Cybersécurité en 2024 : quelle stratégie adopter ?

831 : c’est le nombre d’intrusions avérées recensées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en 2022. Soit plus de 2 cyberattaques réussies par jour.

La digitalisation des entreprises offre de nombreuses opportunités aux attaquants, et ce, dans tous les secteurs d’activité.

Que vous soyez freelance ou dirigeant(e) d’une TPE - PME, quels sont les risques auxquels est exposée votre entreprise ? Quelle stratégie cyber adopter ? Dans cet article, découvrez les caractéristiques du risque cyber pour les activités d’indépendant(e) et les TPE - PME, ainsi que les conseils pratiques d’Ayoub El Aassal, notre directeur de la cybersécurité.

Les cyberattaques, ça n’arrive qu’aux autres ? Pas vraiment si l’en on croit les études récentes. Même si le nombre global d’attaques constatées en 2022 était légèrement moins important qu’en 2021, « la menace reste élevée » selon l’ANSSI. Et cela concerne également les TPE - PME.

Pour vous donner quelques éléments de contexte chiffré :

• 45 % des entreprises ont été touchées par une cyberattaque ayant réussi en 2022 (baromètre du CESIN).
• 60 % de ces attaques ont eu un impact direct sur l’activité de l’entreprise. Pour 24 % des entreprises touchées, cela s’est traduit par des perturbations d’activité pendant une période significative, pour 14 % par une compromission d’information et une perte d’image / un impact médiatique, et pour 13 % par l’indisponibilité du site web (baromètre du CESIN).
• 14 % des entreprises victimes ont dépensé plus de 50 000 € pour relancer l’activité après la cyberattaque, et 6 % jusqu’à 100 000 €.

La réponse à ces deux questions détermine votre besoin de protection. Si votre niveau d’exposition est limité : votre présence en ligne consiste en un simple site vitrine et quelques profils sur les réseaux sociaux, votre principale menace sont les bots automatiques qui scannent Internet à la recherche de failles facilement exploitables. À partir d’un certain chiffre d’affaires ou selon le côté critique de votre business, vous pouvez être la cible d’attaquants avec plus de ressources et de compétences.

La combinaison typologie d’attaquants / ressources à protéger dicte la stratégie cyber. Une fois qu’elle est bien formulée, vous êtes prêt(e) à la dérouler.

Quel niveau d’exposition ?

Pour la plupart des freelances et des solopreneur(e)s, le niveau de risque est peu élevé. Vous avez sans doute un CV en ligne, un profil Linkedin et/ou Malt, peut-être un site web. En somme, rien qui ne menace la survie de votre entreprise. Il faut cependant sécuriser a minima votre activité. Voici nos deux conseils pour y arriver.

Quelles bonnes pratiques ?

L’authentification à double facteur (2FA pour two-factor authentication en anglais) est une méthode de sécurité qui requiert deux formes d’identification différentes pour accéder à vos données. Cela combine en général un élément que vous savez, comme un mot de passe, et un élément que vous possédez, comme une application ou une clé de sécurité physique.

Un identifiant et un mot de passe ne constituent pas une méthode de connexion très sécurisée : ce sont bien deux éléments distincts, mais c’est une authentification qui fait appel à un seul facteur (mémoriel).

Vous avez plusieurs méthodes à votre disposition pour mettre en place l’authentification à double facteur. Cela peut être :

• l’envoi d’un code unique par SMS, qui peut être limité dans le temps,
• l’utilisation d’une application d’authentification,
• l’envoi d’une notification de connexion sur un autre appareil,
• la reconnaissance faciale, vocale, ou par empreinte digitale,
• une clé de sécurité ou une clé cryptographique (par exemple, Yubikey).

Ces logiciels détectent automatiquement les sites web légitimes en pré-remplissant les champs d’authentification. Bien qu’un(e) humain(e) puisse être trompé(e) par un site malveillant, qui a copié l’identité de Gmail par exemple, le gestionnaire de mots de passe, lui, refusera de compléter votre mot de passe si le site n’est pas légitime. Cela vous alertera et vous pourrez éviter un incident.

