4 bonnes pratiques cybersécurité pour les PME

La migration massive des systèmes d’information vers le cloud, l’adoption à grande échelle de l’intelligence artificielle générative (GenAI), le durcissement de la réglementation (par exemple la loi européeenne NIS2), l’influence d’un contexte géopolitique mondial très tendu avec des évènements catalyseurs comme la tenue des Jeux Olympiques à Paris… Autant de facteurs qui viennent redessiner les contours de la cybersécurité en France en 2024. Si les JO de Tokyo ont été victimes de plus de 4 milliards de cyberattaques en 2020, celles-ci pourraient être multipliées par 8 ou 10 en ce qui concerne la future édition parisienne. La sophistication des attaques, d’une efficacité et d’une ampleur redoutables, fait peser une menace omniprésente et multiforme sur les organisations françaises.

Moins bien préparées à faire face à la cybermenace, moins conscientes du risque, les PME sont pourtant en ligne de mire des cyberattaquants. Plus vulnérables, les conséquences d’une éventuelle violation de données peuvent être désastreuses pour elles. Heureusement, il existe des moyens accessibles aux PME de se protéger efficacement contre les cyberattaques. Jean-Félix Chevassu, Directeur d’Offre Cybersécurité chez adista, expert télécoms, cloud et cybersécurité, livre quatre bonnes pratiques cybersécurité pour les PME afin de renforcer leur sécurité informatique.

La cybersécurité est encore souvent perçue comme une contrainte qui va ralentir les projets IT. Il est courant pour les entreprises de gérer la sécurité de manière isolée dans le cycle de vie du développement, de crainte de perdre en agilité et en compétitivité. Les organisations doivent trouver le juste équilibre entre agilité et sécurité et intégrer la cybersécurité dès la conception du projet.

Cela implique l’identification précoce des risques potentiels et l’implémentation de mesures de sécurité appropriées avant le déploiement du projet. Réseau, hébergement, cloud, applications logicielles, endpoints (terminaux), appareils connectés (IoT Internet of Objects)… Il est crucial d’intégrer la sécurité dans chaque composante IT. Chacune de ces briques représente un point d’entrée potentiel pour les malveillants. Une faille dans une seule composante peut compromettre l’intégrité de l’ensemble du système. D’où l’importance d’une approche globale de la cybersécurité.

S’il est vrai que l’IA facilite la vie des cyberattaquants (corruption de modèles pour les rendre plus vulnérables, amélioration des logiciels d’attaque, perfectionnement de l’ingénierie sociale et du phishing, génération d’identifiants pour pirater des systèmes et contourner les mesures de sécurité, Fake News / Deep News…), elle offre aussi de nouvelles perspectives aux entreprises. A condition de savoir en tirer profit.

L’IA peut par exemple aider à détecter et prévenir les attaques, simuler et tester des scénarios d’intrusion, former et sensibiliser les utilisateurs. Mais pour en tirer tous les bénéfices, il est essentiel de structurer et de sécuriser ses données :  déployer des IA génératives privées afin que les données de l’entreprise ne soient pas utilisées pour l’apprentissage des modèles publics, cartographier et fiabiliser les données afin que les utilisateurs internes ne puissent accéder qu’aux informations pertinentes pour eux et afin d’éviter la génération d’hallucinations.

La sécurité n’est pas qu’un enjeu technologique ; c’est aussi un enjeu humain. Les cyberattaquants ciblent plus que jamais les employés, exploitant souvent leur manque de sensibilisation aux pratiques de sécurité. Par exemple, l’IA est arrivée comme une déferlante mais sans aucun accompagnement à son utilisation raisonnée. Un collaborateur pourrait alimenter par erreur une IA publique avec des données d’entreprise confidentielles, créant ainsi une faille de sécurité majeure.

C’est pourquoi il est essentiel de comprendre que tous les collaborateurs sont des acteurs de la cybersécurité. Pour éviter que le facteur humain ne devienne une faille, il est crucial de mettre en place des formations régulières en cybersécurité. Ces formations peuvent aider à sensibiliser les employés aux risques, à reconnaître les tentatives d’attaque et à adopter des comportements sécuritaires dans leur travail quotidien. Ainsi, chaque collaborateur devient un maillon fort dans la chaîne de défense de l’entreprise.

Si les PME peinent parfois à intégrer la cybersécurité au niveau qu’elles méritent, c’est souvent une question de ressources. L’accompagnement par un partenaire externe est alors une réponse pertinente et pragmatique, leur permettant d’accéder à une expertise de pointe en cybersécurité.

En tant qu’opérateur télécoms historique, hébergeur et infogéreur, nous comprenons l’omniprésence de la menace et l’importance d’une protection à 360° allant de la technologie à l’individu. Audit, conseil, conformité, sécurité du cloud, du réseau, des utilisateurs… adista propose un accompagnement de bout en bout afin que les PME puissent se concentrer sur leur cœur de métier tout en bénéficiant d’une protection optimale et adaptée à leurs besoins et ressources. adista, c’est 1100 experts basés dans 40 agences en France pour une proximité et une réactivité optimales.

La convergence entre souveraineté numérique et confidentialité des données s’affirme comme une force motrice dans le paysage numérique. adista opère 14 datacenters en France et est également certifiée ISO 27001 et « Hébergeur de Données de Santé » (HDS), témoignant de notre engagement en matière de souveraineté et de sécurité des données sensibles.

Nous avons la chance de pouvoir nous appuyer sur un expert de la surveillance en temps réel des systèmes d’information, cyberprotect, et sur son Centre d’Opérations de Sécurité (SOC) souverain et certifié. Cyberprotect est un CERT français (Computer Emergency Response Team) et membre du FIRST (Forum of Incident Response and Security Teams), également labellisé « Expert Cyber » et référencé sur la plateforme cybermalveillance.gouv.fr.

Photo de Mimi Thian sur Unsplash