Billet 13_ Les entreprises à l’épreuve des cyberattaques

Toute organisation est confrontée quotidiennement à une crise quelconque d’origine interne ou externe, et tout gestionnaire, quel que soit la taille de la compagnie sous sa responsabilité, devrait être conscient de cette réalité.

Une crise peut facilement et rapidement déstabiliser une organisation si celle-ci n’y est pas préparé et/ou ne possède pas un plan de continuité d’activité (Business continuity planning). La nature de ces crises est variée : rumeur, accident, vol, contrefaçon, sabotage, catastrophe naturelle etc.  Tous ces évènements peuvent perturber profondément la vie d’une entreprise, cependant et à la différence des cyberattaques, ces évènements sont connus depuis longtemps, les gestionnaires responsables ont l’habitude de vivre avec et les mesures de mitigation sont, à quelques différences près, identiques à la plupart des compagnies. Les cyberattaques, quant à elles, sont imprévisibles et diverses.

Pour donner un exemple sur l’ampleur de la gravité, en juillet 2017, Equifax reconnait que les données personnelles de 143 millions de clients ont été dérobés, Yahoo admet qu’en 2014 et 2013 elle fut victime de cyberattaques non divulgués sur près de 3 milliards de comptes clients. Fin 2016, des fuites révèlent que les informations personnelles de 57 millions de clients Uber et 600 000 chauffeurs ont été dérobées.

 Ce qui rend la cybercriminalité encore plus complexe est que souvent on ignore les motivations et l’origine des attaques, cela pourrait provenir d’un individu isolé, d’un groupe d’individus organisés, d’une entreprise concurrente voire même un état, ce qui incite à une vigilance accrue, d’un point de vue logiciel, matériel et humain.

 

Lorsque l’entreprise qui subit une crise dispose d’un plan d’urgence, une cellule de crise devrait être activée dès les premières minutes, comme des grilles de lecture pour déterminer le fondement de celle-ci, l’évaluation des conséquences, des scenarios pour guider ses premières réactions. Bien entendu on ne s’attend pas à sortir indemne à 100%, néanmoins, on se donne les moyens de gérer la situation, avec plus de prudence, d’efficience et d’efficacité.

En conclusion, la sécurité de l’information est l’affaire de tous. Une démarche de sensibilisation est nécessaire à tout le personnel et l’ensemble des parties prenantes. L’élaboration des politiques et standards strictes, l’utilisation des mots de passe plus sûrs, des procédures de sauvegarde sécurisées, des instructions d’authentification règlementées, des bons réflexes protocolaires et surtout sécuritaires à chaque échange de données est obligatoire.

 

Sources :

La revue des Sciences de la Gestion, Cyberattaque : La gestion du risque est-elle encore possible? ,Jean-Marc Lehu, 2018, p. 41-50

https://www.cairn.info/revue-des-sciences-de-gestion-2018-3-page-41.htm