Catégorie : Sécurité

La mise en place d’une véritable politique de gestion des risques cyber a pour point de départ une évaluation de la gravité du risque et de son impact en termes de coûts pour l’entreprise. Or, cette évaluation des coûts se limite le plus souvent à une estimation « de surface », des seules conséquences directes d’une cyberattaque. Et deux erreurs majeures sont commises : négliger les répercussions sur le moyen terme et ignorer les coûts indirects et les dégâts immatériels.

L’évaluation des coûts se focalise sur les conséquences immédiates de l’attaque

Evaluer le coût d’une cyberattaque revient à envisager ce qui se passerait en cas d’attaque et à en chiffrer le coût.  Les priorités sont claires : faire cesser l’attaque, évaluer l’ampleur des dégâts, faire en sorte de protéger les clients, remettre en route l’activité. Les coûts directs d’une cyberattaque sont visibles, bien connus et mesurables.

Les frais d’études techniques pour comprendre l’attaque et ses impacts

Ces études ont pour objectif de comprendre l’origine, le déroulement et l’impact de l’attaque. Il faut en particulier chercher à identifier quelles informations ont été divulguées, compromises, afin de pouvoir mettre en place un plan d’action adéquat. Ces analyses peuvent être plus ou moins complexes et coûteuses selon la complexité du système touché et l’ampleur des dégâts.

Les frais engagés pour informer et conseiller les clients de la violation de données

Dès qu’une violation de données clients est constatée, l’entreprise touchée a obligation d’informer ses clients. Il peut s’agir de frais de courrier et/ou de phoning engagés pour ces actions d’information. L’entreprise est également amenée à conseiller les clients dans les actions nécessaires pour se protéger contre l’utilisation frauduleuse des données divulguées.

Mise en conformité réglementaire

Une entreprise cible d’une cyberattaque peut être soumise à des amendes du fait du renforcement du droit de la protection des données. Celui-ci impose des exigences très élevées en cas de violation des données. La Commission Nationale de l’Informatique et des Libertés (CNIL) peut donc appliquer des sanctions en cas de négligence dans la sécurisation de son système d’information.

Relations publiques

Suite à un cyberincident, une entreprise réputée se verra dans l’obligation de mettre en place des actions de communication externe et/ou de veille sur sa propre marque.

Honoraires d’avocat et frais de justice

Pour défendre ses intérêts, l’entreprise victime d’une cyberattaque devra peut-être s’adjoindre les services d’un cabinet d’avocats afin d’entreprendre des actions en justice. Les frais seront plus ou moins conséquents car dépendant fortement de la nature et de la gravité de l’incident.

Amélioration des dispositifs de cybersécurité

Il est évident qu’une entreprise attaquée mettra en place rapidement des process d’amélioration des dispositifs de cybersécurité. L’entreprise aura donc de nouvelles dépenses directes (qu’elle aurait dû faire en amont sous la forme d’investissements !) : améliorations techniques de l’infrastructure, contrôles de sécurité, capacités de surveillance, et l’ensemble des opérations mises en place pour empêcher la réitération d’un événement similaire.

Si ces coûts, liés à la gestion de l’attaque sont faciles à anticiper, ils ne reflètent en réalité qu’en partie l’impact économique sur l’entreprise. L’étude « cyberattaques : comment chiffrer les impacts* », menée par Deloitte, a mis en évidence deux écueils principaux dans l’évaluation des coûts des cyberattaques : la sous-estimation des répercussions dans le temps et les impacts indirects et immatériels.

 

Les répercussions sur le moyen et long terme sont mal prises en compte

La première erreur est de négliger les conséquences sur le moyen et long terme de la cyberattaque. L’étude de Deloitte révèle que leur montant dépasse pourtant largement les coûts financiers associés au temps d’arrêt et de production.

Dans cette étude, 3 temps sont distingués pour mieux en évaluer les impacts et les coûts.

Détection de l’incident et réponse immédiate : 10% du coût total

La gestion immédiate des premiers dommages représente moins de 10% des dommages totaux. Ce sont les premières actions qui suivent l’attaque, les premiers jours voire semaines où l’entreprise se concentre sur :

• la déconnexion des appareils infectés,
• l’application des correctifs de sécurité,
• l’information auprès des clients,
• le traitement des problèmes d’interruption et de continuité des activités.

