Combler le déficit de sécurité des petites et moyennes entreprises

#KingstonCognate présente la professeur Sally Eaves

Sally Eaves est la Présidente de Cyber Trust et conseillère politique principale pour la Fondation mondiale d’études et de recherches sur le cyberespace. Décrite comme le porte-flambeau de la technologie éthique, elle est la première lauréate du prix « Frontier Technology and Social Impact Award », décerné par les Nations unies. CTO de formation, aujourd’hui professeur en technologies avancées et conseillère stratégique mondiale en technologies émergentes, Sally est une auteure internationale primée, une animatrice, une conférencière et une leader d’opinion sur la transformation numérique (IA, 5G, Cloud, blockchain, cybersécurité, gouvernance, IoT, Data Science) ainsi que sur la culture, les compétences, la DEI, la durabilité et l’impact social.

Sally enseigne et parraine activement la prochaine génération de talents technologiques et a fondé « Aspirational Futures » pour améliorer l’inclusion, la diversité et l’égalité dans l’éducation et la technologie. Son dernier livre « Tech For Good » doit être publié prochainement. Sally est régulièrement reconnue pour son influence mondiale dans l’espace technologique par des organismes de premier plan tels qu’Onalytica. Elle figure dans le top 10 mondial dans de multiples disciplines allant de l’IA à la 5G en passant par le développement durable, entre autres.

Évolution du paysage des menaces pour les PME

Une nouvelle étude met en évidence l’ampleur réelle de la menace pesant sur les PME par rapport aux grandes entreprises. En 2019-2020, 65 % des PME subiront une cyber-attaque, contre 46 % de l’ensemble des entreprises (Towergate), ce qui confirme que les attaques se répètent ! Les PME qui subissent une violation sont touchées en moyenne 6 fois chacune au cours de cette période. Une fois tous les deux mois, c’est stupéfiant ! (NatWest).

Quelles sont les principales tactiques de menace auxquelles sont confrontées les PME ?

On pense tout d’abord à 2 vecteurs de menaces externes essentiels : le phishing (hameçonnage) et l’ingénierie sociale, ainsi que l’écosystème de la chaîne d’approvisionnement. Si l’on ajoute à cela les vecteurs de menaces internes, notamment l’absence d’évaluation des risques, la faiblesse du contrôle d’accès, de la protection des données, des dispositifs et des mots de passe, les faibles niveaux d’investissement, l’insuffisance de la formation et de la sensibilisation, la culture et les compétences en matière de cyber-hygiène, on obtient une surface d’attaque potentiellement vaste.

Phishing et ingénierie sociale
85 % des cyber-attaques proviennent de tentatives de phishing qui visent à inciter les utilisateurs à « faire ce qu’il ne faut pas », par exemple télécharger un logiciel malveillant, le plus souvent via des e-mails. Et ces tentatives sont de plus en plus sophistiquées. En effet, un test récent a révélé que l’intelligence artificielle était capable d’écrire des e-mails de phishing optimisés ! Souvent liée au phishing, l’ingénierie sociale décrit le processus de manipulation des personnes par l’usurpation d’identité, la persuasion ou même l’intimidation pour qu’elles entreprennent une action spécifique ou révèlent des informations confidentielles. La pandémie en est un exemple, les cyber-criminels se nourrissant de notre vulnérabilité collective et tentant de compromettre des comptes en utilisant des e-mails, SMS ou messages WhatsApp de phishing ayant pour objet le Covid-19, ou même en incluant une pièce jointe se présentant comme provenant de l’Organisation mondiale de la santé (OMS). Si l’on replace tout cela dans son contexte, le niveau de transformation de ce type de cyber-menace est révélateur. Il suffit de penser à la toute première cyber-attaque enregistrée, appelée « Morris Worm », en 1988. Elle a touché 6 000 ordinateurs, ce qui correspondait alors à environ 10 % de l’ensemble de l’Internet. Comme les temps ont changé !

Chaîne d’approvisionnement
Devenu un vecteur d’attaque privilégié des cyber-criminels, la plupart des brèches proviennent d’une source logicielle plutôt que matérielle, par exemple un logiciel malveillant infiltrant les mises à jour régulières des logiciels. Les attaques visent à cibler une PME via ses propres chaînes d’approvisionnement ou, plus généralement, à compromettre la PME pour ensuite s’attaquer à de plus grandes organisations. Les bibliothèques de logiciels libres constituent un autre domaine de vulnérabilité de la chaîne d’approvisionnement. À l’avenir, les connexions IoT devraient plus que doubler, pour atteindre 75 milliards d’appareils d’ici 2025, ce qui crée en soi de nouveaux cyber-risques. Du matériel peu coûteux peut être connecté à des réseaux, et de nombreux appareils qui s’y trouvent sont vulnérables aux attaques. Si l’on considère cette situation du point de vue de la convergence informatique/technologie de l’information et de l’écosystème de la chaîne d’approvisionnement, l’expansion de la zone de menace devient centrale.

Les obstacles au cyber-risque des PME

Ce la soulève une question centrale : quels sont les principaux facteurs qui empêchent les PME d’adopter les dernières protections pour être plus proactives face aux cyber-risques ? Tout d’abord, il existe manifestement un écart entre la sensibilisation et l’actualisation. Par exemple, une étude récente a montré que 93 % des PME considéraient la cyber-sécurité comme vitale pour la continuité de leurs activités, mais que 64 % seulement utilisaient effectivement des solutions de cyber-sécurité. En outre, une enquête européenne a révélé un écart entre la prise de conscience et la réalité. En effet, de nombreuses PME croient, à tort, que les contrôles de cyber-sécurité sont inclus dans les produits informatiques qu’elles ont achetés et qu’aucune mesure de sécurité supplémentaire n’est nécessaire, sauf si elle est imposée par des exigences de conformité ou des réglementations (enisa 2021).

La capacité d’investissement est un autre défi, Statista (2020) a constaté que l’investissement dans la cyber-sécurité s’élevait à 5 100 £ en moyenne, ce qui pourrait amener les PME à penser qu’elles sont dans la bonne fourchette en termes de dépenses. Mais ce chiffre est faussé par le nombre de micro et petites entreprises, qui ont dépensé en moyenne 3 490 £. Si l’on compare ce chiffre à celui des grandes entreprises, qui sont sans doute mieux préparées (ou, du moins, qui disposent de plus de ressources), on obtient un investissement moyen de 277 000 £, ce qui révèle un vaste fossé, que les acteurs malveillants se font un plaisir d’exploiter !

Parmi les autres facteurs, citons une « cyber-culture » sous-développée, des perceptions de complexité excessive, des préoccupations et souvent des idées fausses concernant la sécurité du cloud, ainsi qu’une méconnaissance générale de la technologie et de l’assistance qui sont « effectivement à la portée » des PME. Le plus alarmant est sans doute le fait que 54 % des participants à une enquête récente ont déclaré que leur entreprise ne formait pas le personnel à la sécurité des données et aux menaces de cyber-sécurité (Vodafone Business 2021).