Mois européen de la cybersécurité: des mesures concrètes pour protéger votre PME

La cybersécurité est souvent traitée comme un problème technique, mais pour les PME, un incident peut rapidement devenir un problème commercial. Un e-mail de phishing peut compromettre un compte. Une attaque de ransomware peut interrompre les opérations. Une sauvegarde non testée peut retarder la récupération. Même une courte interruption peut affecter les clients, les fournisseurs, les revenus et la réputation.

Pour marquer le Mois européen de la cybersécurité, le Luxembourg Digital Innovation Hub (L-DIH) a demandé à Anitha Arulrajakumar, experte de la Luxembourg House of Cybersecurity (LHC), de répondre à des questions pratiques sur les risques auxquels les PME sont confrontées et les mesures qu’elles peuvent entreprendre pour améliorer leur résilience.

Le Mois européen de la cybersécurité a lieu chaque mois d’octobre. Coordonné par l’Agence européenne de cybersécurité (ENISA) avec les pays européens participants, il offre l’opportunité de faire de la cybersécurité une responsabilité à l’échelle de l’entreprise plutôt qu’un sujet réservé aux équipes informatiques. Même une activité ciblée peut contribuer à transformer la sensibilisation en une pratique répétable tout au long de l’année.

Plusieurs organisations organisent également des événements pendant le Cybermois. Les PME peuvent consulter cette page pour trouver une activité correspondant à leurs besoins.

Trois erreurs courantes que les PME commettent avec les cybermenaces

• En supposant qu’elles soient trop petites pour être ciblées : les cyberattaques sont souvent opportunistes. Le phishing, les attaques par accréditations et les ransomwares peuvent affecter des organisations de toute taille. Les PME peuvent également offrir un point d’entrée vers de plus grands clients ou chaînes d’approvisionnement. L’intelligence artificielle (IA) a encore accru la vitesse et l’ampleur des attaques tout en rendant le phishing et l’ingénierie sociale plus convaincants.
• S’appuyer sur la technologie sans processus : les logiciels antivirus, pare-feux et sauvegardes ne rendent pas automatiquement une organisation résiliente. Des lacunes subsistent souvent concernant les configurations sécurisées, la sensibilisation des employés, l’authentification multifacteur, la gestion des mots de passe, les correctifs, les tests de sauvegarde et la réponse aux incidents.
• Selon une personne : la cybersécurité peut dépendre fortement d’un seul employé ou d’un prestataire externe. Si les procédures sont non documentées, l’organisation peut avoir du mal à répondre ou à se remettre lorsque cette personne est indisponible ou qu’un incident survient.

Trois étapes simples pour renforcer la sécurité des données

• Activez l’authentification multi-facteurs : privilégiez l’email, les applications cloud, les comptes administrateur et l’accès à distance. Un mot de passe volé ne devrait pas suffire à accéder aux informations de l’entreprise.
• Identifiez ce qui compte le plus : maintenez un inventaire simple des appareils, applications et informations importantes. Identifiez les données dont la perte, la divulgation ou l’indisponibilité créerait le plus grand impact opérationnel, financier, contractuel ou réputationnel.
• Sauvegarde et test de récupération : maintenez plusieurs sauvegardes distinctes des informations critiques. Testez régulièrement qu’elles peuvent être restaurées, car une sauvegarde non testée ne doit pas être automatiquement considérée comme récupérable.

Trouver le bon partenaire en cybersécurité

Un expert en informatique doit d’abord comprendre ses besoins plutôt que de commencer par acheter un produit de sécurité. Un partenaire en cybersécurité adapté doit comprendre l’activité de l’entreprise, les informations critiques, l’environnement informatique et les risques avant de recommander des solutions.

Les PME devraient chercher un partenaire qui :

• évalue l’environnement avant de recommander des solutions
• comprend les obligations sectorielles et réglementaires de l’entreprise
• définit des responsabilités entre l’expert et le prestataire
• Fournit des niveaux de service transparents et des procédures d’escalade
• soutient à la fois la prévention et la réponse aux incidents

L’externalisation de l’informatique ou de la cybersécurité ne sous-traite pas les risques de l’entreprise. La direction doit conserver une visibilité sur ce qui est protégé et comment. La Directive sur la sécurité des réseaux et de l’information (NIS2) et la Digital Operational Resilience Act (DORA) renforcent l’importance de la responsabilité et de la supervision de la gestion pour les organisations relevant de leur champ d’action.

Renforcer la cyberrésilience au-delà de toute prévention

Une bonne cybersécurité commence par des fondamentaux tels que l’authentification multi-facteur, les mots de passe forts, la protection des points d’extrémité, la segmentation réseau et des sauvegardes fiables. La résilience signifie aussi se préparer au moment où les contrôles préventifs échouent.

Chaque expert devrait pouvoir répondre à quelques questions de base :

• Qui appeler si une attaque de ransomware survient demain ?
• Comment les employés signalent-ils un incident ?
• Pouvons-nous continuer à fonctionner sans notre serveur principal ?
• À quelle vitesse pouvons-nous restaurer nos données ?
• Qui contacte les clients ou fournisseurs si nécessaire ?

Si les réponses sont floues, l’organisation a encore du travail de résilience à accomplir. La cyberrésilience ne signifie pas prévenir chaque attaque. Cela signifie réduire la probabilité d’un incident, le détecter rapidement, limiter son impact et reprendre l’activité.

Comment L-DIH peut aider les PME

Le L-DIH et le LHC proposent trois services qui aident les PME à évaluer leur situation actuelle, à identifier leurs priorités et à se préparer à un incident.

• Évaluation légère de la cybersécurité : une évaluation en ligne de 30 minutes qui offre une première vue sur la maturité en cybersécurité d’une organisation et des recommandations d’amélioration.
• Évaluation approfondie de la cybersécurité : un atelier de quatre heures qui examine en détail les risques de l’organisation et soutient l’élaboration d’un plan d’action adapté.
• Évaluation de la préparation à la gestion de crise : un exercice de quatre heures utilisant la salle #42, un scénario simulé de cyberattaque pour les équipes de direction. Les participants répondent à une crise et reçoivent un débriefing mettant en lumière les points à améliorer.

Les PME souhaitant un soutien supplémentaire peuvent explorer l’ensemble des services disponibles sur le marché L-DIH, ou contacter directement L-DIH pour discuter de leurs besoins en cybersécurité.