10 conseils cybersécurité pour protéger son entreprise

Mauvaise maîtrise de l’informatique, faible niveau de protection technique, externalisation des services IT sont autant de points faibles en matière de cybersécurité. Peu ou mal protégées, elles représentent également une porte d’entrée facile pour les hackers vers des partenaires et clients de plus grande taille, qui peuvent avoir des volumes de données plus intéressants à dérober. Selon une étude réalisée par Symantec, 77% des cyberattaques ayant touché la France en 2014 ont ciblé des PME…

Les grosses entreprises sont quant-à-elles plus difficiles à attaquer, mais les pertes qu’elles subissent sont souvent plus sérieuses : vols de grandes quantités de données pouvant être revendues sur le marché noir ou à la concurrence, mauvaise publicité liée à la médiatisation de l’affaire, pertes d’exploitation etc. Par ailleurs, la nouvelle réglementation GDPR contraint les entreprises détenant des informations personnelles de citoyens européens à mettre à niveau leurs systèmes d’ici deux ans.

Voici 10 conseils pour assurer la cybersécurité des entreprises :

1. Faire un état des lieux de ses données sensibles (données clients, salariés, plans stratégiques, propriété intellectuelle,…) susceptibles d’être ciblées par les hackers.
2. Sensibiliser les employés aux risques de cybercriminalité et de piratage des données. Une formation des équipes et du top management réduira ainsi les risques. L’objectif est de favoriser l’assimilation de bonnes pratiques en matière de cybersécurité : sécurisation des logins et mot de passe (changer son mot de passe tous les mois par exemple), accès à distance, sécurisation de son propre ordinateur (BYOD- Bring Your Own Device) ou de sa clé USB en cas d’utilisation professionnelle etc …
3. Réaliser un audit technique régulier de son système informatique (quantité de données, vulnérabilités, etc.), idéalement au moins une fois par trimestre. Ces mesures de prévention technique permettront, en cas d’attaque, de détecter plus rapidement la source et éviter ainsi sa propagation.
4. Simplifier la gestion du parc informatique en regroupant les actifs grâce à la virtualisation et au cloud.
5. Mettre en place différents niveaux de sécurité et créer des identifiants. Veiller à ce à quoi les employés ont accès.
6. Désigner un délégué à la protection des données, le poste est obligatoire depuis la mise en vigueur de la réglementation GDPR. Selon la taille de l’entreprise cette mission peut également être sous-traitée auprès d’un cabinet d’avocats ou un organisme spécialisé.
7. Vérifier la fiabilité des sous-traitants et hébergeurs cloud. Ils doivent également respecter le principe de « privacy by design » rendu obligatoire par le règlement GDPR et signer la charte de qualité prévue par l’Union Européenne.
8. Mettre en place un plan de réponse en cas de cyber attaque. L’information des clients est obligatoire afin de protéger la réputation de l’entreprise, préserver ses relations commerciales et éviter les pertes financières. Dans un second temps il faudra restaurer la confiance des actionnaires et du grand public.
9. S’entourer d’experts : l’accompagnement par des professionnels de l’informatique, en amont pour un diagnostic du système et si une cyber attaque intervient pour résourdre les problèmes et bien sûr necessaire. Il ne faut pas oublier l’importance du conseiller en communication pour contrôler les répercussions sur la réputation de l’entreprise et d’un avocat pour gérer les relations avec les régulateurs et les tiers.
10. Souscrire à une assurance. Elle permet de préfinancer le plan de réponse à un incident, pour un coût moyen de 3 % à 5 % du budget de sécurité informatique d’une entreprise. Astrid Marie Pirson, Responsable de Marché Technologies / Médias / Télécoms / Cyber Hiscox France, nous explique la marche à suivre : « Dans la pratique, grâce à un questionnaire partagé en amont, un courtier effectue avec l’assureur spécialiste une première analyse du risque. Elle est complétée si nécessaire par un audit technique avec un expert informatique mandaté par l’assureur. En cas d’incident, si l’entreprise a souscrit une assurance adaptée, les experts en informatique, les avocats et les agences de communication partenaires sont mobilisés immédiatement, aux frais de l’assureur, pour déclencher le plan de réponse approprié. »