La chronique économique hebdomadaire de Bernard CHAUSSEGROS :
Hacking, data-analyse, cybersécurité, autant de noms pour qualifier un domaine encore peu connu. La numérisation croissante des échanges et des activités économiques ainsi que le développement et la complexification de la menace cyber rendent chaque jour plus urgent le besoin de doter les entreprises, et particulièrement les TPE/PME, ainsi que les administrations de personnels formés, qualifiés et compétents en matière de cybersécurité. Ce constat fait aujourd’hui l’objet d’un consensus général.
Un monde digitalisé soumis à des menaces
L’espace virtuel de la toile et de l’informatique est désormais notre quotidien, nous offrant un espace pour travailler, acheter ou se divertir. Petit à petit, le cyberespace est devenu incontournable pour stocker des informations importantes, gérer nos comptes bancaires, des données personnelles ou professionnelles. Tout se passe désormais en réseau et même les gouvernements s’échangent les informations confidentielles par ce biais. Mais, les génies en informatique malintentionnés sont capables se détourner les systèmes de sécurité et des dispositifs que nous croyons inviolables. De plus en plus de « hackers » se spécialisent dans l’intrusion ciblé dans ces espaces sécurisés, demandant les rançons, volant de l’argent et des informations sensibles. Chassant les failles afin de prévenir les risques de piratage informatique, les experts en cybersécurité jouent un rôle crucial dans un contexte où la sécurité des données est une préoccupation majeure des entreprises. Ils doivent en effet assurer une veille permanente relative aux menaces actuelles et à la cyberdéfense, suivre la vulnérabilité des softwares et hardwares.
Espionnage, vol de données sensibles chiffrées, fraude, sabotage, malveillance… Les motifs des cyberattaques et piratages sont de plus en plus nombreux et leurs cibles le sont tout autant. En France, c’est l’Agence de la sécurité des systèmes d’information (ANSSI, ex-DCSSI) est chargée au niveau national de la sécurité informatique contre les pirates, notamment sur les réseaux d’Etat mais aussi en lien avec des acteurs privés.
L’indispensable hacker éthique
En France, le coût de la cybercriminalité était évalué à 9 millions d’euros en moyenne pour une grande entreprise. Pour s’en protéger, les entreprises recrutent des experts de la cybersécurité. Dans cette famille de métiers, il y a le hacker éthique, un spécialiste des failles de sécurité. Le mot « hacker » est connoté péjorativement alors qu’au départ, il désigne des passionnés d’informatique et non pas des cybercriminels. Le terme éthique a été rajouté pour éviter la confusion.
Les chasseurs, qui sont des hackers éthiques, auditent les systèmes d’information des organisations clientes de la plateforme pour y détecter des failles de sécurité. Dans ce modèle particulier, les hackers sont payés à la faille détectée, qui peut être rémunérée de 50, à plusieurs milliers d’euros.
De nombreux responsables européens de la sécurité des SI hésitent encore à se tourner vers des hackers éthiques pour identifier des vulnérabilités. Malgré la pénurie de professionnels de la cybersécurité, 51% des responsables français de la sécurité des systèmes d’information (RSSI) interrogés disent ne pas faire appel à des hackers éthiques externes pour identifier des vulnérabilités logicielles dans leurs systèmes.
Globalement, 35% des RSSI européens (30% en France) reconnaissent être freinés par un manque de budget et de compétences pour aller de l’avant. La sécurité offensive est encore un marché émergent en Europe et certains mythes subsistent. Il est donc primordial de poursuivre l’évangélisation et de démontrer les bénéfices du hacking éthique.
Il faut se caler sur les services anglais (PTCIU) pour s’armer sur la cyber.
Le domaine de la sécurité du numérique est vaste et varié et il devient nécessaire de fluidifier et de dynamiser un marché de l’emploi cyber en plein essor.
