TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
←
→
Transcription du contenu de la page
Si votre navigateur ne rend pas la page correctement, lisez s'il vous plaît le contenu de la page ci-dessous
CYBERSÉCURITÉ
TENDANCES ET
RECOMMANDATIONS
2019
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019
TENDANCES 2019 EN MATIÈRE
DE CYBERSÉCURITÉ
Les attaques sur la correspondance commerciale Les normes de sécurité de l’information,
par courriel (e-mail) se multiplient (attaques par une priorité pour les entreprises
hameçonnage ou spear phishing) En matière de sécurité de l’information, de nom-
La messagerie électronique est l’outil de prédilection breuses entreprises se basent sur des normes interna-
des pirates, notamment pour l’usurapation d’identité tionales, telles que ISO/IEC 27001 ou sur la base de
(phishing) ou autres attaques d’ingénierie sociale rapport de conformité à des contrôles définis tel que
au sein des entreprises. Les victimes sont invitées à ceux attestés par des auditeurs tiers indépendants
divulguer des informations internes sensibles ou à dans des rapports de type ISAE 3402.
payer des factures falsifiées. Cela concerne en parti- Ces normes constituent le fondement d’un solide
culier les dirigeants (CEO, CFO, etc.) et le personnel niveau de sécurité et sont axées sur les systèmes de
de la comptabilité et du controlling. gestion; de ce fait, elles ne sont pas très concrètes
dans leur application pratique. Seules les mesures
Les cas d’extorsion de fonds par rançongiels réellement mises en œuvre renforcent finalement la
(ransomware) se multiplient sécurité de l’information d’une entreprise!
En 2018, les cas d’extorsion de fonds à l’aide de
ransomwares tels que WannaCry ont augmenté de Renforcement des exigences (internationales) en
350% par rapport à l’année précédente, avec une matière de compliance
concentration croissante des attaques sur le secteur Les entreprises doivent se tenir informées en continu
de la santé. L’objectif est toujours le même: soustrac- au sujet des nouvelles lois, réglementations et
tion d’information ou chiffrer des informations afin directives relatives à la sécurité des informations et à
d’extorquer ensuite de l’argent, généralement sous la confidentialité des données (RGPD, Directive NIS,
forme de crypto-monnaies. règlement sur la protection de la vie privée). En raison
des contraintes réglementaires plus strictes et plus
Les vulnérabilités des partenaires commerciaux complexes, la mise en place de mesures supplé-
d’une entreprise mettent en péril son propre mentaires s’impose, ce qui augmente le besoin de
réseau spécialistes en la matière.
Les pirates utilisent souvent les interfaces dédiées
aux partenaires commerciaux (par exemple, un Pénurie de compétences dans le secteur de la
réseau privé virtuel, VPN, des portails clients, etc.) sécurité de l’information
pour accéder à des données d’entreprise sensibles. La pénurie d’experts en cybersécurité reste un pro-
Pour ce faire, ils pénètrent dans le réseau du par- blème pour les entreprises en 2019. Les spécialistes
tenaire commercial, puis entrent dans l’entreprise expérimentés, qualifiés et certifiés dans le domaine
ciblée via les interfaces. En raison de la relation de de la cybersécurité sont une denrée rare.
confiance qui existe entre les partenaires commer-
ciaux, les interfaces sont souvent moins bien sécuri- Résignation à l’égard de la sécurité de
sées ou surveillées et, par conséquent, ces attaques l’information
ne sont pas détectées suffisamment tôt. La consolidation de nombreuses données entre les
mains d’une poignée d’entreprises, la dépendance
croissante à l’égard des appareils périphériques en
réseau (IoT ou internet des objets) et les rapports
constants sur les menaces en ligne et les violations
de données ont entraîné une certaine désensibili-
sation de la population. De nombreuses personnes
optent pour la résignation et renoncent à contrôler
leur présence numérique (selon la devise: «De toutes
façons, je n’ai rien à cacher»). Mais les pirates poten-
tiels profitent de cette désillusion et les fraudes telles
que l’usurpation d’identité ou le cyberespionnage
augmentent de manière significative.
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019
RECOMMANDATIONS 2019 EN MATIÈRE
DE CYBERSÉCURITÉ
Effectuer une analyse régulière des menaces Mettre en place un processus de gestion des
via e-mail incidents
En raison de la prolifération des tentatives d’escro- Lorsque des plans de réponse aux incidents et de pour-
querie et de piratage par e-mail, de nombreux outils suite des activités ont été mis en place, les entreprises
et systèmes de détection et de défense ont été peuvent réagir de manière appropriée en cas d’incidents
développés et optimisés ces dernières années. De touchant à la sécurité de l’information. La gestion des
nombreux dispositifs sont déjà mis en œuvre dans incidents doit faire office d’instance centralisée de
la plupart des entreprises (antivirus, DKIM, SPF, sécurité de l’information à l’échelle de toute l’entreprise
etc.). Pour vérifier leur efficacité, il est recommandé et servir d’interface avec les autorités locales (telles que
d’effectuer périodiquement une analyse des menaces l’autorité de protection des données). L’organisation et
véhiculées par e-mail. A l’instar du test d’intrusion, le personnel peuvent être préparés aux cas d’urgence à
cette analyse consiste en une tentative ciblée de l’aide de simulations de cybersécurité (jeux de simula-
contourner les dispositifs de sécurité afin d’infiltrer tion).
des logiciels malveillants.
