Violations de données, piratages, braquages digitaux, l’accroissement des risques cyber va de pair avec la multiplication des dispositifs informatiques utilisés par les entreprises.

Aujourd’hui, la gestion du risque cyber est un enjeu stratégique majeur des entreprises, quelle que soit leur taille.

Le risque cyber se définit comme tout risque de perte financière, d’interruption forcée des activités ou d’atteinte à la réputation d’une entreprise ou d’un entrepreneur en raison d’une défaillance de son système d’information.

Deux catégories de risques cyber :

Le premier concerne la sécurité des données : l’entreprise est tenue de protéger ses données contre la perte, le vol, la destruction ou la diffusion de ces données.

Le second risque concerne l’interruption du dispositif informatique qui induit un arrêt de l’activité de l’entreprise.

Travail à distance, risque cyber et crise sanitaire

La crise sanitaire que nous venons de traverser a obligé les entreprises à modifier leur mode de fonctionnement et les a obligées à mettre en place dans l’urgence du télétravail pour leurs salariés.

Les failles de sécurité sont amplifiées par le travail à distance, l’utilisation d’ordinateurs et smartphones personnels des salariés, le recours aux  visioconférences..

Dans ce contexte, les cyber criminels ont démultiplié les actions de piratages informatiques afin de récupérer des données confidentielles.

Quelques exemples d’attaques cyber :

• Le phishing ou hameçonage est une technique qui repose sur la crédulité des personnes attaquées pour leur soutirer des informations confidentielles telles que des mots de passe. En général, les cybercriminels se font passer pour de grandes entreprises ou pour l’administration en reprenant leur charte graphique. L’objet de ces mails est de faire pression sur les destinataires en mettant en avant des menaces, amendes ou sanctions, afin d’obtenir en retour les informations confidentielles.

Ces mails sont parfois accompagnés de pièces jointes intégrant des logiciels malveillants.

• Le ransomware ou rançongiciel :

Il s’agit de la prise en otage d’un ordinateur ou d’un serveur.

C’est une cyber attaque fréquente qui consiste à envoyer des mails avec des pièces jointes contenant des logiciels malveillants.

Lorsque les destinataires ouvrent le fichier, le logiciel malveillant rend inaccessible tous les documents de l’entreprise. Seul le paiement d’une rançon permet d’accéder de nouveaux aux fichiers.

• Le spoofing ou usurpation d’identité électronique

Le hacker utilise l’identité d’un proche afin d’envoyer des virus informatiques ou du spam.

• L’attaque DDoS  ou attaque par déni de service (Destributed Denial of Service attack)

Ces attaques informatiques ont pour objectif de rendre indisponible un site web. Ces attaques sont en général faites depuis plusieurs sources.

Ce type d’attaque consiste à envoyer une multitude de requête à un site web afin de bloquer les serveurs.

Quelle stratégie adopter contre les risques cyber ?

Dans un monde hyperconnecté à l’économie globalisée, les risques cyber évoluent trop rapidement pour qu’il soit possible de s’en prémunir complètement. Face à ces risques, il est donc nécessaire de développer une stratégie visant d’abord à prévenir les risques les plus courants, puis à accroître la résilience de l’entreprise en cas de cyberattaque. 

La prévention des risques cyber

Une grande partie des cyberattaques pourrait être évitée facilement grâce à l’adoption de certaines mesures préventives. Outre les solutions techniques généralement recommandées telles que les antivirus, le filtrage d’URL ou le firewall, la cybersécurité repose également sur l’adoption de bonnes pratiques lors de l’utilisation des outils informatiques. Voici une liste des recommandations les plus courantes en matière de cybersécurité : 

Bien choisir ses mots de passe

Il existe un certain nombre de règles de base à respecter afin de créer un mot de passe sécurisé :

• il doit comporter entre 8 et 12 caractères alphanumériques, et, si possible contenir des caractères spéciaux.
• il ne doit contenir aucune information personnelle. (surnoms, dates, lieux). 
• il ne doit être utilisé qu’une fois. 
  
  

Sauvegarder ses données régulièrement

En cas d’attaque informatique, il se peut que certaines données de l’entreprise soient détruites ou qu’il soit impossible d’y accéder. Dans ce cas, il peut s’avérer utile de disposer d’une sauvegarde récente de ces données. Il existe plusieurs solutions de stockage de données telles que le disque dur externe ou le stockage en réseau.

Mettre à jour son matériel informatique

Les mises à jour des appareils et logiciels informatiques portent souvent sur la correction des failles des sécurité. C’est pourquoi lorsqu’une mise à jour est disponible il ne faut jamais tarder à la faire. 

Éviter de pré enregistrer les mots de passe sur les appareils informatiques

En cas de vol d’un appareil sur lequel les mots de passe sont enregistrés, les données de l’entreprise pourraient être facilement récupérées. 

