PS-CyberSecurity, expert en cybersécurité à Rennes
Menaces et entreprises
L'instabilité mondiale se retrouve sur internet, avec des attaques ciblées contre les entreprises occidentales, et françaises en particulier. Les décisions et propos de l'Etat français sur des sujets comme la guerre en Ukraine, ou au Moyen-Orient, pour ne citer que ceux-là, sont des raisons suffisantes pour des activistes et hackers d'état de lancer régulièrement des tentatives pour identifier les faiblesses des organismes dans le but de cibler une attaque efficace.
Malheureusement, ces menaces idéologiques ne sont pas les seules. Nombre de "coups" ont eu un retentissement médiatique non négligeable ces trois dernières années, comme certains hôpitaux, ou autres grandes entreprises de renom. Cette menace se fait de plus en plus prégnante, avec des moyens mis à disposition, comme la livraison de kits complets, maintenance incluse, par des cybercriminels organisés comme des entreprises, et ayant même pignons sur rue pour certains d’entre eux. Ces kits sont utilisés comme vecteurs d'attaque par d'autres hackers afin de bloquer les systèmes d'information des entreprises pour mettre en œuvre une tentative d'escroquerie ou une demande de rançon par exemple. Ces kits sont construits autour de plusieurs technologies croisées pour permettre à ces hackeurs d’arriver à leurs fins.
A cela, il faut ajouter, les erreurs de collaborateurs pas toujours bien informés, ou un collaborateur interne mécontent d'un traitement particulier. Ces menaces internes, sont à considérer avec le plus grand soin. Statistiquement, ce sont parmi les plus génératrices d'incidents réels avec des conséquences souvent non-négligeables (vol de données, espionnage, escroquerie financière, perte de production, etc.…).
Est-ce tout ?
Certains diront que cela fait déjà beaucoup, mais pour autant, une autre menace tend à se faire jour. L'IA, avec ces capacités non régulées à ce jour, occasionne des pas de géants. Ce qui est vrai pour la création de valeurs et de contenus, l'est tout autant, pour générer de la menace sur les données sensibles ou confidentielles et des moyens pour la mettre en oeuvre. Difficile de dire aujourd'hui de quelles menaces on parle exactement, mais nul doute à ce que cela se précise très vite. Les entreprises devront garder cette capacité sous surveillance afin d'en prendre toute la mesure...
Toutes ces menaces sont bien sûr concentrées chez les fournisseurs, ou Tierces Parties, qui deviennent une menace à part entière selon les accès octroyés et/ou traitements sous-traités. Ceci doit donc engendrer une réflexion appropriée à sa juste valeur pour maîtriser le risque correspondant.
Les contraintes réglementaires
Nombre de réglementations est applicable à ce jour, tout en sachant que certaines le seront encore prochainement. En fonction des domaines d'activités, du patrimoine informationnel, et des lieux d'exécution de ces activités, toutes les entreprises ne sont pas soumises à la même enseigne. Citons celles, sans prétendre être exhaustif, identifiées à ce jour avec le Règlement Général de Protection des Données (RGPD) pour tous organismes traitant de données personnelles en Europe, Network and Information Security 2 (NIS2) pour les entités qualifiées d'Essentielles ou Importantes, Digital Operational Resilience Act (DORA) concernant les organismes financiers, la Loi de Programmation Militaire (LPM) concernant les Organismes d'Importance Vitale identifiés et le Référentiel Général de Sécurité (RGS) concernant les administrations. Le plus important à retenir en la matière, à l'exception du RGS, c'est que le non-respect de ces réglementations peut amener à des amendes pouvant être particulièrement élevées. Il est donc important pour toute entité de bien identifier les lois applicables et s'assurer de sa conformité en la matière.
A titre d’exemple, une amende pour non-respect du RGPD peut coûter jusqu’à 4% du chiffre d’affaires mondial du Groupe concerné, même si c’est une filiale de ce groupe qui est à l'origine de l'amende.
Les mesures
Chaque menace ou réglementation, telles que présentées ci-dessus, doit être bien identifiée dans le contexte de l’entreprise. Ceci permettra de cibler les mesures de protection appropriées, comme le design et/ou le déploiement de solutions : de détection de fuites de données (DLP), de défense périmétrique à plusieurs niveaux, d'authentification, de détection de vulnérabilités, de maîtrise des risques fournisseurs, de sécurisation des données sensibles, de sensibilisation des utilisateurs et fournisseurs à la cybersécurité, etc...
Des analyses de risques aideront à sélectionner les contremesures appropriées pour maîtriser les risques dans le contexte financier et de production de la cible à protéger. Cette activité est nécessaire et pourra se révéler vitale pour la survie de l’activité concernée. Que ce soit pour l’analyse des risques, le déploiement d’une solution de cybersécurité, de veiller à la sécurité des Systèmes d'Information ou l’assistance à RSSI, PS-CyberSecurity peut vous accompagner et vous permettre de protéger au mieux l’activité et les données d’une organisation ou d’un projet.
Contactez-nous pour une étude au meilleur coût de votre besoin en matière de cybersécurité, nous sommes en mesure de vous accompagner sur toute la France.
Création et référencement du site par
