Cybersécurité : risque à plusieurs inconnues

Le risque cyber – que les professionnels préfèrent appeler sécurité informatique – a trouvé avec la pandémie un phénoménal terrain de jeu inédit. En un temps record, pour répondre aux exigences techniques et organisationnelles du télétravail, les entreprises ont déployé à marche forcée des ressources digitales inédites, déportant dans le cloud une myriade d’applications et créant par là-même un véritable appel d’air pour les dysfonctionnements et atteintes informatiques. De tous les risques dits majeurs, le risque cyber est celui qui connaît la courbe d’occurrence la plus exponentielle. 

136 millions d’euros pour renforcer
la cybersécurité publique.

Entreprises et organisations doivent se préparer à plusieurs types d’attaque : cybercriminalité à but lucratif ; malveillance par négligence de l’entreprise et/ou de ses collaborateurs ; atteinte à l’image et à la no­toriété ; espionnage ; sabotage. Parmi les techniques préférées des pirates : les arnarques au président, qui reposent sur l’usurpation d’identité du patron, et le ransomware, qui consiste à s’introduire illégalement dans le système informatique de l’entreprise pour en crypter les données et réclamer une rançon contre restitution de l’accès à l’information. 

Un phénomène difficilement quantifiable

« Il est impossible d’évaluer précisément l’ampleur du phénomène. On voit chaque jour fleurir des études aux résultats difficilement vérifiables. Mais il ne fait en tous cas aucun doute que notre dépendance informatique résonne comme un vrai produit d’appel pour les pirates. Pour autant, gardons-nous des phantasmes. Je crois moins à un scénario de cyberpandémie mondiale qu’à une multiplication d’effets rebond causés par des attaques visant des infrastructures clés », commente Alain Bouillé, président du Club des experts de la sécurité de l’information et du numérique (CESIN). Où en sont les entreprises face à ce nouveau risque ? Le CESIN estime que 63% des entreprises ont constaté une augmentation du nombre d’attaques en 2020. Selon la 18^ème étude d’EY sur la cybersécurité, 36% des entreprises ne savent pas détecter des attaques sophistiquées et 20% ne sont pas en mesure de quantifier l’impact d’attaques. «Le travail de sensibilisation est important, mais il est aussi rendu de plus en plus délicat par la sophistication des attaques et la motivation des attaquants. On ne pourra pas toujours faire reposer la sécurité de nos patrimoines sur la vigilance des utilisateurs. Il va falloir miser sur des outils de protection plus efficaces et sur des stan­dards informatiques plus sécurisés», affirme Alain Bouillé.

Les administrations et les territoires dans le viseur des pirates

L’enjeu ne concerne pas seulement les entreprises. Les administrations et les territoires, jusqu’à présent moins touchés, sont et seront de plus en plus exposés. Dans le cadre du plan France Relance, l’Autorité nationale en matière de sécurité et de défense des systèmes d’information (ANSSI) bénéficie d’une enveloppe de 136 millions d’euros pour renforcer la cybersécurité de l’État, des établissements de santé, des organisations au service des citoyens et des territoires sur la période 2021-2022 : 60 M€ pour les collectivités territoriales, 25 M€ pour la sécurisation des établissements de santé, du ministère et des organismes qui en dépendent ; 30 M€ pour d’autres ministères et organismes d’État, 21 M€ pour le développement et le déploiement mutualisé des capacités nationales de cybersécurité.