Particulièrement exposées, comment les PME et TPE peuvent-elles se protéger des cyberattaques ?

Le Lyon Cyber Expo, rendez-vous dédié à la cybersécurité, s’est tenu la semaine passée à Lyon. Soixante exposants et plusieurs milliers de visiteurs sont venus à ce rendez-vous devenu incontournable.La plupart des attaques visant des entreprises concernent des Petites et moyennes entreprises (PME), voire même des Très petites entreprises (TPE). « Elles sont souvent mal protégées, car la plupart du temps les responsables de la sécurité sont les responsables DSI, qui ne savent pas s’équiper », assure un représentant de la société française Advens, un des leaders européens de la cybersécurité. Advens a donné une conférence sur les enjeux pour les PME et TPE face aux cyberattaques, avec son partenaire TD Synnex, un des plus grands groupes mondiaux de distribution de matériels et de systèmes informatiques. Voici les principaux enseignements.

Avoir conscience que cela concerne tout le monde. Les PME et TPE ont représenté en 2023 34 % des attaques par rançongiciels. « C’est le tissu économique régional et local qui est le plus souvent impacté par manque de connaissance ou d’appétence. Or, les pirates informatiques ont tendance à aller vers là où c’est le plus facile », assure Cédric Sroussi, directeur des services de TD Synnex.Avec un impact fort, car les données peuvent être complètement bloquées. « Certains chefs d’entreprises se pensent à l’abri, se disant que les attaquants vont privilégier les grandes entreprises pour obtenir de grosses sommes. Or, ces derniers sont assez intelligents pour s’adapter aux chiffres d’affaires des entreprises visées, en demandant 10.000 ou 40.000 euros afin d’être sûrs d’obtenir la rançon », insiste un expert d’Advens. Il constate que les entrepreneurs attendent de voir la menace se rapprocher pour réagir ; par exemple quand une entreprise de leur secteur ou proche géographiquement subit une attaque.

Si la menace concerne les entreprises, aucun de leurs services n’est à l’abri. « Pour réussir, les attaquants vont essayer de taper au bon endroit. Donc ils vont cibler un service qui montre des fragilités. Avec l’intelligence artificielle, cette spécialisation va s’aggraver, car l’arme de l’IA, c’est l’adaptabilité. »

Limiter le facteur humain. Selon les spécialistes, 90 % des attaques viennent des points d’accès, qui sont majoritairement des boîtes mails, avec l’attaque par hameçonnage : un mail invite à cliquer sur une pièce jointe. En un seul clic, toutes les données de l’entreprise se retrouvent en danger. Pour les experts, le maillon faible de la TPE-PME, c’est le collaborateur qui n’a pas de réflexe sécuritaire : « L’hygiène sécuritaire passe donc par la formation, pour que l’utilisateur ait le bon réflexe. »Dans les banques, le facteur humain est également surveillé de près. « Surtout depuis le Covid, qui a accéléré la dématérialisation des opérations, aussi bien de nos clients que de nos fournisseurs », insiste Laurent Soler, directeur Risques et conformité, à la Caisse d’Épargne Auvergne-Limousin, dont le siège est à Clermont-Ferrand.  « Le facteur de fraude le plus fort, c’est l’humain », poursuit-il. La banque multiplie donc les messages d’alerte, notamment sur les applis mobiles de ses clients : une mise en garde s’affiche dès l’ouverture du service en ligne.

Etre capable de retrouver ses données. Pour les représentants d’Advens, il faut avant tout s’assurer que ses données sont sauvegardées en cas de cyberattaques. « Si on ne peut pas les retrouver, c’est 10 ans, 20 ans, 30 ans, qui disparaissent en une nuit. Une vraie catastrophe. » Si les entreprises ont nommé un référent en cas d’attaque, cela ne suffit pas forcément, car la plupart des attaques ont lieu le vendredi soir, la nuit ou le week-end. Le télétravail n’arrange pas l’équation, puisque les attaquants peuvent couper le travail à distance… C’est pour cela qu’il est conseillé de s’attacher les services d’un prestataire capable d’intervenir 24/7, grâce à un service appelé follow the sun (suivre le soleil).

Investir, oui mais combien. Les spécialistes estiment que 10 % au moins du budget d’une entreprise dédié au numérique doit être investi pour être suffisamment protégé. « Certaines sociétés montent jusqu’à 20 %, mais c’est très important », note Advens. Les grands donneurs d’ordre sont de plus en plus soucieux de voir leurs sous-traitants se sécuriser, afin d’éviter une attaque dite en supply chain. « Les attaquants savent que les grandes entreprises sont protégées, donc ils cherchent le maillon faible pour remonter jusqu’à elles. C’est notamment le cas d’Airbus, qui compte beaucoup de sous-traitants et leur a demandé de s’équiper », notre Cédric Sroussi.Afin d’investir à bon escient, les professionnels conseillent de réaliser au préalable un audit, afin de définir ses points faibles. Car il existe aussi des attaques dites invisibles.

La personne entre dans l’entreprise, récupère la base client et va la vendre sur le darknet. On ne le voit pas et deux ans après on se retrouve concurrencé par un pays à bas coût, parce que quelqu’un a revendu toutes nos informations.

Prendre un assureur. Assurer son entreprise contre les cyberattaques coûte désormais plus cher, voire beaucoup plus cher : les franchises ont doublé voire décuplé ces dernières années. Mais les spécialistes, à commencer par le délégué régional de l’ANSSI, Mathieu Delaplace (lire ci-après), conseillent de s’assurer. « On aura beau mettre toutes les protections qu’on veut, il existe une limite en termes de coûts, car modifier des process peut réduire son efficacité », indique-t-il. S’assurer ne permet pas de s’exonérer des investissements nécessaires, car les assureurs peuvent réclamer un plan d’investissements avant d’accorder un contrat.