Mais ce n’est finalement que le début d’un long processus… car la réparation des dommages subis par l’entreprise impactée peut se dérouler sur plusieurs années.

Le coût des impacts liés à la cyberattaque

Des semaines et des mois ont passé… et de nouvelles actions se mettent en place au sein de l’entreprise attaquée. Il s’agit alors de mettre en place :

• des infrastructures et activités temporaires,
• de préparer des procédures juridiques,
• gérer la relation avec les clients, les partenaires

Les années suivantes : rétablir durablement l’activité

Les conséquences sont parfois longues et peuvent être dévastatrices pour certaines entreprises… plusieurs années après l’attaque. Certaines d’entre elles doivent encore réparer les dégâts causés par la cyberintrusion, refondre les processus et les actifs et investir dans les programmes de cybersécurité. C’est là que certaines entreprises se retrouvent durablement affaiblies, certaines sont même conduites à la fermeture.

 

Les dégâts “immatériels” d’une cyberattaque sont souvent négligés

Le deuxième écueil de l’évaluation des coûts d’une cyberattaque : ignorer tout simplement les dégâts immatériels. Ces impacts sont plus difficiles à appréhender et sont souvent mal maîtrisés par les experts en cybersécurité. Pourtant, ils existent bel et bien et impactent tôt ou tard les résultats financiers de l’entreprise.

L’érosion de chiffre d’affaires et la perte de la confiance accordée par les clients

Quelles seront les réactions des clients ayant subi une violation ? Combien de clients devenus méfiants décideront de quitter l’entreprise immédiatement ? combien auront perdu confiance et se tourneront vers la concurrence ?  Nul doute qu’une cyber attaque  laisse des traces sur la confiance des clients et se traduit tot ou tard sur les performances commerciales : résiliations, non renouvellement des contrats, perte de clients à la concurrence.

Dépréciation de la valeur de marque

L’impact sur la marque est difficile à valoriser… Mais faisons une hypothèse pour gagner en clarté : quelles seraient les conséquences, si l’entreprise devait être cédée ? Il devient alors très clair qu’une entreprise impactée par une cyberattaque verrait la réputation de sa  marque entachée et sa valeur dépréciée.

Perte de propriété intellectuelle

Une entreprise attaquée peut éventuellement perdre le contrôle sur des informations exclusives et confidentielles. Citons par exemple, les droits d’auteur, les brevets, les dessins, les marques, les plans d’investissement, stratégiques, commerciaux, etc. Cette perte de contrôle peut engendrer une perte de revenus et des dommages économiques plus ou moins conséquents pour l’entreprise.

Augmentation des primes d’assurance

Pour une entreprise ayant souscrit à une police d’assurance cyber, les primes d’assurance seront bien sûr réévaluées au moment du renouvellement. L’assureur exigera également la mise en place de dispositifs de sécurité à même de réduire les risques d’incident.

Augmentation du coût de la dette

Une entreprise qui souhaiterait par exemple renouveler ses lignes de crédit se verrait appliquer une prime de risque par l’établissement prêteur, qui verrait un risque accru. De nombreuses études ont d’ailleurs montré que les entreprises touchées par une attaque connaissait des difficultés conduisant à la cessation d’activité.

En pratique, ces dégâts immatériels ne peuvent pas être appréciés par les acteurs opérationnels de l’entreprise. En revanche, ils relèvent davantage de la responsabilité de Direction Générale, qui saura voir le risque potentiel pour l’entreprise, et allouer les ressources nécessaires pour la mise en place d’une stratégie adéquate.

Pour une entreprise souhaitant mettre en place une stratégie de gestion des risques en matière de cybersécurité, l’évaluation des conséquences est indispensable pour apprécier les risques et allouer les moyens nécessaires. Un point de départ est bien sûr d’évaluer précisément l’exposition de l’entreprise aux risques et l’état de ses systèmes de protection via un audit de vulnérabilité.

 

* Etude Deloitte – “Cyberattaques : comment chiffrer les impacts ?”

