Quels nouveaux défis la pandémie a-t-elle mis en évidence sur le plan de la cybersécurité ?
Le télétravail est sans aucun doute un nouveau défi survenu lors de la pandémie car c’est une extension d’une entreprise dans les foyers de ses collaborateurs. Ce qui fait exploser la surface d’attaque. De plus, la qualité de la connexion diffère dans le cadre privé, le contrôle y est plus difficile et les vecteurs d’attaques sont démultipliés. En effet, dans le privé les collaborateurs partagent leur connexion avec leur conjoint ou leurs enfants qui, eux, peuvent télécharger un malware qui peut trouver son chemin jusqu’à l’entreprise de l’employé en télétravail.
Les cyberattaques touchant les entreprises défraient de plus en plus la chronique. Est-ce un nouveau phénomène ?
En tant que professionnel, je travaille dans le domaine de la cybersécurité depuis 25 ans et il n’y a rien de nouveau sur le plan technique. Ce qui est nouveau, c’est l’intensité des attaques. Ce sont des centaines d’organisations criminelles qui travaillent dans ce domaine et gagnent des milliards de francs. Pour donner une idée à vos lecteurs, en Suisse, les cyberattaques engendrent globalement des pertes pour les entreprises atteignant quelque 20 milliards de francs.
Selon vous, les entreprises sont-elles prêtes à gérer ces attaques ?
Pas vraiment. On voit les cas de l’Université de Neuchâtel ou des communes de Rolle et de Montreux pour n’en citer que quelques-uns. La liste est longue. En 2021, 55’000 sociétés se sont fait pirater. Cela représente près de 10% de toutes les PME du pays. C’est majeur. A titre de comparaison, en 2020, 32’000 sociétés avaient été piratées.
Pourquoi ?
Il existe des outils pour lutter contre les cyberattaques, mais les entreprises ne les utilisent pas. Pourtant près de 80% des attaques seraient relativement facilement évitables avec des outils peu onéreux. Lorsqu’elles sont piratées, les entreprises paient souvent la rançon, ce qui aggrave chaque fois le problème.
Il faut dire que se prémunir contre les cyberattaques est une question d’hygiène, mais aussi de réputation et de compétitivité. Je ne pense pas qu’il faille absolument être au top de la cybersécurité, il suffit d’être meilleur que les autres. Les criminels essaient et si ça fonctionne ils gagnent le gros lot, sinon ils vont ailleurs.
Où les entreprises peuvent-elles se renseigner sur le domaine « cyber » ?
J’ai écrit un livre sur la question intitulé IT-Sicherheit für KMU (Beobachter Verlag). Il est actuellement uniquement disponible en allemand mais sera prochainement traduit. Cet ouvrage donne des outils et une checklist qui permet aux PME d’éviter le 80% des cyberattaques. Dans ce même ordre d’idées, nous avons créé un formulaire sur cybercheck.dreamlab.net qui permet d’évaluer les risques et offrir des possibilités de mesures à prendre. Il y a aussi le Centre national pour la cybersécurité, créé par la Confédération qui offre de bonnes informations.
Comment la cybersécurité se traduit-elle au sein des entreprises ?
Elle s’axe autour de trois piliers. Le premier concerne la technologie. Il faut utiliser les bons logiciels sécuritaires et avoir les bons réflexes comme procéder régulièrement à une sauvegarde hors-ligne. Le deuxième pilier concerne les ressources humaines. Les collaborateurs doivent être formés pour avoir une compétence numérique et un esprit critique. Le dernier pilier est la culture d’entreprise. C’est important d’instaurer une culture positive favorable à la cybersécurité. Une culture d’entreprise toxique représente un avantage pour les criminels.
Quel budget est-il utile d’allouer à la cybersécurité dans les PME ?
Il est extrêmement difficile de donner un chiffre car chaque PME reste un cas particulier. Le budget dépend de la maturité de l’entreprise, de sa clientèle et de la nature de ses affaires. Mais, les statistiques globales disent qu’une entreprise mature déjà forte d’une infrastructure en cybersécurité, devrait allouer un montant correspondant à 5% de son budget informatique global.
Quels sont les risques si rien n’est fait pour se protéger ?
Des sociétés ont fait faillite à cause de cyberattaques. De mon point de vue, d’ici 5 à 10 ans, les questions de cybersécurité s’inviteront dans les conseils d’administration car c’est leur tâche d’assurer la viabilité et la fiabilité de l’entreprise et ces enjeux-là deviennent existentiels pour les entreprises.
De votre point de vue, la Suisse est-elle prête à combattre les cyberattaques ?
La Suisse figure au premier rang du Global Innovation Index. En revanche dans le Cybersecurity index, elle pointe au 42e juste devant le Ghana. Ces deux index sont interconnectés car l’innovation est liée aux données qui, elles, doivent être sécurisées. Ce qui me rassure c’est que, depuis 3 ans, le gouvernement suisse a saisi la problématique et travaille dessus.
Les 6 et 7 avril ont eu lieu les Swiss Cyber Security Days. Quels sont les enjeux de cette manifestation ?
C’est un rendez-vous hyper important pour toute la société de comprendre que les questions de cybersécurités ne sont pas un sujet uniquement technique. Les informaticiens doivent être capables d’assurer la sécurité nécessaire pour la bonne marche des affaires d’une entreprise. C’est pourquoi les Swiss Cyber Security Days sont très importants car ils s’adressent à tout le monde, depuis les politiques, aux techniciens en passant par les Conseils d’administration.
La prochaine édition des Swiss Cyber Security Days se déroulera les 29 et 30 mars 2023 à Fribourg.