Pourquoi faire une formation en cybersécurité dans son entreprise

La sécurité informatique est l’affaire de tous. Pas uniquement du responsable de la sécurité des systèmes d’information (RSSI). En réalité, tous vos salariés devraient savoir ce qu’est un ransomware, un hameçonnage ou encore un VPN (réseau privé virtuel). Car la plus grande vulnérabilité de votre entreprise et de vos données provient sans doute d’une inattention de leur part, bien plus que d’une attaque par DDOS qui profiterait des faiblesses de vos pare-feux pour faire crasher vos systèmes.

I/ Pourquoi la cybersécurité est devenue nécessaire pour toutes les entreprises ?  

1/ Les enjeux de la sécurité informatique pour les professionnels  

La sécurité informatique est un enjeu critique pour les professionnels. D’abord parce qu’une attaque peut mener une entreprise vers la faillite. Une étude de 2016 montrait que 60% des PME victimes de cyberattaques mettaient la clef sous la porte peu de temps après. Ensuite, parce que ces agressions sont de plus en plus nombreuses. Travailleurs indépendants, responsables informatiques d’entreprises, cadres supérieurs, etc., tout le monde est confronté à des enjeux croissants de sécurité en ligne.

a. La protection des données sensibles : une question vitale  

Les entreprises gèrent quasiment systématiquement des données sensibles, telles que des informations client, des données financières, des brevets… Même lorsqu’elles ne sont pas actives sur Internet, à partir du moment où elles utilisent des services en ligne (pour stocker leurs données clients par exemple), elles s’exposent à des risques. Or, il est évident que la perte ou la compromission de ces données a des conséquences graves pour l’entreprise concernée.

b. La défense contre les cyberattaques : une priorité croissante  

Les cyberattaques sont à la fois de plus en plus fréquentes, mais aussi de plus en plus sophistiquées et diversifiées. Depuis la pandémie de COVID-19, elles ont augmenté de 600%. Les ransomwares, les attaques par phishing, les attaques par déni de service ou DDoS (Distributed Denial of Service), etc., représentent donc des menaces réelles, y compris pour les PME. C’est pourquoi les professionnels doivent mettre en place des défenses robustes pour contrer ces attaques qui peuvent très rapidement leur coûter extrêmement cher.

c. La conformité réglementaire : des normes exigeantes pour toutes les entreprises  

Tous les professionnels sont soumis à des règles strictes en matière de protection des données personnelles. Les entreprises doivent notamment garantir leur sécurité. Elles doivent donc avoir à la fois des outils de sécurité informatiques adaptés, mais aussi des mesures organisationnelles claires. De plus, outre ces règles imposées par le RGPD (règlement général sur la protection des données), de nombreuses industries sont soumises à des réglementations supplémentaires. Les banques ou les professionnels de santé doivent par exemple respecter des normes drastiques afin de garantir la confidentialité des informations transmises par leurs clients. Tout manquement à ces obligations peut faire l’objet de sanctions légales (et de lourdes amendes).

d. Protection de la réputation : toute attaque subie doit être déclarée  

Les attaques réussies ou les failles de sécurité coûtent à l’entreprise victime non seulement parce que son bon fonctionnement est entravé, mais aussi parce que sa réputation peut être ternie au point de lui faire perdre sa clientèle. Toute organisation victime d’une cyberattaque qui compromettrait la sécurité des données personnelles doit en informer la CNIL (Commission nationale de l’informatique et des libertés) dans les 72 heures, et si le risque est élevé pour la vie privée des personnes concernées, il faudra aussi les en informer. Ce type d’annonce peut anéantir l’image de marque d’une entreprise qui aura beaucoup de mal à s’en relever.

D’où l’importance d’avoir une véritable politique d’entreprise en matière de cybersécurité.

2/ Les objectifs de la cybersécurité : confidentialité, intégrité et accessibilité (CIA)  

Bien évidemment, la sécurité informatique a pour mission de sécuriser votre entreprise. Plus précisément, son but est de protéger les systèmes, les réseaux, les données, et les utilisateurs contre les menaces informatiques. Et cela passe par la réalisation de trois objectifs : la confidentialité, l’intégrité et l’accessibilité (CIA).

a. Confidentialité :  

Le principe est d’assurer que l’accès aux données est limité uniquement aux personnes autorisées. Cela peut paraître évident exprimé ainsi, mais dans la pratique, cela suppose un véritable engagement. En effet, cela signifie que seul le responsable des ressources humaines à accès aux informations sur les salariés… mais qu’il n’a pas connaissance des données clients par exemple. Il faut donc mettre en place des politiques de confidentialité afin de contrôler les accès et imposer une authentification forte pour garantir son application.

b. Intégrité :  

Pour pouvoir faire un bon usage des données, encore faut-il qu’elles ne soient pas altérées, modifiées ou corrompues de manière non autorisée. Pour éviter que cela n’arrive, les organisations déploient des mécanismes de signatures numériques ou des contrôles d’intégrité. Cela leur permet de suivre les modifications, de savoir quand et par qui elles ont été réalisées, mais aussi d’empêcher leur destruction ou modification suspectes.

c. Accessibilité :  

Avoir des données fiables, c’est bien, pouvoir y accéder pour les utiliser, c’est mieux. Cela nécessite que les données et les systèmes informatiques sont disponibles quand nécessaire. Or, pour s’en assurer, il faut pouvoir se protéger contre des attaques de type DDoS qui visent à rendre un service indisponible en le submergeant de requêtes, ou encore contre des ransomware qui menaceraient de détruire toutes vos données si vous ne payez pas la somme exigée.

