Cybersécurité, prenez le contrôle pendant qu’il en est temps : maintenant !

• Cela ne va pas piquer, cela va être violent et brutal, les organisations criminelles ont une seule motivation : l’argent. Leurs attaques ont pour but d’interrompre brutalement vos activités métiers : bloquer l’accès aux comptes de vos clients, empêcher l’acquisition de nouveaux clients, bloquer les flux d’affaires avec vos partenaires.
• Il ne s’agira pas d’une mauvaise passe passagère, le rétablissement sera long et âpre. Quel serait l’impact pour la stabilité financière de votre entreprise d’une perte de développement de chiffre d’affaires pendant un mois, un trimestre ou plus ? Quel serait l’impact de la divulgation d’informations clients sur votre renommée et votre compétitivité sur le marché ? Quelle garantie avez-vous qu’en cas d’attaque sévère, les données et sauvegardes critiques de votre société sont protégées et utilisables pour la reconstruction ? Quel impact cette crise aurait sur vos meilleurs talents et sur leur confiance dans la pérennité de l’entreprise ?

Les chiffres sont là et ils sont irrévocables.

En 2024, le nombre et la gravité des attaques n’ont cessé d’augmenter et cette tendance va se poursuivre en 2025 (Rapport Acronis).

• 40% de hausse des attaques ransomware en 2024 par rapport à 2023 (Source : Verizon 2024 Data Breach Investigations Report)
• 35% des attaques ont exploité des failles non corrigées du système d’information (Source : Verizon 2024 Data Breach Investigations Report)
• 20% de hausse de données personnelles (identité personnelle, informations bancaires, …) exposées en 2024 par rapport à 2023. (Source : 2024 Data Breach Investigations Report de Verizon)
• 4,45 millions de dollars, c’est le coût moyen en 2023 d’une violation de données, incluant la perte de données, la gestion de la crise, les frais juridiques et la compensation des victimes. (Source : IBM 2024 Cost of a Data Breach Report).
• 68% seulement des entreprises ont réussi à récupérer toutes leurs données après avoir payé la rançon. Les autres ont subi des pertes partielles ou totales de leurs données. (Source : Coveware Ransomware Report 2024)
• 78 % des organisations ayant cédé à une rançon ont été victimes d’une nouvelle attaque de ransomware, souvent perpétrée par le même groupe criminel (Source : clubic.com)
• 45 % des professionnels ont envisagé de quitter l’industrie de la cybersécurité en raison du stress lié à la menace constante des ransomwares et à la nécessité d’être disponibles en permanence (Source : lebigdata.fr)

L’arrivée de l’IA introduit de nouvelles menaces plus difficiles à identifier et bloquer. Par ailleurs, la France est malheureusement le pays dans le monde qui a connu le plus fort taux d’attaques en 2024 (Rapport Sophos).

Le risque est certain, votre entreprise sera brutalement touchée et votre activité sera interrompue si les mesures ne sont pas rapidement mises en œuvre.

L’attaque ransomware, le basculement dans le chaos

Si jusqu’à présent vous avez eu la chance de ne pas subir une attaque ransomware, mon expérience va vous aider à mieux envisager l’ampleur du sinistre.

Les attaques ransomware sont habituellement conduites par les cybercriminels hors des heures ouvrées, i.e. la nuit, le week-end, les jours fériés, lorsque votre système d’information est le moins surveillé.

Si vous n’avez pas les bons dispositifs de protection, vous ne verrez pas l’attaque venir, vous ne verrez pas non plus l’attaque se produire, vous n’en verrez que les conséquences : une entreprise dévastée dont les opérations sont interrompues pour une durée indéterminée (de plusieurs jours à plusieurs semaines.

Sur la base de mon expérience d’une attaque ransomware, voilà la situation à laquelle vous aurez à faire face si vous ne prenez pas les actions de protection nécessaires :

Un matin, vous vous rendez à votre entreprise. Comme tous les matins, vous passez mentalement en revue les enjeux de votre journée tel que vous les avez prévus, et c’est alors que votre téléphone sonne. Il s’agit de votre Directeur du Centre de Gestion de la Relation Clients.

Il vous informe de la situation, grave. Les premiers collaborateurs arrivés aux premières heures, n’ont pas pu se connecter au système d’information. Leurs postes de travail sont tous bloqués, figés sur un message indiquant que le système d’information a été attaqué par un groupe de rançonneurs. Le message précise que le système d’information est totalement bloqué, que les données sont cryptées et qu’une rançon doit être payée pour que le système d’information soit à nouveau opérationnel. Le Directeur de la Relation Client vous informe que la Direction des Système d’Information et le Responsable de la CyberSecurité ont été alertés et que leurs équipes ont été mobilisées. La conversation se termine.

A cet instant vous faites face : « hors de question de tomber dans le catastrophisme ». Vous essayez de vous rassurer : « Cet incident est très impactant mais il doit être limité à certains services de l’entreprise. Les équipes informatiques et cyber vont se charger de traiter ce problème. Votre agenda dans les prochains jours est trop important pour être impacté par cet incident ».

Peu avant votre arrivée à l’entreprise, la Direction Financière vous appelle :  « le système d’information est inaccessible », puis la Direction des Ressources Humaines vous appelle, même constat : « le système d’information est inaccessible ».

Vous comprenez à présent que la situation a basculé. Vous appelez votre assistante pour lui demander d’annuler et de reporter toutes les réunions prévues sur les deux prochains jours, le temps de gérer cette crise. Malheureusement, votre assistante vous répond qu’elle est dans l’incapacité d’annuler ces réunions. En effet, elle aussi n’a plus aucun accès au système d’information.