Retrouvez l’intégralité de cette étude

En janvier 2021, Value IT, revendeur des solutions Veeam, renforce son partenariat avec l’éditeur et obtient la certification ProPartner SILVER. Cette certification Silver est accordée en reconnaissance des formations régulières suivies par nos techniciens et ingénieurs. Elle récompense également notre expertise technique et notre maîtrise des installations et maintenance de solutions de sauvegarde.

Certifiées Silver PropPartner, les équipes Value IT disposent ainsi d’un contact privilégié avec le support technique de Veeam et peuvent dès lors accompagner leurs clients dans leurs projets de mise en place de gestion de données dans le Cloud.

 

La certification ProPartner Silver Veeam au service de nos clients

Ainsi certifiée Silver, Value IT s’adapte aux environnements changeants de ses clients, leur assure des déploiements plus complexes et leur offre davantage de services.

Afin de se tenir informés des dernières nouveautés en matière de sauvegarde de données, les équipes Value IT participent à des sessions de formations assurées par l’éditeur Veeam. La garantie pour nos clients de collaborer avec des professionnels maîtrisant parfaitement les solutions Veeam.

Pourquoi contacter Value IT, revendeur Veeam à Saint-Etienne ?

En tant que partenaire Veeam, Value IT sera à même de vous conseiller sur vos projets Veeam. Nous pouvons vous accompagner pour

• Le renouvellement de vos licences
• Le choix de solutions adaptées à vos besoins
• L’installation des solutions dans votre entreprise

Nos équipes pourront également étendre votre sauvegarde au Cloud si toutefois votre environnement venait à évoluer.

Value IT, partenaire Veeam, interviendra pour tous vos projets liés à la protection de votre infrastructure, à la modernisation de votre sauvegarde, au renforcement de la sécurité des données ou bien encore à la protection des données de vos collaborateurs travaillant à distance.

 

Veeam, un acteur incontournable dans la sauvegarde et la restauration de données

Veeam, éditeur reconnu dans l’environnement IT en France et dans le monde, offre plusieurs solutions de sauvegarde, de reprise d’activité et d’administration des environnements virtualisés : Veeam Back Up & Replication, Veeam Availability Suite ou bien la Veeam Backup Essentials.

Via la Veeam Cloud Data Management Platform, la gestion des données clients évolue et se modernise. Les données deviennent plus intelligentes, autonomes et disponibles dans l’ensemble des applications et des infrastructures cloud.

Dans un contexte de transformation numérique, les solutions Veeam Software assurent à nos clients, quel que soit leur secteur d’activité, une hyper-disponibilité, une sauvegarde et une protection de leurs données stratégiques et ce, dans l’objectif de gagner en agilité et d’accélérer leur activité.

Dans le cadre d’une stratégie de cybersécurité, réaliser un audit de sécurité informatique est une démarche indispensable pour toutes les entreprises, même les PME.

Souvent plus vulnérables que les grands comptes, les petites et moyennes entreprises sont de plus en plus visées par les cyberattaques. Et pour cause, une études nous apprend qu’en 2017, 79 % des victimes d’une faille de sécurité étaient des PME.

Qu’est ce qu’un audit de sécurité informatique ? Quand le pratiquer et pourquoi le mettre en place ?

Comment réaliser un audit de sécurité informatique en 5 étapes :

1 – Effectuer un pré-audit 

Définir les objectifs et les besoins en sécurité de l’entreprise, et identifier les mesures déjà mises en place.

2 – Vérifier la conformité du SI

Inspecter le système d’information de l’entreprise afin de s’assurer qu’il répond aux normes de sécurité demandées par la législation.

3 – Analyser l’infrastructure existante

L’audit d’infrastructure vise à répertorier l’ensemble des équipements informatiques et les différents points d’entrées que pourraient utiliser les hackers pour s’introduire dans le SI. Il convient de vérifier la gestion des sauvegardes, le pare-feu, les anti-virus et anti-malwares mis en place sur les postes de travail, mais également le point d’accès Wifi, la sécurité de la messagerie et de de l’anti-spam.

4 – Faire un test d’intrusion

Après avoir repéré tous les points d’entrées potentiels du système d’information, il faut lancer une phase de test d’intrusion. Elle est la phase la plus importante et ne doit omettre aucun des points d’entrées potentiels, qui se multiplient avec les évolutions technologiques. Maintenant, les pirates peuvent pénétrer un système d’information à partir de postes de travail nomades, comme les ordinateurs portables, les tablettes ou les smartphones.

