TPE/PME : Pourquoi et comment se protéger des cyberattaques ?

Comment se protéger des cyberattaques : les TPE/PME, cibles privilégiées des pirates informatiques

Selon l’Agence nationale de la sécurité des systèmes d’information (Anssi), les TPE, PME et ETI concentrent 90 % des cyberattaques. Les petites entreprises en particulier, sont par exemple 9 fois plus touchées que les organismes publics² !

Pourquoi les petites et moyennes entreprises sont les cibles des cyberattaques ?

Pourquoi un tel acharnement sur ces entreprises ? D’abord parce que les systèmes informatiques des TPE, qui disposent de moyens plus modestes, sont généralement moins bien protégés. Ensuite parce que les dirigeants sont souvent concentrés sur leur métier et moins sensibilisés à ces problématiques.

Les TPE/PME cibles privilégiées des pirates informatiques en quelques chiffres

Le résultat est dramatique : 36 % des entreprises de moins de 10 salariés ont été touchées par au moins une attaque au cours de l’année écoulée, un chiffre en progression de 50 % en 3 ans³ ! C’est énorme, quand on sait que le coût médian pour l’entreprise d’une telle situation est de 15 000€⁴.

Alors concrètement, comment se protéger des cyberattaques et quels sont les risques auxquels vous devez faire face ?

Comment se protéger des cyberattaques : anticiper les risques

Comment se prémunir du risque de cyberattaque ?

On l’a dit, les TPE/PME sont souvent bien moins préparées que les grandes entreprises en matière de cybersécurité, notamment pour des raisons de coût. Pourtant, il est possible de réduire significativement le risque sans engager des sommes importantes.

En effet, dans la plupart des cas, il s’agit d’abord de bonnes pratiques, qu’on regroupe souvent sous la dénomination « cyber-hygiène » : mettre en place une bonne gestion des mots de passe, interdire l’ouverture de pièces jointes en provenance d’expéditeurs non identifiés, créer des procédures de sauvegardes régulières, mettre à jour constamment ses logiciels, etc.

Au-delà de ces bonnes pratiques, d’autres actions peuvent être envisagées au sein de votre entreprise. Voici quelques exemples :

Réaliser un autodiagnostic

Comment mesurer la fragilité de son entreprise face au risque de cyberattaque lorsqu’on est pas un spécialiste du sujet ? Plusieurs outils gratuits, en ligne, vous permettent d’évaluer vous-même les risques, par exemple :

• le guide « La cybersécurité pour les TPE/PME en 13 questions », publié par l’Anssi, qui aborde des points variés, comme « Effectuez-vous des sauvegardes régulières ? », « Comment sécurisez-vous votre messagerie ? » ou « Savez-vous comment réagir en cas de cyberattaque ? ».
• le test Cybersécurité du MEDEF, qui vous permet de vérifier vos connaissances en matière cyber, par un système de questions /réponses.

Sensibiliser vos salariés

En matière de cybersécurité, tout le monde est concerné ! Bien sûr, en tant que dirigeant, protéger l’entreprise relève de votre responsabilité. Mais bien souvent, les cybercriminels visent d’autres membres de l’entreprise, comme les secrétaires, ou les comptables, qui disposent d’un pouvoir conséquent et sont souvent moins sensibilisés.

Concrètement, comment préparer ses collaborateurs ? Voici quelques suggestions :

• prévoir des formations aux bonnes pratiques et à la « cyber hygiène » ;
• simuler des hameçonnages par mail : il s’agit de façon régulière, d’envoyer de faux mails de piratage pour tester la réaction de votre équipe, et leur permettre d’acquérir de bons réflexes. Plusieurs éditeurs proposent des solutions en ligne pour automatiser ces exercices ;
• mettre vos collaborateurs en situation : là encore, des outils sont disponibles gratuitement, comme la « Mallette Cyber pour sensibiliser les salariés de TPE/PME aux menaces en ligne », publiée par France Num, qui inclut notamment un jeu de carte imprimable sur le thème de la cybersécurité.

Souscrire à une assurance cyber

La souscription d’une police d’assurance « cyber » permet de couvrir les risques liés aux attaques numériques, comme :

• les pertes financières significatives (frais de récupération et de restauration des données, compensation pour perte d’exploitation, etc.) ;
• les dommages à la réputation ;
• les conséquences du non-respect du RGPD, dont les frais de notification aux personnes concernées, les coûts de services experts en monitoring et surveillance pour détecter toute utilisation malveillante des données compromises, et l’intégralité des frais juridiques en cas de poursuites par des tiers lésés.

Comment se protéger des cyberattaques : action, réaction ?

De l’avis de nombreux spécialistes, « la question n’est pas de savoir si vous serez visé par une cyberattaque, mais quand ». Que faire si toutes les précautions mises en place n’ont pas suffit ?

Comment réagir en cas de cyberattaque ?

Avant tout, il est évidemment essentiel d’avoir réfléchi à cette question en amont, et d’avoir mis en place un plan de continuité de l’entreprise. L’Anssi formule par ailleurs plusieurs recommandations pratiques :

• déconnecter son équipement ou son système d’information d’entreprise d’Internet. L’Anssi précise : « pour un équipement individuel, cela peut se traduire par la déconnexion de la prise réseau ou la désactivation des services Wifi. Pour un SI d’entreprise, l’action peut être menée sur l’équipement réseau ou le pare-feu d’entreprise. Cela permettra de contenir les actions de l’attaquant et réduira en particulier ses capacités d’exfiltration de données » ;
• ne pas éteindre ni modifier les ordinateurs et matériels affectés par l’attaque, qui seront utiles aux enquêteurs ;
• en cas de rançongiciel, ne jamais payer la rançon demandée ;
• ouvrir une main courante pour tracer les actions et les événements liés à l’incident ;
• réfléchir à la communication autour de l’évènement : en interne bien sûr, mais aussi auprès des clients et partenaires.

_____________

¹ Rapport Sénat « La cybersécurité des entreprises – Prévenir et guérir : quels remèdes contre les cyber virus ? »
² Entreprises : comment gérer une cyberattaque ?, Generali.fr
³ TPE-PME : Le risque cyber de mieux en mieux maîtrisé, cybersécurité-solutions.com
⁴ TPE-PME : Le risque cyber de mieux en mieux maîtrisé, cybersécurité-solutions.com
⁵ Source : Guide de cybersécurité à destination des dirigeants de TPE, PME et ETI, cybermalveillance.gouv.fr
⁶TPE-PME : Le risque cyber de mieux en mieux maîtrisé, Cybersécurité Solutions, 17 oct. 2023
⁷ Rapport Lucy 2023, Amrae