Quid de la fonction de gestion de mots de passe incluse dans certains navigateurs web, comme Google Chrome et Safari ? Notre directeur de la cybersécurité vous donne son avis :

Stocker tous ses mots de passe dans un seul gestionnaire concentre le risque de sécurité en cas de faille de ce dernier. Encore une fois, tout est une question de risque. Choisissez-vous de prioriser le risque de rejeu de mot de passe ou le risque de piratage du gestionnaire de mots de passe ? Chaque entreprise dispose d’un appétit différent en fonction de sa situation économique et son secteur d’activité.

Quel niveau d’exposition ?

Une PME a en général une présence en ligne, grâce à son site web notamment. Elle peut d’ailleurs proposer ses produits et services en ligne. Elle a un réseau (infrastructures, outils, etc) et des données clients et business stockées. Votre niveau d’exposition au risque cyber devient plus important. Voici les conseils d’Ayoub El Aassal en fonction de votre stade de développement.

Quelles bonnes pratiques ?

Pour commencer, les recommandations indiquées pour les freelances et solopreneur(e)s s’appliquent également pour votre PME. Demandez l’authentification à double facteur sur les outils critiques utilisés par vos salarié(e)s et mettez en place un gestionnaire de mots de passe pour l’entreprise.

• Jusqu’à 50 personnes

2. Limiter l’impact en cas de compromission d’un actif

Qu’est-ce qu’un ransomware ? Également appelé rançongiciel, il s’agit d’un logiciel malveillant qui verrouille les données de l’entreprise et requiert une rançon pour les débloquer.

Ces deux bonnes pratiques garantissent une bonne protection de base à votre TPE - PME.

• À partir de 50 personnes

Une fois que vous dépassez 50 personnes dans l’équipe, recruter une personne spécialisée, qui se chargera de la protection de l’entreprise, devient incontournable.

1. Modéliser plus finement l’attaquant

Fort(e) de sa connaissance des différents modus operandi des attaquants, votre responsable cybersécurité vous aidera à identifier les bons sujets et prioriser les actions. Si la menace pressante est le ransomware, faut-il commencer par effectuer des sauvegardes, segmenter les réseaux ou encore installer un EDR (endpoint detection and response, il s’agit d’un logiciel de détection des menaces) ? Toutes ces mesures sont valides, mais leur ordre d’implémentation est clé et peut faire la différence entre une brèche systémique et un poste unique compromis.

Il ne faut pas qu’un(e) employé(e) puisse mettre en danger votre activité et/ou partir avec des données critiques. C’est une tâche compliquée, qui implique de mettre en place des process et des systèmes de validation (automatiques ou manuels). Par exemple, il ne faut pas qu’un(e) seul(e) développeur(se) puisse modifier du code critique en production. Il faut implémenter un système de revue ou d’approbation, tout en veillant à ne pas perdre en agilité et flexibilité de développement.

• À partir de 150 personnes

Au-delà de 150 personnes, on ne connaît plus tout le monde dans l’entreprise. Centraliser la gestion des identités devient important. Concrètement, cela passe par une plateforme sur laquelle chaque employé(e) s’identifie. Chez Qonto, nous utilisons OneLogin. Une autre plateforme populaire est Okta.

• À partir de 200 - 250 personnes

À ce stade, l’entreprise a mis en place assez d’éléments de protection pour commencer à envisager un investissement sérieux en détection. C’est le moment d’organiser la traçabilité des actions et de les centraliser. Si une personne modifie un composant critique, il faut pouvoir le savoir. En centralisant ces événements dans un SIEM (security information and event management), vous pouvez détecter des comportements inhabituels.

Vous l’aurez compris, en 2024, impossible d’ignorer le risque cyber. Y être sensibilisé(e) et l’intégrer dans vos plans de développement est devenu incontournable pour assurer la pérennité de votre activité. Nous espérons que les bonnes pratiques partagées dans cet article vous inspireront pour sécuriser votre entreprise.