Cybersécurité en entreprise : les bonnes pratiques pour renforcer votre cyber-résilience
Depuis la crise du Covid, le nombre de cybermenaces a augmenté de 400 % en France. Dans le même temps, la moitié des entreprises a constaté une hausse significative des attaques informatiques (chiffres de l’Assemblée nationale).
De son côté, l’ANSSI alerte sur le maintien de la menace cyber « à un niveau élevé » et sur la tendance des pirates digitaux à se déporter sur les entités les moins bien protégées. Dans ce contexte, les entreprises doivent adopter un certain nombre de bonnes pratiques pour se prémunir contre ces menaces et renforcer leur cyber-résilience, afin de garantir une reprise d’activité au plus vite en cas d’attaque. Comment élaborer une politique de cybersécurité efficiente ?
Pourquoi protéger votre entreprise contre les menaces informatiques ?
C’est un fait : les incidents cyber sont en hausse. Un rapport publié par IBM Security souligne que 83 % des organisations ont déjà été victimes de plus d’une violation de données en 2022. Pour la même année, Check Point Research constate une augmentation de 38 % des cyberattaques hebdomadaires contre les entreprises, en comparaison avec 2021. Ces attaques ont des conséquences sérieuses sur les organisations, à tous les niveaux : elles perturbent leurs activités (avec des coupures plus ou moins longues en fonction de la nature de l’incident) et impactent leur réputation (les vols de données tendent à briser la confiance des utilisateurs), parfois sur le long terme. Elles ont aussi un poids financier significatif : IBM Security montre que le coût d’une violation de données s’élevait, en moyenne, à 4 millions d’euros en 2022 – un chiffre en hausse de 12,7 % par rapport à l’année 2020.
Au-delà de ces conséquences majeures, il faut garder en tête que la cybersécurité est aussi une obligation légale. Les entreprises sont contraintes de se mettre en conformité avec la réglementation, notamment en respectant les exigences du RGPD (le règlement général sur la protection des données).
La question n’est donc pas de savoir s’il faut définir une politique de cybersécurité en entreprise, mais comment la mettre en place.
Comment mettre en œuvre une démarche de cybersécurité dans votre entreprise ?
Chaque entreprise est différente. Néanmoins, une stratégie visant à mettre en œuvre une démarche de cybersécurité doit nécessairement passer par l’adoption d’un certain nombre de bonnes pratiques. Voici lesquelles.
1. Évaluer les risques cyber
À quels risques votre entreprise est-elle exposée ? La réponse dépend de plusieurs paramètres :
- La nature de votre activité et la criticité des données recueillies. Par exemple, les organisations qui gèrent des données bancaires ou des informations personnelles sont considérées comme critiques. La perte ou la divulgation non autorisée de ces données peut avoir des conséquences graves, notamment des fraudes ou des atteintes à la vie privée.
- La sécurité de l’environnement informatique, qu’il s’agisse du SI, du prestataire qui héberge vos données, de votre plateforme Cloud, la sécurité de l’environnement global se mesure par la sécurité du maillon le plus faible de toute la chaîne. Il est donc important de ne rien négliger.
- La taille et l’exposition de votre organisation, les TPE et les PME étant particulièrement visées par les cybercriminels en raison de vulnérabilités plus apparentes. D’après la CPME, 42 % des entreprises de moins de 50 salariés ont déjà subi une ou plusieurs attaques, ou tentatives d’attaques informatiques. Cependant, les grandes entreprises ne sont pas pour autant épargnées. Les sociétés de médias, entreprises SaaS, e-commerce ou encore plateformes de jeux en ligne restent également des cibles de choix pour les cyber attaquants. Même si elles sont souvent bien mieux protégées que les TPE/PME, les dégâts potentiels en termes de chiffre d’affaires perdu ou de réputation provoqués par une fuite de données ou une attaque par déni de service par exemple sont souvent très importants.
2. Protéger votre infrastructure informatique et votre réseau
La vulnérabilité de votre environnement informatique dépend fatalement de son niveau de sécurité. Il est donc indispensable de veiller à ce que votre SI et votre réseau bénéficient du plus haut degré de protection possible. À ce titre, il est possible d’agir sur plusieurs points :
- En vous assurant de mettre à jour régulièrement vos applications et logiciels.
- En instaurant une politique rigoureuse de gestion des accès au réseau et aux plateformes web, et en restreignant l’accès aux données les plus sensibles.
- En vous assurant de la sécurité des serveurs sur lesquels vos données sont stockées (idéalement dans des datacenters européens, afin de garantir leur souveraineté).
