Aujourd’hui, le risque cyber est devenu un sujet incontournable de la gestion des risques dans une entreprise. Personne n’est à l’abri et récemment, de grandes entreprises ont été touchées par des cyberattaques, paralysant leurs outils informatiques, menaçant l’activité et altérant leur image.
Les cyberattaques en tête des risques d’entreprise
Une cyberattaque est un acte de piratage visant un
dispositif informatique. Elle peut cibler différents supports : ordinateurs ou
serveurs, smartphones, tablettes ou autres objets connectés. Les hackers parviennent
généralement à leurs fins en exploitant des failles au sein des programmes
informatiques, qui leur permettent de réaliser des actions n’ayant pas été
prévues par les développeurs du logiciel. Les attaques sont multiples : hameçonnage,
harponnage, téléchargement furtif, cassage de mot de passe, injection SQL, cross-site
scripting, écoute clandestine, attaque des anniversaires et logiciel
malveillant.
Même les plus grands acteurs sont touchés. Dernièrement en
France, plusieurs attaques ont sévèrement affecté le fonctionnement d'hôpitaux
à Dax et Villefranche-sur-Saône. Des collectivités locales ont aussi été
touchées depuis l'an dernier (Angers, La Rochelle, Marseille...). Et longue est
la liste des entreprises ciblées (Altran, Fleury-Michon, Bénéteau, Ouest-France,
MMA, Sopra Steria, Microsoft…), des opérateurs publics (l'Autorité bancaire
européenne) avec un impact dépassant parfois plusieurs semaines.
En 2020, l'Anssi (gardien de la sécurité informatique française) a relevé une augmentation de 255 % des attaques au rançongiciel dans son périmètre d'intervention, la sphère publique, les grandes entreprises et celles qui sont essentielles pour la sécurité nationale.
(Source Kaspersky)
Des conséquences catastrophiques
Les conséquences des cyberattaques sont variées : pertes
financières, réputation écornée, destruction du système d'information…
Le coût financier parfois considérable
Une cyberattaque provoque fréquemment un arrêt de l’activité
de l’entreprise, et par conséquent un sérieux manque à gagner. Il s’agit de la
perte d’exploitation. Par exemple, dans l’hypothèse de perte de données comme
un fichier client indispensable à l’entreprise, l’activité est alors arrêtée et
l’on peut constater une baisse considérable du chiffre d’affaires. En 2017, l’entreprise
Saint-Gobain a supporté plus de 250 millions d’euros de dommages sur son
chiffre d’affaires quand elle fut attaquée avec le ransomware.
Une entreprise à l’arrêt
L’entreprise subit une désorganisation liée à la remise en route du système infecté, à la reconstitution des données perdues, à la mobilisation d’une équipe après une attaque et il faut du temps. Prévoir un plan de restauration est alors nécessaire.
Une image de marque écornée
C’est un dommage moral difficile à évaluer avec le renvoi d’une mauvaise image de marque et une baisse de confiance de la part de ses clients à la suite de la fuite de données. Lorsque les données personnelles de clients sont subtilisées, vendues ou révélées publiquement, ces derniers peuvent se montrer réservés à la poursuite d’une collaboration et se détourner de l’entreprise.
La nécessité de se protéger
Les entreprises sont-elles suffisamment couvertes ?
L’étude "The Global State of Information Security
Survey 2016" réalisée par le cabinet Denjean & Associés fait le point
sur les risques encourus par les entreprises. En France, à l'exception des
grands groupes, toutes les entreprises sous-estiment les risques de cyberattaques
et l'ampleur de la cyberfraude.
Il semble que seuls les décideurs de grandes entreprises sont
conscients de la réalité de ce risque. A l'autre bout du spectre, les
dirigeants de TPE et de PME sous-estiment fortement les risques liés à la
cyber-sécurité.
Un plan de prévention à mettre en place pour prendre conscience du risque
Le meilleur comportement pour se protéger est d’anticiper
ces attaques et de mettre en place des politiques de prévention pour au moins
diminuer leur impact. Idéalement, la réalisation d’un audit du système de
sécurité, du site web ou des points d’accès à Internet est nécessaire pour
déceler les éventuelles failles. Cela peut se faire par un ordinateur qu’on a
oublié de déconnecter, un téléchargement sur un site illégal, un virus apporté
par une clé USB non protégée, etc. Il est indispensable de sensibiliser le
personnel de l’entreprise au sujet, de leur donner des consignes claires en cas
d’envoi de spams…
Les solutions assurancielles ? Quel contrat d’assurance souscrire ?
Coupler la dimension informatique au recours à une assurance
spécifique permet d'avoir une approche globale de protection de son
infrastructure et de ses données informatiques.
En d’autres termes, la responsabilité de l'entreprise est un
facteur clé à protéger. 2 mots clés : protéger et pérenniser l'activité de
l'entreprise avec une couverture en cas de fuite des données, de rupture
d'exploitation, de contamination du système informatique.
En France, plusieurs assureurs proposent des contrats de «
cyberprotection » dédiés à ce type de risques. Ces polices d'assurance ont pour
objectif de réduire l'impact financier des sinistres. Au-delà du remboursement
du préjudice subi, ces contrats proposent aux entreprises des services
d'assistance technique, juridique et de gestion de l'image.
Egalement, il est possible d'intégrer des garanties spécifiques dans certains contrats d’assurance classiques. Par exemple :
· L’assurance dommages aux biens peut prévoir l'indemnisation de la perte d’exploitation directement ;
· L’assurance responsabilité civile générale peut inclure la prise en charge des coûts résultant des réclamations qui font suite à une cyberattaque ;
· L’assurance sur les risques de fraude peut prendre en compte la fraude informatique.
Certaines assurances proposent également la prise en charge d'un audit informatique.
Conclusion : soyez vigilant et assurez-vous ! ?