Vous comprenez à présent qu’il ne va pas s’agir de gérer une situation de crise mais de gérer une situation de chaos.

Les actions de développement de votre entreprise vont devoir être reportées et ce jusqu’à une date inconnue. Vous allez devoir à présent gérer cette situation de chaos, votre système de relation client, votre téléphonie, votre système de gestion, vos données BI, les documents stratégiques, votre messagerie, vos espaces collaboratifs… plus rien n’est accessible.

Dans les prochaines heures, vos partenaires, vos investisseurs, les représentants du personnel, vos clients, ….Tous vont vous contacter, soucieux de l’impact sur le SI, leurs investissements, l’emploi du personnel.

Comment informer les salariés ? Comment mobiliser les personnes clés ? Faut-il ignorer la demande de rançon ? Le plan de continuité d’activité peut-il être déclenché ? Quelle communication vis-à-vis des clients ? Leurs données ont-elles été exposées ou corrompues ?

Il faut organiser un Comité de Crise mais sans moyens informatiques, comment faire ?

• Est-ce que ce chaos et cette mise en danger vitale de l’entreprise était évitable ? Oui, dans 35% des cas, l’attaque était évitable par la mise en place de mesures de mise à jour régulière des systèmes d’information.
• Est-ce que cette situation de chaos peut s’aggraver ? Oui,

78 % des organisations ayant cédé à une rançon ont été victimes d’une nouvelle attaque de ransomware, souvent perpétrée par le même groupe criminel (Source : clubic.com)

Ne pas sous-estimer le risque et ne pas céder au fatalisme !

Les attaques ransomware ont augmenté de 40% en 2024. Tous les secteurs d’activités et toutes les tailles d’entreprises sont concernés.

La compétition du marché oblige votre entreprise à augmenter la diversité des technologies informatiques (télétravail, cloud, collaboratif étendu aux partenaires, IA, développements natifs cloud) complexifiant les architectures informatiques et fragilisant la maîtrise du risque. Quels sont les points de fragilité de mon SI ?

L’offre de solution de cyber protection évolue avec la multiplication des techniques d’attaques (anti-virus, ransomware, brut force, déni de service, usurpation d’identité, phising, keylogger, overlay attack, …). Comment investir efficacement dans la protection de son système d’information ? Comment garder la maîtrise de son budget informatique ?

Les normes et les standards ont pour but de guider les entreprises mais leur nombre important (nationaux, internationaux et sectoriels) créé un brouillard qui épuise les experts cybersécurité. Quel standard utiliser ?

Le stress lié aux enjeux, la confusion liée au brouillard des offres et des standards de cyber protection créent une situation de grande fatigue des experts de cyber-securité.

Cette situation ne doit pas être acceptée avec fatalisme. 45 % des professionnels ont envisagé de quitter l’industrie de la cybersécurité en raison du stress lié à la menace constante des ransomwares et à la nécessité d’être disponibles en permanence.

(source lebigdata.fr)

Lorsque l’entreprise sera attaquée, le fatalisme ne sera alors plus une option. Il faut donc traiter et anticiper le risque cyber lorsqu’il en est encore temps.

Construire une cyberprotection robuste et une gouvernance opérationnelle

Une architecture cybersécurité pour être robuste doit également être simple afin que chaque collaborateur de l’entreprise puisse comprendre sa contribution dans la mise en œuvre et le maintien de cette architecture de cyberdéfense.

Je préconise :

a) une architecture de cyberdéfense construite en trois cercles de défense:

Un premier cercle dont la mission est de repousser les attaquants et ne pas les laisser s’introduire dans le système d’information de l’entreprise. Si ce premier cercle est traversé, le deuxième cercle devra détecter et éradiquer au plus tôt l’attaque. Enfin, si le second cercle est en partie traversé, le troisième cercle doit s’assurer que les données et traitements critiques de l’entreprise sont parfaitement sanctuarisés, même en cas de destruction du système d’information.

b) une gouvernance opérante en temps de paix et en temps de crise:

Une architecture cyber protection repose sur des briques techniques et également sur des comportements humains dont chaque collaborateur est responsable. L’ensemble de ce dispositif doit évoluer dans le temps (prise en compte des changements organiques de l’entreprise, des nouvelles menaces et implications des nouveaux collaborateurs). Un Comité CyberProtection, incluant la participation des dirigeants de l’entreprise, permettra de s’assurer :

–          du maintien dans le temps d’un niveau de protection efficace,

–          de la capacité de l’entreprise à gérer la crise dans toutes ses dimensions (opérationnelles, techniques, humaines, brand, relation investisseurs, relation clients, …)

Agissez avant l’attaque

Chaque action de renforcement que vous réaliserez en amont, contribuera à éloigner le risque et à en réduire son impact.

Aucun dirigeant n’envisagerait d’avoir des mesures de sécurité d’accès physique à son établissement qui ne soient pas au niveau des menaces (badges d’identité magnétiques, portiques d’accès, caméras de surveillance, gardiennage de nuit, …).

Il en est de même de la sécurité digitale de l’entreprise.

N’attendez pas, prenez le contrôle de la cyberdéfense de vos opérations.

1.    Repousser les menaces

2.    Détecter et éradiquer les attaques

3.    Sanctuariser vos actifs critiques

4.    Gouverner vos efforts