La prévention des risques cyber nécessite une attitude proactive de la part de l’entreprise et des ses salariés. Aucune mesure n’assure une protection définitive, c’est pourquoi il est nécessaire de s’informer régulièrement sur les nouveaux risques et sur les bonnes pratiques à adopter pour les éviter. Le site internet cybermalveillance.gouv.fr, dédié à la prévention du risque numérique, propose des conseils ainsi qu’un service d’assistance aux victimes de cyber malveillance aussi bien pour les professionnels que pour les particuliers.

Le site cybermalveillance.gouv.fr présente une liste complète de recommandations et bonnes pratiques pour se prémunir contre les cyberattaques.

Accroître la résilience de l’entreprise

Selon une enquête réalisée par SystemX en 2019, pour une PME de moins de 50 salariés, la probabilité d’être victime d’une cyberattaque se situe entre 2 et 5% (soit entre 100 000 et 250 000 entités par an). La tendance actuelle ne permet pas d’espérer une forte diminution des risques cyber dans les prochaines années, il est donc nécessaire pour les entreprises d’accroître leur résilience face aux cyberattaques. La résilience est la capacité d’une entreprise à opérer normalement après un accident, un choc, une perturbation, ou une panne. 

Une assurance adaptée contre les risques cyber peut permettre à l’entreprise de retrouver un fonctionnement normal le plus rapidement possible après une cyberattaque grâce à un soutien technique, juridique  et financier. En amont, l’assurance peut également proposer une palette d’outils de sécurisation, notamment une évaluation des risques informatiques.

Se protéger des cyber risques n’est plus une option pour les entreprises. Quelle que soit leur taille, les entreprises sont, au travers de leur système informatique, de plus en plus exposées aux conséquences d’attaques malveillantes.

Protéger son organisation, comme évoqué ci-dessus, devient dont une priorité pour se prémunir de conséquences économiques et juridiques pouvant être importantes.

L’assurance du risque Cyber

Toute protection n’étant pas infaillible, assurer son organisation permet d’introduire une couche de sécurité supplémentaire et de se prémunir contre les conséquences économiques ou juridiques les plus importantes.

Les contrats « Cyber » proposés par les assureurs ont pour vocation de couvrir :

• Les conséquences en termes de responsabilités (réclamation formulée par un tiers à l’encontre de l’entreprise ayant subi la « cyber attaque »)
• Les conséquences économiques directes subies par l’entreprise.

Responsabilités :

Un acte de malveillance sur le système informatique de l’entreprise peut générer des dommages à des tiers avec lesquels il est en relation (clients, fournisseurs,…).

Dans ce cas, le contrat « cyber » a pour vocation de couvrir :

• les frais d’assistance et de défense liés à la mise en cause,
• les indemnités que l’entreprise peut avoir à verser en cas de responsabilité avérée.

Conséquences économiques directes subies par l’entreprise :

Au-delà des dommages pouvant être occasionnés à des tiers, l’entreprise victime d’un acte de malveillance peut subir un préjucice.

Les principales conséquences économiques prises en charge par les contrats cyber sont les suivantes :

• Frais engagés pour l’intervention d’un expert en sécurité informatique
• Frais engagés pour l’intervention d’un consultant spécialisé en cas d’atteinte à la réputation et à l’image de l’entreprise
• Frais engagés pour l’intervention d’un spécialiste pour la restauration des données informatiques
• Frais engagés pour enquêter sur l’origine et la cause d’une menace d’extorsion 
• Versement de fonds pour mettre fin à une cyber extorsion
• Frais engagés pour la notification aux personnes intéressées d’une atteinte aux données personnelles
• Frais engagés pour contrôler toute utilisation impropre des données personnelles recueillies en cas d’atteinte aux données personnelles et confidentielles,
• Frais engagés pour le conseil et l’assistance en cas d’enquête administrative à l’encontre de l’entreprise
• Sanctions pécuniaires prononcées par une autorité administrative à la suite d’une enquête en raison de tout manquement relatif à la réglementation sur la protection des données individuelles.
• Pertes de marge brute et frais supplémentaires d’exploitation consécutives a un acte de malveillance.

La mise en œuvre de certaines garanties ainsi que les niveaux de franchises appliqués peuvent être conditionnés contractuellement à la mise en œuvre de moyens de prévention (firewall, anti spam, mots de passe, logiciels anti virus,…) ainsi qu’à des règles de sauvegarde.

Qlara, un expert indépendant pour l’analyse, le suivi et l’optimisation du dossier assurances de votre entreprise :

Si vous souhaitez obtenir des informations complémentaires ou bénéficier d’un accompagnement par un tiers de confiance, Qlara propose un service de suivi et d’optimisation du dossier Assurances entièrement centré sur les intérêts de l’entreprise.

Améliorez votre marge, gagnez du temps et bénéficiez d’une couverture assurances complète et lisible en confiant à Qlara la gestion de votre dossier Assurances.

En savoir plus