L'importance de la cybersécurité en entreprise

TIMYO

Votre expert cybersécurité

David, 34 ans, je suis expert en sécurité informatique depuis plus de 15 ans. J’ai commencé seul dans le garage de mes parents, en parallèle de mes études en droit. Alors que j’apprenais le droit de l’informatique, et notamment la Loi Informatique et Liberté de 1978, sur les bancs de la fac, j’ai eu comme une révélation : je veux protéger les personnes et les entreprises sur Internet.

C’est ainsi que j’ai créé, une fois mon diplôme en poche, la société Timyo. Mon objectif : faire en sorte que les entreprises ne soient plus en danger sur Internet. Le concept de Timyo est parti d’un constat : presque toutes les entreprises, de la TPE à la multinationale en passant par les PME, sont confrontées régulièrement à des tentatives de piratage.

Ainsi, depuis 2006, j’interviens en tant que consultant pour Timyo auprès d’entreprises très différentes pour leur prodiguer mes conseils et mettre en place des systèmes de sécurité performants afin de les protéger. Les secteurs d’activité sont très variés : aéronautique, industrie, télécommunications, informatique, art, service à la personne, professions libérales, énergie…

Les entreprises qui m’ont fait confiance ont toutes été satisfaites de mes services, et ont grandement contribué à réduire les risques informatiques liés à leur activité en faisant appel à Timyo. C’est pour moi une grande fierté de contribuer ainsi à la sûreté de la toile et de lutter contre la cybermalveillance tout au long de l’année.

man, portrait, business
DÉFINITION

Qu'est-ce que la cybersécurité ?

Le terme « cybersécurité », composé du préfixe cyber- qui signifie numérique, et de sécurité, désigne l’ensemble de tout ce qui se rapporte à la protection en ligne face aux menaces : lois, outils, dispositifs, politiques, mécanismes, services, méthodes, actions, formations, technologies… L’objectif de tous ces éléments est de protéger les personnes, les organisations, les entreprises, les collectivités face aux risques en ligne, notamment les actes de malveillances.

On retrouve de nombreux concepts liés à la cybersécurité, souvent construits également à partir du préfixe cyber. Ainsi, la cybermalveillance désigne l’ensemble des actions visant à porter atteinte à une entité. On peut d’ailleurs désigner ces par le terme cyberattaque. En fonction de la gravité de ces attaques, on peut alors parle de cyberdélit, de cybercrime, voire même de cyberterrorisme. Enfin, l’ensemble des actions visant à protéger des cybermenaces peut être appelé cybersécurité, mais aussi cyberdéfense.

On compte plusieurs types de cybersécurité. Il y a d’abord la sécurité des réseaux, qui protège les intranets des intrus. Ensuite vient la sécurité des applications, qui vise à sécuriser les logiciels et appareils. Enfin, la sécurité des informations, elle, se concentre sur la confidentialité et l’intégrité des données.

Typologie des principaux risques pour les entreprises

epidemic, coronavirus, lurking
matrix, earth, head
binary, hands, keyboard

À la manière d’un virus biologique, un virus informatique est un agent qui influe sur le corps dans lequel il se trouve, ici un système informatique, et qui se transmet d’individu à individu, de machine à machine. Un virus est donc un programme, la plupart du temps malveillant, qui se duplique et se propage dans tout le système informatique pour en altérer le fonctionnement. Un virus est souvent attaché à un fichier d’apparence sain qui va servir de vecteur pour la transmission d’une machine à une autre, soit via par un réseau soit par un périphérique type clé USB.

Le phishing, ou hameçonnage en français, ne désigne pas un type de logiciel ou fichier malveillant mais plutôt une technique de diffusion de ces cybermenaces. Cette technique consiste à piéger l’internaute avec une fausse information pour le pousser à faire transmettre ses données personnelles : coordonnées bancaires, mot de passe, carte d’identité. L’auteur du phishing usurpe souvent l’identité de banques, d’administrations ou de services de livraison de colis et prétextent un courrier en attente ou une facture impayée pour réclamer les informations à l’internaute.

