Cyber­risques pour les PME: amé­lio­rer l’ef­fi­ca­cité

Qui­conque asso­cie « numé­ri­sa­tion de l’éco­no­mie » uni­que­ment avec les grandes entre­prises tech­no­lo­giques ou les start-ups dyna­miques de la Crypto Val­ley oublie qu’au­jour­d’hui, pra­ti­que­ment chaque entre­prise uti­lise les pro­grès numé­riques à ses propres fins. Les nom­breux allè­ge­ments offerts grâce aux nou­velles tech­no­lo­gies sont deve­nus indis­pen­sables, sur­tout dans le quo­ti­dien de nos PME – de la menui­se­rie à la fidu­ciaire en pas­sant par l’ate­lier de vélos. Cela ne concerne pas que l’or­di­na­teur pour la comp­ta­bi­lité ou le trai­te­ment de textes. Les plans de construc­tion sont éta­blis et envoyés par voie élec­tro­nique, les com­mer­ciaux enre­gistrent les com­mandes direc­te­ment sur leur tablette, les matières pre­mières s’achètent sur une pla­te­forme et l’ap­pa­reil d’ana­lyse au labo­ra­toire télé­charge direc­te­ment les mises à jour depuis Inter­net. D’autres entre­pre­neurs misent encore plus sur les outils numé­riques. Les mots-clés sont ici tra­vail nomade et fabri­ca­tion addi­tive.

À en croire cer­tains son­dages récents, de nom­breuses entre­prises suisses ont l’im­pres­sion que la numé­ri­sa­tion ne les concerne pas. Lors­qu’on aborde le sujet, elles répondent que la trans­for­ma­tion tech­no­lo­gique ne les touche pas direc­te­ment. Com­ment expli­quer cette appa­rente contra­dic­tion ? Dans de nom­breux cas, l’uti­li­sa­tion de la tech­nique moderne est entrée par la petite porte dans le quo­ti­dien de nos PME, sans faire par­tie d’une stra­té­gie ciblée de numé­ri­sa­tion. Les trans­for­ma­tions ne résultent donc pas toutes de déci­sions actives et ont sou­vent été le résul­tat d’autres mesures comme le pas­sage à un nou­veau télé­phone ou une ges­tion numé­rique des docu­ments, ou l’uti­li­sa­tion régu­lière d’In­ter­net. Les outils élec­tro­niques connec­tés font tel­le­ment par­tie du quo­ti­dien qu’ils ne sont plus per­çus, notam­ment dans les PME, comme tels. Et c’est pré­ci­sé­ment là que réside le plus grand dan­ger au niveau de la cyber­sé­cu­rité.

Nou­velles pos­si­bi­li­tés tech­no­lo­giques, nou­velles formes de cri­mi­na­lité

Avec la numé­ri­sa­tion et l’in­ter­con­nexion des sys­tèmes qui en découle (de nom­breux outils, camé­ras de sur­veillance et appa­reils ména­gers sont d’ores et déjà reliés à Inter­net), notre vul­né­ra­bi­lité atteint un tout nou­veau degré. L’es­pace numé­rique abrite en effet des élé­ments et orga­ni­sa­tions aux acti­vi­tés cri­mi­nelles. Les attaques visant nos entre­prises peuvent être lan­cées de n’im­porte où dans le monde, ano­ny­me­ment et avec peu de moyens. Les cyber­cri­mi­nels se moquent des fron­tières natio­nales. Ils frappent là où le butin est facile, c’est-à-dire le gain élevé pour un inves­tis­se­ment rela­ti­ve­ment faible. En toute logique, les cri­mi­nels spé­cia­li­sés s’en prennent donc aussi aux PME suisses. Leur atten­tion se concentre alors sur­tout sur celles qui ne se sou­cient pas des ques­tions de sécu­rité et ne prennent pas de mesures de pro­tec­tion appro­priées.

La numé­ri­sa­tion a donc un revers : de nou­velles formes de cri­mi­na­lité. Via Inter­net, il est pos­sible de voler ou modi­fier des don­nées, d’en­dom­ma­ger des sys­tèmes et de prendre des entre­prises en otage. Autant de dan­gers qui n’exis­taient pas encore dans le monde ana­lo­gique. Bien des attaques cri­mi­nelles peuvent cepen­dant être contrées. Pour cela, une entre­prise doit – comme dans le monde phy­sique – réflé­chir à la manière de se pro­té­ger contre les visées cri­mi­nelles de tiers. Si la sécu­rité est négli­gée, les allé­ge­ments tech­niques peuvent vite virer au dan­ger exis­ten­tiel pour une PME. De nom­breux uti­li­sa­teurs, entre­prises autant que par­ti­cu­liers, n’ont pas conscience des dan­gers liés à l’em­ploi des nou­velles tech­no­lo­gies. Une étude menée par la Haute école de Lucerne en coopé­ra­tion avec l’As­so­cia­tion des PME, le Secré­ta­riat d’État à l’éco­no­mie (SECO), l’As­so­cia­tion suisse des cadres (ASC) et eco­no­mie­suisse le confirme : les entre­prises suisses ne sont pas assez bien pré­pa­rées aux menaces du cybe­res­pace. 40 % des socié­tés son­dées ont indi­qué avoir fait récem­ment l’ob­jet d’at­taques sous forme de pro­grammes mal­veillants (mal­ware) ou de cour­riels hame­çons (phi­shing-mail). Mal­gré la réa­lité du dan­ger, les PME n’ap­portent pas de réponses adé­quates aux attaques. Elles manquent, entre autres, de savoir-faire quant à la manière de trai­ter le thème de la sécu­rité des infor­ma­tions.

