Cyberattaques : protégez votre entreprise en ligne

Bot management DDoS

Cyberattaques : la menace n°1

Le numérique, qui nous ouvre tant de possibilités, représente également une multitude de nouveaux risques.

Si votre activité dépend d’outils numériques (et qui n’en dépend pas ?), la naïveté peut être une erreur fatale.

Beaucoup de chefs d’entreprise portent encore des œillères, mais l’anticipation des cyberattaques peut faire la différence entre la vie et la mort pour votre entreprise.

Quels sont les principaux risques liés à la cybersécurité à l’heure actuelle ? Quelles sont les meilleures pratiques pour protéger votre entreprise des cyberattaques ? Et qu’attendent les autorités compétentes des acteurs économiques et des entreprises du digital ?

Lors de l’assemblée générale de l’EBG, le principal think tank français sur l’innovation digitale, un discours a trouvé un écho particulier auprès de nous : celui de M. Guillaume Poupard, Directeur Général de l’Agence Nationale de la sécurité des systèmes d’information (ANSSI).

Son message principal ? N’attendez pas la catastrophe pour vous demander ce qu’est la cybersécurité, et comment protéger vos données et celles de vos clients !

Si vous entretenez des doutes sur votre protection contre les cyberattaques, voici une série d’observations inquiétantes — et quelques conseils pour prendre les choses en main.

Quatre catégories de cyberattaques

Dans son discours, M. Poupard a énuméré quatre grandes catégories de cyberattaques menaçant les entreprises en général, et les entreprises en ligne en particulier.

Attaques de cybercriminalité

La cybercriminalité recouvre un large éventail de menaces, allant de la fraude et des escroqueries au vol d’identité et à l’extorsion. C’est une «industrie» en pleine croissance : d’après Norton, la cybercriminalité génère désormais plus de recettes criminelles que le trafic de drogues.

Le coût pour les victimes augmente également : Juniper Research estime qu’en 2019, la numérisation des données des consommateurs et des entreprises aura porté le coût des violations de données à 2,1 billions de dollars.

La cybercriminalité est là pour de bon, mais une réalité demeure : l’essentiel des pertes liées à la cybercriminalité sont totalement et facilement évitables.

À titre d’exemple, la solution de blocage de bots de DataDome empêche quotidiennement de très nombreux robots du type « impersonators » d’accéder aux bases de données de nos clients pour y trouver des crédits, des bons d’achat et des informations bancaires, en se faisant passer pour des utilisateurs légitimes.

Attaques d’espionnage

L’espionnage ne concerne pas seulement les organismes gouvernementaux. Les entreprises de toutes tailles sont ciblées pour leurs informations sensibles, leurs secrets commerciaux et pour les données personnelles et financières de leurs clients.

Les attaques d’espionnage vont du web scraping à l’intrusion dans les bases de données. Chez DataDome, nous observons de nombreuses tentatives de vol d’informations auprès de nos clients par l’utilisation de bots, qu’il s’agisse de scrapers ou des impersonators déjà mentionnés.

Bien sûr, les attaques d’espionnage proviennent de sources différentes, et pas seulement des robots. Mais le blocage des robots indésirables et nuisibles est un moyen simple de protéger de nombreux types d’informations essentielles pour les entreprises (telles que les prix et les données de connexion des clients).

Attaques de sabotage

Le but d’une attaque de sabotage, comme l’attaque mondiale survenue en juin 2017 et connue sous le nom de NotPetya, est de ralentir ou d’endommager les systèmes informatiques ou même de les détruire complètement. De vastes sommes d’argent sont consacrées chaque année à la réparation de systèmes touchés par ce type d’attaques.

Tout comme l’espionnage, les attaques de sabotage touchent les entreprises de toutes tailles. Souvent il s’agit d’attaques se propageant de façon virale, telles que NotPetya, mais un concurrent ou un ex-employé mécontent peut également cibler votre entreprise directement. Encore une fois, la protection de votre infrastructure contre les robots malveillants n’éliminera pas tous les types d’attaques de sabotage, mais un outil efficace de blocage de bots sera capable de repousser un nombre important d’attaquants.

Attaques contre les démocraties

Le quatrième type de menace décrit par M. Poupard concerne les attaques visant des institutions et des processus démocratiques. Le cyberterrorisme, la fraude électorale, le piratage et la publication des courriels des personnalités politiques … la liste est longue et troublante.

Dans ce domaine particulier, nous sommes surtout concernés en tant que citoyens, plutôt qu’en qualité de spécialistes de la cybersécurité. Cela dit, tout parti politique ou association qui prend la sécurité de ses membres au sérieux devrait avoir un plan pour protéger ses bases de données. Et si votre entreprise travaille avec des organismes publics ou politiques, vous portez aussi une part de la responsabilité de l’avenir de nos démocraties.

Protégez votre entreprise des cyberattaques

Alors, avec toutes ces menaces qui pèsent sur notre nouveau monde numérique, comment allez-vous protéger votre entreprise des cyberattaques?

Bien qu’aucune entreprise ne soit jamais complètement à l’abri d’une attaque, des mesures efficaces existent. À part mettre à jour vos logiciels Windows et changer les mots de passe administrateur par défaut de vos outils, voici trois principes fondamentaux de cybersécurité :

Gouvernance : le Comex doit s’emparer du sujet cybersécurité

L’un des messages clés de M. Poupard est que la cybersécurité ne peut plus être le souci uniquement des spécialistes. Le responsable de la sécurité de l’information ne doit plus être le seul responsable de la protection de l’entreprise, le bouc émissaire sur lequel on tape le jour où il y a un problème.

Les cyberattaques actuelles peuvent avoir d’énormes implications financières et juridiques, et assurer une protection efficace doit être l’affaire du comité exécutif et du conseil d’administration.

Sensibiliser en interne

Une mesure efficace, mais souvent négligée, pour protéger les entreprises contre les cyberattaques est de sensibiliser les employés de l’organisation.

Les attaques sont souvent d’abord détectées par les humains. Assurez-vous que toutes vos équipes sont conscientes des risques et des signes typiques des cyberattaques, et encouragez-les à être acteurs de la sécurité numérique. La protection de l’entreprise et de ses ressources techniques et humaines contre de telles attaques est l’affaire de tous.

Ce petit livre blanc (en anglais) d’AXELOS, une société britannique de méthodologie et bonnes pratiques de réputation mondiale, propose quelques conseils utiles sur la sensibilisation des employés.

La sécurité dès le départ

Enfin, dès le début de toute conception de système, les architectes doivent intégrer des mesures de sécurité. La protection contre les cyberattaques ne doit jamais venir dans un second temps : elle doit être intégrée à votre infrastructure dès le départ.

Si vos client n’ont pas confiance en vous, ils ne vont plus acheter !

Il faut avoir les barrières de sécurité les plus hautes possible. Aucune défense ne sera totalement hermétique mais si vous attaquer est trop compliqué et top coûteux, les hackers chercheront des cibles plus faciles. N’attendez pas qu’il soit trop tard pour vous préparer à une cyberattaque : la meilleure défense, c’est la défense.