Cybersécurité

2021 a été une année critique pour la Suisse, un très grand nombre d'attaques contre des entreprises et communes ayant défrayées la chronique, et 2022 ne devrait pas échapper à ce phénomène qui n’a rien de passager.

Signe des temps, l’Office Fédéral de la Statistique (OFS) a publié pour la première fois en 2021 les données relatives aux infractions numériques dans le cadre de la statistique policière de la criminalité (SPC) : en 2020, la police en a enregistré 24 398, dont la grande majorité (16 395) concerne la cyber-escroquerie. A titre de comparaison, il y a eu 32 819 cambriolages sur la même période.

Dans un ensemble d’études publiées par l’institut GFS-Zürich, il apparaît que plus d’un tiers (36%) des PME ont déjà été victimes d’une cyberattaque ayant nécessité « un travail considérable pour réparer les dommages » (+44% en un an). On assiste depuis plusieurs années à une meilleure prise en compte des risques liés aux cybermenaces : en 2017 seuls 4% des dirigeants de PME considéraient le risque de cyber-attaque comme « significatif » ou « très significatif », contre 65% en 2021.

Malgré cela, le risque reste sous-évalué puisqu’à peine la moitié des PME suisses disposent d’un service de sécurité informatique et 40% seulement d’entre elles forment régulièrement leurs collaborateurs ou mènent des audits de sécurité informatique.

Il existe plusieurs facteurs sous-jacents au développement des menaces numériques. On distingue tout d’abord une tendance de fond liée l’augmentation des enjeux de la digitalisation : une part croissante des services et processus de gestion des entreprises (comptabilité, salaires, gestion de documents, communication, etc.) est désormais traitée de manière numérique, ce qui accroît de fait la surface d’exposition aux menaces.

Le contexte sanitaire actuel constitue par ailleurs un facteur conjoncturel : celui-ci a en effet engendré un recours massif – et probablement durable – au télétravail, avec les défis et risques spécifiques qui l’accompagnent, nécessitant la mise en place par les entreprises de mesures techniques, organisationnelles et stratégiques pour y faire face.

Les études publiées par l’institut GFS-Zürich sur les attaques réussies démontrent une progression de celles-ci quel que soit leur type, avec une prépondérance des attaques par logiciel malveillant (virus, ransomwares, etc.).

À la question « votre entreprise a-t-elle déjà été une fois attaquée avec succès par l’une des techniques suivantes, ce qui a nécessité un travail considérable pour réparer les dommages ? », voici le pourcentage de réponses positives pour 2020 et 2021 :

Il faut noter que dans la grande majorité des cas, les attaques réussies ont exploité à la fois des vulnérabilités techniques et humaines (ingénierie sociale).

Au vu du nombre d’entreprises qui sous-estiment les risques liés à ces menaces ou sont insuffisamment protégées, une initiative commune initiée entre autres par l’Office fédéral pour l’approvisionnement économique (OFAE) et la commission d’experts de la Confédération chargée du traitement et de la sécurité des données (ICTSwitzerland) a mis en place un test en ligne simple et rapide permettant de déterminer si une entreprise dispose des mesures de protection nécessaires : https://cybersecurity-check.ch

Cet outil, s’il ne remplace évidemment pas un audit de sécurité complet, permet rapidement à travers un questionnaire accessible à tous d’identifier les faiblesses à corriger et points d’amélioration à apporter.

Afin de se protéger de ces menaces et réduire significativement les risques liés aux cyberattaques, il est indispensable pour les entreprises de mettre en œuvre des mesures de gestion de la sécurité.

Mesures techniques :

• Politique de mise à jour régulière des systèmes, logiciels et infrastructures
• Dispositifs logiciels et matériels spécifiques à la sécurité (pare-feu, antivirus, etc.)
• Mécanismes d’identification sûrs (politique de gestion et renouvellement des mots de passe, authentification multi-facteurs, etc.)
• Chiffrement des échanges (VPN, messagerie, etc.)
• Mise à disposition de matériel informatique géré par l’entreprise pour les collaborateurs (notamment pour le télétravail)
• Sécurisation LAN et WLAN
• Mesures organisationnelles :
• Mise en place d’un service de sécurité informatique (interne ou via un prestataire) offrant aux utilisateurs un support technique et un suivi sur les problématiques de sécurité
• Formation et sensibilisation régulière des utilisateurs
• Réalisation d’audits de sécurité
• Plan de Continuité / Reprise d’Activité (PCA / PRA) pour minimiser l’arrêt d’activité de l’entreprise en cas de sinistre ou incident grave (« disaster recovery »)

Ces différentes mesures doivent être clairement définies et faire l’objet d’évolutions et audits réguliers, de manière cohérente avec la stratégie de sécurité de l’entreprise.

GLOBAZ apporte une attention particulière à la cybersécurité via :

• Des infrastructures sécurisées et un système de management de la sécurité de l’information certifié ISO27001
• Une veille technologique permanente sur les menaces en cours et les évolutions des bonnes pratiques liées à la cybersécurité
• La centralisation et supervision des événements liés à la sécurité (Security Operating Center) sur ses réseaux et ceux de ses clients
• Une approche « security by design » dès la conception de ses projets et ceux de ses clients
• Des prestations de sensibilisation à la sécurité de l’information, de durées et niveaux variés, incluant des démonstrations concrètes de sécurité offensive et ayant pour objectif de fournir à vos collaborateurs les connaissances pour appréhender et anticiper les menaces dont ils peuvent être la cible
• Des audits de sécurité de vos infrastructures et applications
• Un accompagnement personnalisé dans la mise en place de votre stratégie de sécurité et le processus d’obtention d’une certification ISO9001 / ISO27001