5 – Mettre en place une stratégie de sécurité

Rédiger un rapport de sécurité détaillé qui permettra à l’entreprise d’effectuer des actions correctrices visant à renforcer la sécurité informatique.

Enfin, l’audit ne concerne pas seulement les équipements informatiques ; il touche aussi et surtout chaque utilisateur. C’est la raison pour laquelle une formation sur les règles d’usage sécuritaires doit être dispensée afin de mieux contrôler les pratiques de chaque collaborateur. 

Faire appel à une équipe de spécialistes en cybersécurité pour réaliser un audit informatique permet aux entreprises de bénéficier d’une expertise et d’un conseil de qualité. L’audit de sécurité est une démarche essentielle afin d’identifier précisément les failles de son SI et d’y remédier efficacement, en mettant en place une stratégie de cybersécurité fiable, et adaptée aux besoins de l’entreprise. 

Gérer le risque de panne informatique est devenu une nécessité pour les dirigeants d’entreprise.  Il existe des lors 2 manières de gérer ce risque. La première approche consiste à réduire sa probabilité, par l’entretien et la maintenance régulière du système informatique. La seconde est de prévoir un plan qui permettra, en cas de panne, de redémarrer dans un délai maîtrisé.  En quoi cela consiste t-il exactement  ? Quelle approche adopter ? Voici un aperçu des étapes à suivre pour une entreprise qui souhaite mettre en place un plan de reprise d’activité

Le plan de reprise d’activité (PRA): qu’est ce que c’est ?

Le Plan de Reprise d’Activité  (PRA) est un plan prévu en amont de tout problème, qui permettra à l’organisation touchée par un sinistre informatique de récupérer les données nécessaires à son fonctionnement et de réactiver les services perdus.  Le plan va changer du tout au tout selon l’ampleur de la panne envisagée et aussi en fonction du délai qu’elle souhaite respecter pour reprendre une activité normale. Un tel plan comporte deux volets principaux : un volet technique,  qui vise à définir les dispositifs techniques qui permettront aux systèmes de redémarrer, mais aussi un volet organisationnel qui vise à définir les rôles de chacun en cas de panne.

Les conséquences d’un sinistre informatique sur l’entreprise

Pour bien des entreprises , la panne informatique rime avec arrêt pur et simple d’une partie des activités et du travail des équipes.  Sans accès au réseau, aux applications ou aux outils de communication, les échanges  de l’entreprise, en interne et en externe, sont tout simplement paralysés.  Et cet arrêt se prolonge tant que les systèmes n’ont pas redémarré.

Mais les impacts d’une panne informatique dépassent la simple perturbation opérationnelle et le temps perdu par des équipes privées d’outils informatiques.

Quand l’arrêt se prolonge,  les effets de la panne se ressentent  à plusieurs niveaux.

• Impact commercial :  En cas de panne prolongée, les clients peuvent reporter leur commandes, et même se tourner vers d’autres fournisseurs.
• Impact financier : l’impact financier se mesure par les périodes d’inactivité, par les revenus perdus pendant la panne, et par les coûts liés à la remise en route du système.
• Impact Juridique : dans certains secteurs, les entreprises s’exposent à des sanctions pour non-respect d’obligations réglementaires
• Impact sur l’image et la réputation : L’impossibilité d’une entreprise à reprendre une activité normale peut considérablement entacher la réputation ou l’image de l’entreprise.

Une étude “Evolve” montre à quel point les pannes sont fréquentes  et dans quelle mesure ces pannes peuvent aller jusqu’à menacer la survie de l’entreprise. 30% des entreprises ont fait face à un incident réclamant le recours à un PRA. Pour celles n’ayant pu rétablir leur service dans les 10 jours suivants l’incident, les conséquences sont même fatales : 93% des entreprises ayant perdu leur données plus de 10 jours, ont fait faillite dans l’année suivant le sinistre. Pour les dirigeants d’entreprise, la mise en place d’un PRA relève donc de la gestion des risques et un tel plan ne peut être ignoré.

