L’oeil de l’expert : la cybersécurité avec Jean-Michel Jacquel
Les cyberattaques sont devenues une réalité pour les entreprises de toutes tailles. Entre idées reçues, nouvelles menaces et bonnes pratiques à adopter, il n’est pas toujours facile de s’y retrouver.
Pour y voir plus clair, nous avons fait appel à l’expertise de notre Partner Head of Technologies chez UFO², Jean-Michel Jacquel.
Il nous partage son regard d’expert sur les risques cyber les plus courants et les réflexes essentiels à mettre en place pour mieux protéger son organisation.
- Quelles sont les cyberattaques les plus fréquemment utilisées à l’encontre d’une entreprise ?
Jean-Michel Jacquel (JM.J) – Je dirais qu’on distingue souvent 3 grandes catégories d’attaques.
La première est l’attaque par déni de service (DDoS), qui vise à rendre indisponibles les services exposés sur Internet en les saturant de requêtes.
La deuxième est une tentative d’intrusion, du social hacking. Les cybercriminels vont chercher à tromper les collaborateurs afin de récupérer des identifiants, des mots de passe ou autres informations sensibles leur permettant d’accéder au système d’information de l’entreprise, par une tentative de contact malveillant ou du phishing.
Et je dirais qu’il y en a une troisième, les attaques par ransomware. C’est un genre d’attaque qui va bloquer l’accès à l’appareil ou aux fichiers d’une entreprise, de sorte à ce que cette dernière ne puisse plus accéder à ses propres données. Ensuite, le cybercriminel, va demander, en échange du rétablissement d’accès, une rançon payante, en Bitcoin ou en monnaie.
Je dirais que ce sont les 3 plus grandes attaques.
2. Quelles sont les erreurs généralement commises par les entreprises dans leur stratégie de cybersécurité ?
JM.J - Les deux erreurs qui sont généralement commises par les entreprises sont liées à l’humain et à la perception du risque.
La première est le manque de formation, d’information et de sensibilisation des employés. Il est essentiel de sensibiliser régulièrement ses équipes et employés pour éviter les mauvaises réactions lorsqu’on reçoit un mail non sollicité ou un lien malveillant.
Et puis la seconde erreur consiste à penser que les cyberattaques n’arrivent qu’aux autres, et donc ne pas mettre en place les bonnes mesures pour justement essayer de faire face à ces attaques. On se dit toujours ça n’arrive qu’aux autres, c’est faux.
Il faut aussi comprendre que les cybercriminels ne cherchent pas uniquement à extorquer de l’argent directement aux entreprises, certains se font un trophée d’avoir réussi à hacker une entreprise en particulier.
Leur objectif est souvent de voler les données, qui sont ensuite revendues sur des marchés parallèles. Des informations clients, des données personnelles, ou des accès. Donc même si l’entreprise n’a l’impression de traiter que des données qui sont des données statiques, et non pas des données « à caractère monnayable », il y a toujours un risque.
En résumé, les entreprises qui sous-estiment le risque ont tendance à ne pas mettre en place les mesures de protection nécessaires. Or, lorsqu’une intrusion se produit, elle est très souvent liée à une erreur humaine qui aurait pu être évitée grâce à une sensibilisation régulière et à l’adoption de bonnes pratiques
3. Quels conseils donnerais-tu à un dirigeant qui pense que la cybersécurité, est trop coûteuse ?
JM.J – Je lui conseillerai d’abord de comparer le coût de la prévention avec le coût réel que va générer la cyberattaque.
Lorsqu’une entreprise est victime d’une attaque, les conséquences ne se limitent pas aux frais de réparation. Il faut également prendre en compte l’impact sur la réputation de l’entreprise lorsque certaines données sont extorquées et publiées, la perte de confiance des clients, et aussi l’éventuelle baisse du chiffre d’affaires lorsque l’activité de cette dernière est interrompue pendant un certain temps.
Faire intervenir une entreprise comme UFO², pour essayer de faire face à une cyberattaque ou la prévenir, ça a un coût, mais c’est quelque chose qu’il ne faut pas voir comme une dépense, mais comme un investissement qui protège à long terme l’activité de l’entreprise.
4. « Mes données sont dans le Cloud, donc elles sont forcément sécurisées. » Vrai ou faux ?
JM.J – Faux.
Le fait que les données soient hébergées dans le Cloud ne garantit pas, à lui seul, leur sécurité. Les grands fournisseurs Cloud disposent généralement d’infrastructures extrêmement sécurisées, mais l’entreprise reste responsable de la manière dont elle protège ses données et ses accès.
On peut donc être hébergé chez un fournisseur très sécurisé et malgré tout subir une fuite de données simplement parce qu’un compte utilisateur a été compromis, qu’un mot de passe a été récupéré par phishing, que des droits d’accès sont trop larges ou qu’une configuration est incorrecte.
Il faut aussi faire la différence entre héberger ses données dans le Cloud et les sauvegarder. Une donnée présente et répliquée dans le Cloud n’est pas forcément protégée contre une suppression accidentelle ou malveillante, ou contre certaines conséquences d’un ransomware. Il faut donc conserver une véritable stratégie de sauvegarde et de restauration.
Le Cloud offre énormément de mécanismes de sécurité, souvent très performants, mais encore faut-il les configurer et les utiliser correctement. Mettre ses données dans le Cloud ne dispense donc jamais l’entreprise de gérer sa propre cybersécurité.
5. « Mes collaborateurs sont informés de ce qu’est une cyberattaque, donc je n’ai pas besoin de les former. » Vrai ou faux ?
JM.J – Faux.
Connaître le principe d’une cyberattaque ne suffit pas pour avoir les bonnes réactions face à cette dernière. La cybersécurité repose sur un travail continu de sensibilisation.
Même dans les entreprises formées, avec les exercices de simulation de phishing, on s’aperçoit encore que certaines personnes peuvent se faire piéger par les messages frauduleux, et les mails et liens malveillants.
La cybersécurité ne doit donc pas être considérée comme une information qu’on donne simplement à ses collaborateurs, mais plutôt comme un travail de fond et un processus permanent. Parce qu’avoir la bonne réaction et comportement face à une cyberattaque ça peut tout changer.