Développer une stratégie globale de surveillance de
l’infrastructure informatique
Mettre en place une gestion des correctifs Les menaces pesant sur la cybersécurité sont différentes
efficace et rapide en fonction de l’entreprise et du secteur d’activité. Afin
De nombreux pirates exploitent les vulnérabilités des d’identifier et de répondre aux menaces potentielles,
systèmes obsolètes ou non mis à jour pour accéder des technologies de surveillance de l’infrastructure
frauduleusement aux données d’une entreprise. Des informatique doivent être mises en œuvre. A cette fin,
programmes efficaces de gestion des correctifs et il convient d’élaborer à l’échelle de toute l’organisation
la fermeture rapide des vulnérabilités identifiées une stratégie en matière de surveillance et de gestion
peuvent empêcher de telles attaques. des journaux (log).
Vérifier l’infrastructure du réseau et des Réaliser régulièrement des contrôles d’efficacité
applications L’ensemble des directives, processus, listes de contrôle
Des contrôles automatisés réguliers (par exemple, et autres documents doivent être examinés périodi-
une fois par mois) de l’infrastructure réseau et de quement pour en vérifier l’exhaustivité, l’adéquation et
l’environnement applicatif permettent d’identifier les l’efficacité. Les mesures organisationnelles et techniques
vulnérabilités existantes et notoires. En outre, les sys- mises en œuvre doivent toujours correspondre aux
tèmes particulièrement sensibles doivent être soumis menaces effectives du moment et être validées par des
à un contrôle technique de sécurité approfondi (test analyses de risque régulières.
d’intrusion).
Instaurer une gestion sécurisée des utilisateurs et
Sensibiliser à la cybersécurité par des formations des accès
et des stages appropriés Outre l’utilisation de mots de passe complexes,
Les attaques d’ingénierie sociale prennent les per- il est impératif de mettre en place un concept efficace
sonnes pour cible, c’est pourquoi les mesures tech- de gestion et d’octroi des habilitations (droits d’accès).
niques ne garantissent pas une protection suffisante L’objectif est de limiter au minimum l’utilisation de
à cet égard. En matière de prévention, il convient de comptes d’utilisateurs privilégiés (administrateurs). Pour
mettre en place des mesures telles que la simulation l’octroi des autorisations, il est recommandé de créer un
de campagnes de phishing ainsi que des formations concept simple et efficace, facile à gérer et à auditer.
de sensibilisation à la cybersécurité et de renforce- Au vu des données récemment publiées sur les viola-
ment de la vigilance dans ce domaine. tions de données et les bases de données de mots de
passe (par exemple, Collection #1), il est conseillé aux
entreprises d’envisager (notamment pour les systèmes
critiques ou sensibles) le recours à l’authentification
multifactorielle, à base de jetons (matériels) ou de bio-
métrie (telles que les empreintes digitales).
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019
CONCLUSION
Les incidents de cybersécurité causent un préjudice durable à votre
entreprise. Tandis que les pertes financières sont couvertes par une
assurance, le préjudice en matière de réputation est souvent irrépa- CONTACT:
rable. Si la confiance des clients et des partenaires commerciaux est
perdue, elle ne pourra être rétablie que très difficilement. La valeur
d’une entreprise et sa réputation augmentent en même temps que
son savoir-faire. Les entreprises doivent donc être conscientes à tout
moment des données et des informations qu’elles traitent et de leur
valeur. C’est là une condition indispensable pour pouvoir prendre Philipp Lüttmann
des mesures efficaces, permettant de protéger les actifs de l’entre- cybersécurité & risques
prise et de satisfaire aux exigences réglementaires. Partner
philipp.luettmann@bdo.ch
A l’ère de la numérisation et des exigences de conformité telles +41 44 444 37 86
que le RGPD, la protection des données et des informations doit
constituer une priorité absolue pour votre entreprise. Investir dans
la sécurité de l’information permet de réduire les risques d’incidents
liés à la confidentialité et à la sécurité des données et d’éviter ainsi
une perte de réputation, le versement d’une rançon ou d’éventuelles
pénalités. A long terme, l’expérience concrète de la sécurité des
informations accroîtra la confiance de vos clients et aidera le service Axel Timm
informatique à jouer son rôle de catalyseur dans le succès de votre cybersécurité & risques
entreprise. Partner
axel.timm@bdo.ch
+41 44 444 34 84
Alessandro Oberti
cybersécurité & risques
alessandro.oberti@bdo.ch
+41 22 322 24 95
Avec 34 succursales et plus de 1300 collaborateurs, la
société fiduciaire BDO SA est le partenaire privilégié en
Suisse pour les petites et moyennes entreprises,
administrations publiques et organisations à but non
lucratif. Elle propose des services financiers et fiduciaires,
d’audit dans le domaine bancaire et d’assurance (agréée
FINMA) ainsi que dans l’industrie, de conseil aux entre-
prises, de conseil fiscal et juridique ainsi que des services
informatiques, immobiliers et de cybersécurité.
www.bdo.ch
Vous pouvez aussi lire
