Cybersécurité : l’importance de la prise de conscience des TPE et PME

Selon le directeur Olivier Ligneul, directeur cybersécurité chez EDF, lors de la dernière édition du Forum International de la Cybersécurité (FIC), il est primordial de pouvoir penser écosystème et dépendances opérationnelles !
Il précise qu’il est important d’envisager la cybersécurité au niveau de la filière c’est-à-dire que lorsque l’on est attaqué, on doit systématiquement en amont et en aval prévenir les acteurs de sa supply chain de façon à les alerter sur un danger potentiel. Les TPE et PME étant des acteurs incontournables du paysage cyber.

Il semblerait que les grands groupes ou OIV (opérateur d’importance vitale) ont grandement renforcé leurs défenses mais cette faille pourrait venir de leurs partenaires et plus précisément les sous-traitants, bien souvent il s’agit de petites entreprises peu matures dans le domaine de la cybersécurité. Afin d’assurer leur protection et la continuité dans leurs activités, ces entreprises doivent rapidement s’améliorer. La crise Covid s’est traduite par un grand bond en avant de plusieurs années dans ce domaine et par conséquent l’accélération des usages des services cloud et le développement du télétravail.

Plus de digitalisation, plus de risques

Selon l’expert de Proofpoint, la gouvernance du risque informatique reste mauvaise plus particulièrement dans les TPE et PME, aussi elle n’a pas intégré la nouvelle offre digitale qui elle a entrainé une plus forte exposition au risque. Le système d’information interne désigne une part de moins en moins importante des actifs exploités par les entreprises. Ces dernières consomment données et services hébergés hors du périmètre habituel, plus particulièrement via des applis SaaS.
Également, ce changement de périmètre du système d’info oblige à revoir la sécurité. Les grands groupes en prennent conscience et modifient donc leur approche de la sécurité. Cela se traduit par la démocratisation des architectures Zéro Trust visant à établir une sphère de confiance autour des utilisateurs. Les solutions Zero Trust actuellement ne permettent pas sans doute encore un usage plug&play ou clé en main conforme au TPE et PME. De plus, la sécurisation des modes de travail hybrides doit aussi être prise en compte, même si elle complexifie encore la gouvernance de la sécurité. Ces risques ne sont pas nouveaux. L’ouverture du système d’information et le recours aux services en ligne accentuent des risques comme les pertes de données et l’atteinte à l’image via les réseaux.

mettre en place une authentification forte pour les comptes sensibles

Délimiter, nommer les risques et agir vite sur les principaux

Loic Guézo recommande, afin de se mettre à niveau, la mise en place d’un cadre de gouvernance avec un responsable et une forte implication des dirigeants de décider des réponses à apporter aux risques cartographiés. Cette préconisation n’exclut pas des actions pragmatiques et rapides, bien au contraire, il s’agit de répondre aux menaces les plus immédiates pour les entreprises en l’occurrence sur les intrusions débouchant sur l’implantation d’un rançongiciel.
Qu’est-ce qui représente 80% du risque à ce jour ? il semblerait que ce soit la messagerie. Afin de pouvoir maximiser le retour sur investissement ou ROI, il est bien évidemment logique de pouvoir investir dans la sécurité de la messagerie et le contrôle des échanges numériques via l’écosystème. Cependant, cela implique que d’autres domaines soient déjà bien rôdés comme la configuration d’un service exposé sur internet et la gestion du patch management.

Les 5 mesures préventives préconisées par l’ANSSI pour protéger les entreprises

1. Renforcer la reconnaissance des systèmes d’information : mettre en place une authentification forte pour les comptes sensibles soit sur un mot de passe, une signature, un tracé de déverrouillage ou un support matériel style carte à puce, jeton USB, carte magnétique…
2. Déployer la supervision de sécurité : un système de supervision des événements journalisés devra être mis en place pour « détecter une éventuelle compromission et de réagir le plus tôt possible ».
3. Sauvegarder hors-ligne les données et les applications critiques : les sauvegardes effectuées doivent être réalisées en étant déconnectées du système d’information « pour prévenir leur chiffrement », et des solutions de stockage à froid (disques durs externes, bandes magnétiques) peuvent être utilisées afin de « protéger les sauvegardes d’une infection des systèmes et de conserver les données critiques à la reprise d’activité ».
4. Lister les services numériques critiques de l’entité : l’ANSSI conseille de réaliser un inventaire des services numériques d’une organisation en les listant par type de sensibilité, et d’identifier les dépendances vis-à-vis des prestataires externes.
5. Garantir l’existence d’un dispositif de gestion de crise adapté à une cyberattaque : les entreprises doivent fixer les contacts d’urgence et établir un plan de réponse adapté à la gestion des cyberattaques.