Prise de conscience gran­dis­sante des dan­gers, mais…

L’étude conclut que la sen­si­bi­lité à l’égard de la cyber­sé­cu­rité s’est fon­da­men­ta­le­ment amé­lio­rée. « Numé­ri­sa­tion, robo­tique et auto­ma­ti­sa­tion » sont deve­nues, pour les équipes diri­geantes, la deuxième prio­rité juste après l’ac­crois­se­ment de l’ef­fi­ca­cité. Quelque 78 % des PME son­dées affirment d’ailleurs que la cyber­sé­cu­rité a gagné en impor­tance ces trois der­nières années. Mais même si le sujet est dis­cuté plus lar­ge­ment dans les PME, il y a urgence en la matière. L’étude note en effet que moins de la moi­tié des entre­prises consul­tées rééva­luent régu­liè­re­ment leurs mesures de sécu­rité. Les guides sur la manière de gérer les cyber-risques res­tent l’ex­cep­tion. Idem pour les for­ma­tions conti­nues. Dès lors, il faut des stra­té­gies pour éta­blir les meilleures réponses aux dan­gers de l’In­ter­net. Il suf­fit sou­vent de peu pour amé­lio­rer sen­si­ble­ment la sécu­rité dans une entre­prise. Foca­li­ser l’at­ten­tion sur la cyber­sé­cu­rité dans les entre­prises concer­nées, mais aussi auprès des par­te­naires com­mer­ciaux, four­nis­seurs et clients per­met­trait de réduire sérieu­se­ment les cas d’abus.
 
Un risque de sécu­rité peut être un obs­tacle aux échanges et mettre en péril une entre­prise toute entière ainsi que ses par­te­naires com­mer­ciaux. Il est donc essen­tiel que le busi­ness case inclue la sécu­rité et les coûts y rela­tifs dès le départ. L’ob­jec­tif doit être que chaque entre­prise, quelle que soit sa taille, puisse déve­lop­per un concept de sécu­rité adé­quat qui lui offre une pro­tec­tion suf­fi­sante tout en main­te­nant son bon fonc­tion­ne­ment opé­ra­tion­nel.

Res­pon­sa­bi­lité de cha­cun enga­gée

Tout comme nous sommes nous-mêmes res­pon­sables de pro­té­ger notre demeure contre les cam­brio­lages, chaque entre­prise est la pre­mière res­pon­sable de sa pro­tec­tion contre les menaces du cybe­res­pace. La réponse ne se trouve pas dans des obli­ga­tions de com­por­te­ment dic­tées par l’État, bien au contraire.

En matière de cyber­sé­cu­rité, les sys­tèmes décen­tra­li­sés et hété­ro­gènes sont plus résis­tants que les sys­tèmes cen­tra­li­sés. Notam­ment lors­qu’il s’agit de gérer des crises et défis inat­ten­dus. Dans les cas où des solu­tions sec­to­rielles s’im­posent, l’éco­no­mie doit prendre les devants. Les dif­fé­rentes branches peuvent, en émet­tant des normes mini­males, au sens de recom­man­da­tions, ren­for­cer nota­ble­ment la cyber­sé­cu­rité. Des guides clairs et com­pré­hen­sibles peuvent alors ser­vir d’aide. Avec de telles normes mini­males, les PME pour­raient béné­fi­cier du savoir-faire des grandes entre­prises et les asy­mé­tries sec­to­rielles face au cybe­res­pace pour­raient être com­pen­sées. L’État apporte sa contri­bu­tion en favo­ri­sant de pareilles normes de sécu­rité et en veillant à une appli­ca­tion équi­li­brée au regard de la légis­la­tion inter­na­tio­nale. En cas de crise, c.-à-d. d’at­taque à vaste échelle, il est indis­pen­sable que les tâches de l’éco­no­mie pri­vée et de l’État soient clai­re­ment réglées et répar­ties.

Avec des inci­ta­tions adé­quates, l’État doit donc veiller à ce que les inci­dents en lien avec le cybe­res­pace soient signa­lés. Cela aug­mente la trans­pa­rence, abaisse le niveau de menace et aide à réduire l’im­pact de telles attaques sur des tiers. La popu­la­tion, les entre­prises, l’ad­mi­nis­tra­tion et les milieux poli­tiques doivent être dûment sen­si­bi­li­sés afin d’amé­lio­rer la prise de conscience face aux cyber­risques. La sécu­rité dans le cybe­res­pace est une tâche com­mune clas­sique. Tout est connecté et les sys­tèmes s’in­fluencent mutuel­le­ment. En clair, cha­cun doit contri­buer à aug­men­ter la sécu­rité. En appe­ler à une inter­ven­tion de l’État, tout comme le fait d’igno­rer sa propre vul­né­ra­bi­lité tech­no­lo­gique, ne sert à rien.

Article paru en alle­mand dans le maga­zine IT busi­ness.