- En implémentant un système de sauvegarde régulière des données, dans un lieu indépendant du serveur d’origine, et qui permette de les restaurer dans les meilleurs délais.
- En adoptant des outils hautement sécurisés : antivirus et pare-feu, bien sûr, mais aussi une technologie Cloud adaptée à la criticité des données (Cloud public, privé ou hybride, qualification SecNumCloud, etc.).
- En pensant dès la conception de l’infrastructure aux enjeux de disponibilité des services : Quelle est la durée acceptable de disponibilité ? Quelle est la perte acceptable d’évènements ? La réponse à ses questions va déterminer les choix d’architecture et les stratégies de déploiement.
3. Définir une politique de cybersécurité en interne
En entreprise, la bonne application des mesures de cybersécurité suppose de s’appuyer sur une politique interne complète et explicite, et de veiller à ce que l’ensemble des collaborateurs en prenne connaissance. Cette politique cyber inclut des mesures comme…
- Un mode de gestion adapté aux données critiques, notamment au niveau des accès (système d’authentification forte) ;
- L’instauration de mots de passe robustes;
- La sécurisation des appareils utilisés par les collaborateurs en mobilité (avec une attention particulière portée sur les risques relatifs au Shadow IT) ;
- L’application d’une séparation stricte des usages au sein de l’entreprise (avec, par exemple, la création de comptes utilisateurs dédiés à la navigation sur le web, ou la restriction des autorisations accordées en fonction de l’application et de l’utilisation qui en est faite) ;
- La formation des employés aux notions essentielles de cybersécurité.
4. Sensibiliser les collaborateurs aux risques cyber
C’est, en effet, un point essentiel. Car la cybersécurité ne relève pas exclusivement de la responsabilité des directions informatiques : ce risque concerne tout le monde, et tous les employés doivent participer à la protection de leur organisation. Cela suppose de leur présenter :
- Les risques cyber existants, ainsi que les mesures de précaution à prendre (choix de mots de passe sécurisés, utilisation du matériel fourni par l’entreprise en cas de travail en mobilité, interdiction de brancher sur les machines du bureau des supports de stockage apportés de l’extérieur, etc.).
- Les divers types d’attaques : ransomware, phishing, ingénierie sociale, attaques DDoS, attaque de l’homme du milieu…
- La nécessité de signaler les incidents de sécurité au plus vite.
5. Établir un plan d’action en cas d’incident
Une démarche de cybersécurité n’a pas uniquement pour but de protéger l’entreprise : elle vise aussi à lui donner les armes pour réagir en cas d’attaque. En ce sens, il est indispensable de prévoir un plan d’action dédié aux menaces cyber à déployer lorsqu’un événement a lieu. Ce plan doit prévoir les choses suivantes :
- Un ensemble de procédures permettant de détecter une cyberattaque et d’isoler le problème au plus tôt.
- Un processus de récupération des données, afin d’assurer la continuité de l’activité.
- Une procédure de gestion de la communication de crise, auprès des parties prenantes, des médias et du public.
- La marche à suivre pour signaler l’incident à la CNIL (c’est une obligation en cas de vol ou de perte de données).
- La souscription d’une assurance contre les cyber-risques, afin de limiter les pertes financières.
6. Mettre en œuvre un processus d’amélioration continue
Dernière bonne pratique en matière de cybersécurité : placer l’entreprise dans une démarche d’amélioration continue. Un processus doit être établi pour évaluer les mesures prises (via des audits réguliers), réaliser des simulations afin d’identifier les vulnérabilités potentielles, et lancer des tests de pénétration (pentesting).
C’est d’autant plus crucial que l’entreprise ne peut pas se reposer sur ses lauriers : les menaces évoluent sans cesse, et les cybercriminels s’adaptent (très) vite aux innovations sécuritaires.
La mise en œuvre d’une démarche de cybersécurité dans votre entreprise repose sur quatre piliers majeurs : la préparation aux attaques (évaluation des risques, protection du SI et du réseau, élaboration d’une politique de sécurité), la sensibilisation des collaborateurs, la gestion des sinistres, et l’amélioration continue (pour maintenir à jour vos règles de sécurité).
Ce sont des chantiers complexes, vous pouvez vous faire accompagner et bénéficier de l’expertise d’ Iguane Solutions (certifiée ISO 27001) pour vous guider dans l’élaboration d’une politique de sécurité efficiente et dans le renforcement de votre cyber-résilience.