Le plan de reprise d’activité : 7 étapes pour réussir sa mise en place

Pour que le PRA soit efficace il convient d’adopter une démarche logique en définissant en amont les besoins de l’entreprise. La finalité du PRA est de permettre à cette dernière de redémarrer son activité dans un délai maîtrisé. Voici un plan regroupant les 7 étapes clés pour y parvenir sereinement.

Etape 1 : Clarifier les besoins opérationnels liés à l’activité

Quel est la conséquence d’une demi-journée de travail perdue ? Le retard pris est il rattrapable ?  Quelle serait la réaction de vos clients s’ils ne pouvaient pas commander vos produits ? Vont ils simplement reporter leur commande ou changer de fournisseur ?  Ces questions doivent être abordées au cas par car pour cerner les contraintes de votre activité. 

Etape 2 : Faire une analyse des risques et des pannes possibles 

On distingue trois grands types de risques  : 

• Les risques matériels et logiciels : il s’agit des pannes de serveurs ou de dysfonctionnement matériel ou logiciel grave 
• Les risques de cyber-attaques : Il s’agit des attaques sous différentes formes (virus, attaque DDOS…)
• Les risques externes :  incendies, inondations, ou catastrophes naturelles entraînant la panne du système d’information

Etape 3 : Définir la criticité des environnements applicatifs

Deux paramètres principaux sont fixés pour évaluer les besoins de sauvegarde, de réplication et de restauration, et ce pour chaque applicatif :

• le RTO (Recovery Time Objective) : combien de temps faut il pour restaurer la sauvegarde 
• et le RPO (Recovery Point Objective) : A quelle date la sauvegarde permet elle de remonter ?  

Des objectifs différenciés pourront être fixés précisément en fonction de la criticité des applications et les besoins opérationnels de l’entreprise. 

Etape 4 : Définir les priorités et de le coût de reprise 

Les dispositifs de sauvegarde et de reprise ont des caractéristiques et des coûts différents. Les dispositifs permettant un redémarrage rapide sont aussi les plus couteux.  Pour limiter le cout du PRA, il est fondamental de segmenter les différents systèmes et de définir pour chacun un niveau acceptable d’indisponibilité. Cette approche permettra de réserver les dispositifs les plus couteux aux applications et aux services vitaux à l’entreprise.

Etape 5 : Choisir l’équipement de sauvegarde et de reprise d’activité

Là aussi une multitude d’options s’offrent aux entreprises, en termes de caractéristiques techniques et de coûts. Une approche segmentée permettra également de choisir des équipements de sauvegarde  hébergés sur un site de secours, dans un datacenter ou via le Cloud, adaptés à chacun des composants de votre système. 

Etape 6 : Mobiliser les équipes et définir les rôles de chacun.

En cas de panne, l’un des points fondamentaux est d’avoir un plan précisant le qui fait quoi, dans quel ordre et dans quel délai. Ces procédures permettent de prévoir comment organiser et mobiliser les équipes pour agir efficacement en cas de sinistre.

Etape 7 : Tester régulièrement le plan de reprise et le faire évoluer

Un peu à l’image des simulations incendie, il est recommandé d’exécuter le PRA au moins une fois par an. L’objectif est de simuler une situation extrême et de mettre en oeuvre le plan prévu. Un autre point important est de veiller à faire évoluer le PRA au fur et à mesure, car le système d’information ne reste pas figé : de nouvelles applications et services sont ajoutés en continu au cours de la vie de l’entreprise. 

Etre accompagné par des experts 

Mettre en œuvre un plan de reprise  d’activité est une démarche qui engage l’entreprise et qui peut s’avérer primordial. Un tel projet ne s’improvise pas et nécessite une approche méthodique. Etre accompagné par un spécialiste permettra de bénéficier d’un savoir faire dans plusieurs domaines : l’expérience des meilleures pratiques acquises sur différents projets, la connaissance des solutions technologiques disponibles, l’expertise et le conseil pour créer une solution sur mesure et la possibilité d’assurer un suivi en fonction de l’évolution du système et des besoins de l’entreprise. 

---

Pour aller plus loin

---

• Plan de reprise d’activité,
• Plan de continuité d’activité
• Sauvegarde de vos données