Aujourd’hui, non seulement le nombre de cyberattaques ne cesse d’augmenter, mais elles sont aussi plus fréquentes et plus complexes. Ce n’est guère surprenant, étant donné que nos vies sont inextricablement liées au numérique. En fait, nous pouvons difficilement vivre sans la technologie connectée. Tout le monde utilise des appareils qui sont constamment connectés à l’Internet.
Le jeu du chat et de la souris avec les cybercriminels
Si nous regardons le monde des affaires, nous constatons que de nos jours, les petites entreprises ne sont plus épargnées par les cyberattaques. Auparavant, les grandes entreprises étaient la cible principale, car les cybercriminels pensaient pouvoir en tirer davantage. Autre évolution : la plupart des entreprises ont massivement adopté le travail hybride ces deux dernières années. Cela signifie que de nombreux employés travaillent à domicile avec la technologie de l’entreprise, sans supervision directe du département informatique. Cela rend les entreprises plus vulnérables aux cyberattaques.
Dans le jeu du chat et de la souris qui se joue chaque jour entre la cybersécurité et les cybercriminels, les deux parties utilisent désormais des technologies avancées, telles que l’intelligence artificielle. Dès que les white hats découvrent une vulnérabilité, ils utilisent cette technologie pour combler la faille. Dans le même temps, les black hats, qui utilisent la même technologie, tentent d’exploiter cette faiblesse pour accéder aux systèmes de l’entreprise.
Nous constatons également une évolution du type d’attaques. Auparavant, il y avait de nombreuses attaques impliquant des ransomwares : les cybercriminels chiffraient les données essentielles de l’entreprise, y compris les sauvegardes importantes. Ce n’est qu’après le paiement d’une rançon considérable en bitcoins que les entreprises récupéraient l’accès à leurs données. Aujourd’hui, les cybercriminels menacent en plus de rendre publiques les données de l’entreprise, ce qu’on appelle une double extorsion. La divulgation de données équivaut à une violation de données, pour laquelle les entreprises peuvent se voir imposer des amendes élevées. Pour l’éviter, les entreprises sont obligées de payer des sommes importantes aux criminels.
Le facteur humain et la cybersécurité
Lancer une cyberattaque est plus facile que jamais de nos jours. Une carte de crédit suffit. Sally Eaves explique : « Les hackers proposent leurs services sur des places de marché illégales. Pour un montant fixe, vous pouvez acheter des prestations telles que du phishing, des attaques DDoS ou d’autres. Cette offre bon marché cause évidemment une augmentation du nombre de cyberattaques. »
Les CISO doivent tenir compte du facteur humain dans la cybersécurité. Le hardware intelligent et les solutions de sécurité les aident généralement à repousser la plupart des cyberattaques, mais le personnel est souvent le maillon faible de la cybersécurité. Par exemple, si un employé clique sur un lien malveillant dans un e-mail, il permet à un cybercriminel d’accéder au réseau de l’entreprise. Ne sous-estimez pas non plus l’ingénierie sociale : un cybercriminel peut se faire passer pour un collègue de l’administration système et demander à l’employé de se connecter à une certaine page Internet en utilisant son mot de passe. Le cybercriminel peut ensuite accéder aux données confidentielles de l’entreprise grâce aux données de connexion volées.
Voilà pourquoi il est important de former les employés dans le domaine de la cybersécurité. Pour y parvenir, les entreprises doivent prévoir des budgets et des ressources à cet effet. Les employés doivent prendre conscience des dangers d’un accès distant. Ils ne doivent jamais cliquer sur des liens suspects dans des messages électroniques vagues et ne doivent pas transmettre de données confidentielles par téléphone. En plus de proposer des formations, une entreprise doit également prévoir une couche de sécurité supplémentaire pour les appareils utilisés par les employés, par exemple via une authentification à deux facteurs lors de la connexion aux systèmes professionnels. Après avoir saisi le nom d’utilisateur et le mot de passe, les employés reçoivent un code supplémentaire via leur smartphone, qu’ils doivent saisir pour obtenir l’accès. Ceci rend inutiles les noms d’utilisateur et les mots de passe volés.
L’importance d’une bonne cyberhygiène
Selon la professeure Sally Eaves, les entreprises doivent maintenir une bonne cyberhygiène. Elle entend par là que les entreprises et le personnel doivent faire très attention à tout ce qu’ils font d’un point de vue informatique. Ils doivent élaborer une politique de cybersécurité transparente et aussi simple que possible. Chaque membre de l’entreprise doit être en mesure de comprendre et d’appliquer les règles relatives à la cybersécurité. Sally Eaves estime qu’en appliquant une bonne cyber hygiène, les entreprises peuvent repousser 98 % des cyberattaques.
La cartographie des données et la surveillance du flux de données sont également cruciales, par exemple en supprimant régulièrement des données stockées inutilement. Il faut aussi restreindre l’accès à certaines données pour certains utilisateurs. Les employés ne doivent avoir accès qu’aux données dont ils ont réellement besoin pour effectuer leur travail. Il est conseillé d’établir pour chaque rôle une politique d’accès aux données correspondante.
Les terminaux jouent un rôle essentiel dans la cybersécurité. Il s’agit notamment des ordinateurs portables, des PC fixes, des smartphones et des tablettes que les employés utilisent. Tout appareil peut être la cible d’une attaque. Les employés qui travaillent avec leurs propres appareils – tels que des smartphones et des ordinateurs – dans le cadre du BYOD (Bring Your Own Device) posent un risque supplémentaire pour l’entreprise. C’est pourquoi les entreprises gagnent à déployer une politique Endpoint detection and response (EDR).
Supports de stockage avec une capacité de cryptage
Les supports de stockage portables, tels que les disques durs externes et les clés USB, sont vulnérables. Les organisations qui utilisent de tels supports doivent systématiquement les crypter. Si, par exemple, un périphérique de stockage USB crypté devait tomber entre de mauvaises mains, rien ne pourrait arriver car les données stockées sont constituées de « 1 » et de « 0 » aléatoires et inexploitables.
Enfin, les entreprises doivent trouver un équilibre entre le niveau de sécurité et le bien-être de l’employé qui accomplit ses tâches quotidiennes. Sally Eaves conclut : « Personne ne veut une situation où nous devons constamment saisir des codes pour consulter des documents ou accéder à des applications. Cela nuit à la productivité et la satisfaction au travail. En même temps, les entreprises doivent veiller à colmater chaque brèche pour empêcher les cybercriminels d’entrer. En définitive, il s’agit de sensibiliser les employés aux dangers des cyberattaques. Ceci, combiné à une politique de cybersécurité bien pensée, devrait permettre aux organisations de repousser la plupart des cyberattaques en 2022.