- Source Boston Consulting Group : « 20 milliards $ de pertes liées au risque cyber pour les entreprises en 2021 »
- Source baromètre CESIN (le Club des Experts de la Sécurité de l’Information et du Numérique) : « 65% des entreprises (françaises) ont constaté une cyberattaque (en 2020) » https://www.cesin.fr/fonds-documentaire-6eme-edition-du-barometre-annuel-du-cesin.html
Les TPE et PME en difficulté dans la lutte
Entreprises : peu de moyens pour lutter
Vol de données, demandes de rançon, atteinte à l’image ou sabotage sont autant de risques qui pèsent sur les organisations, avec des conséquences souvent graves, parfois irréversibles. Cette réalité peut encore sembler abstraite, très technique, complexe et coûteuse pour les entreprises, notamment les plus petites, si bien qu’elles ne se préparent pas toujours suffisamment.
Depuis le début du confinement, les entreprises, et particulièrement les PME, ont été la cible des hackers. En 2020 notamment, 50% des petites et moyennes entreprises françaises ont été la cible d’une cyberattaque. Souvent moins bien protégées que les grands groupes, elles sont la cible privilégiée des hackers. L’agence nationale de la sécurité des systèmes d’information (Anssi) a enregistré depuis mars 2020 une hausse de 400 % de tentatives de phishing.
La sécurité informatique d’une entreprise dépend de la taille de celle-ci mais aussi de la façon dont elle s’est protégée. Toutes ne disposent pas de services en interne et contrairement à ce qui se fait dans les grandes entreprises, les salariés ne sont pas toujours formés à la cyber sécurité.
La crise actuelle n’arrange rien à l’affaire. Les salariés désormais en télétravail, utilisent leur équipement professionnel depuis chez eux, mélangent des usages professionnels et personnels, et accèdent à Internet par des réseaux Wifi peu ou pas sécurisés.
Un effet Covid-19 ?
Le nombre d’attaques informatiques a quadruplé depuis le début de la crise sanitaire. Des opérations invasives qui augmentent de 80% le risque de défaillances des entreprises dans les trois mois qui suivent l’incident.
L’intérêt des entreprises pour le télétravail, en pleine pandémie de Covid-19, a également conduit au bond des inscriptions chez les plateformes de cybersécurité, avec une hausse d’un tiers des récompenses versées. Les autorités françaises et britanniques notamment ont fait appel à des pirates éthiques pour leurs applications de traçage du coronavirus. Si la 5G dispose de nouvelles fonctions de sécurité intégrées à l’infrastructure du réseau -ce qui n’était pas le cas jusqu’à présent-, cette technologie est beaucoup plus complexe que les précédentes, laissant plus de place à l’erreur humaine. Il pourrait y avoir beaucoup de risques de mauvaise configuration et de contrôles d’accès inappropriés.
L’Union européenne, comme les gouvernements du monde entier, renforcent progressivement les exigences en cybersécurité et gonflent amendes et sanctions pour violation de données.
En conclusion, il est aisé de dire que le métier a un côté aventureux qui séduit les étudiants de prime abord. « Il y a un petit effet « Le Bureau des Légendes » (série diffusée sur Canal +) qui met en scène les services techniques de la DGSE (Direction générale de la sécurité extérieure). Mais la réalité est moins trépidante que cela. Les opportunités ne manquent pas en ce moment pour les spécialistes de la cybersécurité. Nous ne sommes pas sur un effet de mode mais sur, a priori, une tendance de fond. L’activité a connu une forte croissance durant le premier confinement et le niveau d’activité n’a pas baissé depuis. Un nouveau prisme à intégrer pour nos entrepreneurs français.
Focus sur une entreprise française innovante en « cybersécurité » : la société HIA-MFA
HIAsecure a été créée en 2017, parce que l’Authentification est un enjeu majeur pour les entreprises. www.hiasecure.com
« Les pirates informatiques exploitent l’authentification, une passerelle unique, pour accéder aux enregistrements des utilisateurs et des entreprises » selon Marc OLIVIER, l’un des fondateurs.
HIA-MFA est la solution française d’authentification forte sécurisée par l’intelligence humaine qui, à chaque connexion, permet à son utilisateur de générer lui-même son code d’accès à usage unique. »
