessaire prise de conscience de la part des entreprises
Bien entendu, il serait illusoire de penser qu'il est possible de mettre un coup d'arrêt définitif aux cyberattaques. Pour autant, les entreprises doivent réagir et ne pas rester passives. Pour beaucoup, la cybersécurité représente un coût (technologique, humain, organisationnel) qui est malheureusement souvent relayé au second plan. Ainsi, plus de la moitié des entreprises dépensent toujours moins de 3 % de leur budget informatique en sécurité (source Clusif 2016).
Bien sûr, se protéger et s'équiper à un coût, mais c'est une nécessité, au même titre qu'une assurance par exemple. Il convient donc de positionner la cybersécurité comme un axe de gouvernance stratégique et de prendre en compte les aspects aussi bien technologiques qu'organisationnels. Dans ce contexte, pour éviter que le législateur n'impose des règles de plus en plus strictes aux entreprises en matière de cybersécurité, ces dernières doivent prendre conscience de leur responsabilité. Ce sujet ne doit plus uniquement concerner la DSI, mais également le COMEX quant aux décisions d'investissement.
Des ballons d'essai et une volonté de marquer les esprits
Une des évolutions des attaques que nous voyons déferler tient également à la volonté des cyber-criminels de les rendre visibles. Nous sommes effectivement très loin de l'APT (Advance Persistent Threat) dont l'objectif est de rester caché le plus longtemps possible. Ces nouvelles attaques massives ont pour objectif d'être particulièrement visibles. En ce sens, elles ont pour effet de mettre en lumière et à grande échelle la vulnérabilité des entreprises.
Pour autant, ces attaques pourraient n'être que des ballons d'essai de pirates qui affûtent leurs armes... Ne nous y trompons pas, elles ne sont qu'un début et vont gagner en intensité et en dangerosité.
Un nécessaire rebond citoyen
La cybersécurité est donc l'affaire de tous. La multiplication des attaques de ces derniers mois doit alerter les entreprises et leur permettre de prendre la mesure de cette tendance de fond qui représente une menace critique pouvant avoir des répercussions majeures sur leur activité. On notera enfin qu'au-delà de protéger leurs données, les entreprises ont également un rôle à jouer vis-à-vis de leurs collaborateurs, partenaires et clients. En effet, la frontière entre la vie personnelle et professionnelle étant de plus en plus floue, l'entreprise devient responsable de ces employés ou clients d'un point de vue digital.
Si tous les acteurs économiques prennent en compte cet état de fait et réagissent, nous pourrons alors peut-être éviter le pire et créer un espace numérique sécurisé pour le bien-être de tous.