À la manière du phishing, le Cheval de Troie trompe l’internaute en se faisant passer pour quelque chose qu’il n’est pas. En l’occurrence, le Cheval de Troie est un faux logiciel, d’apparence sain, qui va être installé par l’internaute piégé et ainsi se diffuser sur sa machine en altérant le fonctionnement et/ou en volant les données qui se trouvent sur l’ordinateur. Le nom est inspiré du mythe grec du même nom. Selon la légende, Ulysse aurait offert un cheval de bois géant à la ville de Troie, mais celui-ci cachait en réalité une armée qui, une fois dans l’enceinte de la ville, a pu l’assiéger. 

computers, information technology, data center
euro, seem, money
big brother, surveillance, business

L’attaque par déni de service, plus couramment appelée DDoS (pour Distributed Denial of Service) est une attaque ciblant les serveurs informatiques afin de les rendre non-opérationnels. Elle consiste à inonder un réseau de milliers (au bas mot) de connexions, au delà de ses capacités, afin d’empêcher celui-ci de fonctionner correctement. Certaines attaques DDoS de grande ampleur on marqué l’histoire, comme celle d’octoble 2016 que l’on a nommé Mirai et qui a rendu de nombreux services très populaires comme Twitter, Spotify ou le Playstation Network hors d’usage pendant près d’une journée.

Un ransomware, aussi appelé en France rançongiciel ou tout simplement logiciel de rançon, est un logiciel malveillant qui consiste à priver une entreprise de ses données en les prenant en otage jusqu’au versement d’une rançon. Souvent, ce logiciel s’introduit sur un système par divers méthodes et chiffre les données ou tout simplement l’accès au réseau. Le malfrat envoie ensuite la clé de déchiffrement contre une somme d’argent, la rançon. Le ransomware peut également être un Cheval de Troie, comme CryptoLocker qui a touché des milliers d’entreprises américaines en se déguisant en factures bancaires ou UPS.

Communément appelé mouchard, logiciel espion, espiogiciel ou encore spyware, ce type de programme malveillant s’installe sur une machine à l’insu de l’utilisateur pour y collecter des informations et les transférer à un tiers. Les spywares sont souvent diffusés par des entreprises publicitaires peu scrupuleuses afin de proposer des publicités ciblées. Bien que cette pratique soit la majorité du temps interdite, certains espiogiciels sont tolérés, comme mSpy qui sert au contrôle parental en premier lieu. Son usage a souvent été détourné pour la surveillance d’employés au travail ou pour encore pour déceler de l’adultère.

Oublier la cybersécurité, c'est rouler à 200km/h à moto sans casque

G. Poupard, directeur de l'Anssi
Le conseil de David

Ne négligez pas l'importance des mots de passe

Je ne vous apprends probablement rien si je vous dis que les mots de passe sont essentiels pour garantir la cybersécurité de votre entreprise. Pourtant, je suis prêt à parier que ceux-ci ne sont pas parfaitement sécurisés. Pourquoi ? Premièrement car un mot de passe, quel qu’il soit, n’est jamais infaillible. Et deuxièmement car 99% des entreprises n’ont des optimisé la sécurité de leurs mots de passe. Voici donc une liste non-exhaustive de précautions à prendre pour minimiser les risques de piratage.

Le premier conseil que je vais vous donner est déjà appliqué par la majorité des individus comme des entreprises, tant les plateformes poussent en ce sens. N’utilisez que des mots de passe complexes, composés de majuscules, de minuscules, de chiffres et de caractères spéciaux. L’ensemble ne doit pas avoir de sens, ou bien un sens que vous êtes le seul à pouvoir comprendre. Évitez donc les « K3v1n! » et autres mots stylisés en lien avec votre nom ou prénom par exemple.

Ensuite, il est important d’avoir si possible un mot de passe unique par service ou plateforme que vous utilisez. En effet, en cas de corruption de mot de passe, le plus souvent celui-ci aura été utilisé, le plus d’identifiants seront potentiellement piratés. Comme il est difficile de retenir de nombreux mots de passes complexes et où chacun est utile, des logiciels de gestion de mot de passe sécurisés permettent de rassembler en toute sécurité les mots de passe de l’entreprise, tout en étant partageable par les différents collaborateurs de la boite.

Enfin, ne notez jamais les mots de passe sur un support, quel qu’il soit. N’envoyez jamais de code par mail par exemple, ni n’enregistrez d’identifiant sur un fichier texte. Si vraiment vous devez noter un mot de passe, privilégiez toujours le support papier qui est impiratable, contrairement à tout code numérique.

F.A.Q.

Foire aux questions

Oui, davantage que le travail classique. Pour limiter les risques, le télétravailleur doit si possible utiliser la même machine qu’au bureau.

N’ouvrez jamais de mail ou de SMS douteux, ne cliquez jamais sur un lien ou ne téléchargez de pièce jointe sans en connaitre l’expéditeur avec certitude. 

De nombreuses assurances professionnelles proposent un contrat spécial cyberrisques ou un volet digital à la protection standard. Renseignez-vous auprès de votre assureur.

Mentions légales