Pour atteindre ces objectifs, il ne suffit pas d’investir dans des solutions de sécurité telles que des systèmes de sauvegarde, des antivirus ou des solutions de détection des intrusions. La formation de tous les employés est nécessaire.

3/ Pourquoi sensibiliser vos salariés aux bonnes pratiques d’hygiène informatique est primordial  

La sensibilisation des salariés, bien au-delà du service informatique, est primordial pour plusieurs raisons :

a. Réduction des risques : un homme averti en vaut deux  

En sensibilisant leurs salariés, les entreprises leur apprennent à reconnaître et à éviter des menaces en ligne telles que les e-mails de phishing ou des liens malveillants par exemple. Cette éducation des employés les incite à se comporter de façon plus prudente en ligne, et donc à réduire les risques liés aux cyberattaques. C’est donc une étape indispensable, bien qu’elle puisse être longue. En effet, cela peut supposer des changements radicaux dans l’usage d’internet des employés. Il incombe donc de leur rappeler régulièrement les bonnes pratiques à adopter et leur importance pour tous.

b. Économies financières : mieux vaut prévenir que guérir  

Prévenir une attaque est largement moins coûteux que remédier à ses conséquences. En cas de cyberattaque, il faudra bien souvent faire appel à une société spécialisée pour limiter les dégâts et restaurer vos systèmes. Et, ces professionnels sont particulièrement onéreux. De plus, l’entreprise fonctionne bien souvent en sous régime à la suite d’une attaque. Cela représente du chiffre d’affaires en moins. Se doter d’une assurance pour se protéger des risques cyber semble donc, a priori, une bonne idée. Cependant, il est conseillé de porter la plus grande attention aux termes du contrat, car certaines assurances imposent des conditions tellement restrictives que leurs garanties ne peuvent pas être obtenues dans les faits.

c. Obligation légale : le principe de responsabilité des collecteurs de données personnelles imposé par le RGPD  

Du fait des réglementations en matière de protection des données, la sensibilisation des employés est particulièrement essentielle. D’abord, parce qu’elle est nécessaire pour respecter ces règles, et donc éviter des amendes pour manquement à ses obligations légales. En effet, toute entreprise qui collecte des données personnelles s’engage à les protéger en mettant en œuvre les mesures appropriées. Ensuite, parce que la formation des employés les responsabilise. La sensibilisation crée une culture de la sécurité où chaque salarié se sent responsable de la protection des informations de l’entreprise. Il est conscient des enjeux pour l’entreprise et il sait que son comportement peut compromettre la sécurité de l’entreprise s’il n’applique pas les règles. Il comprend aussi que tout manquement de sa part pourrait constituer une cause réelle et sérieuse de licenciement.

II/ Qu’est-ce qu’on apprend lors d’une formation en cybersécurité ?  

Que cette formation soit pour un public averti, ou pour des néophytes, elle abordera systématiquement les principes fondateurs de la sécurité informatique. Bien sûr, elle abordera des aspects très techniques pour les experts alors qu’il s’agira plus d’une sensibilisation si le public n’est pas déjà familier du domaine.

1/ Les principes fondamentaux de la sécurité informatique  

La cybersécurité cherche à garantir les 3 grands principes CIA (confidentialité, intégrité et accessibilité) vus plus haut. Pour y parvenir, il s’agit de mettre en place des mesures telles que :

a. La gestion des accès :  

En gérant de manière efficace les droits d’accès aux ressources, vous garantissez que chaque utilisateur a uniquement les autorisations nécessaires. Cela passe par l’attribution de droits d’accès différenciés. Certains utilisateurs ont accès à certains systèmes, en fonction de leur niveau d’autorisation. Mais il faut aussi vérifier leur identité pour éviter toute intrusion d’une personne non-autorisée.

En effet, un tiers qui accèderait à vos données ou à vos réseaux alors qu’il n’y est pas autorisé compromet leur sécurité. Et il pourrait causer des dommages considérables… C’est pourquoi les experts en cybersécurité tâchent de limiter ce risque au maximum pour protéger au mieux les systèmes d’informations de l’entreprise.

b. La sécurité physique et du réseau :  

Cette sécurité passe par la protection des infrastructures informatiques physiques comme les serveurs, les postes de travail ou les téléphones professionnels. Elle comprend à la fois les dommages physiques et les accès non autorisés. Mais il s’agit aussi d’assurer la protection du réseau, ce qui suppose sa sécurisation contre les attaques, les intrusions et les interceptions.

Or mieux vaut prévenir que guérir. C’est pourquoi il faut procéder à un état des lieux des risques et des vulnérabilités.

c. La gestion des vulnérabilités :  

Cette étape vise à identifier, évaluer et atténuer les vulnérabilités dans les systèmes et les applications de l’entreprise. Elle fait un audit des risques en estimant leur impact et leur probabilité d’occurrence. Les risques ayant un impact élevé et une probabilité élevée seront donc à traiter en priorité. Et bien sûr, si un risque se matérialise, il fera de son mieux pour en limiter les conséquences.

d. La gestion des incidents :  

Pour réduire l’impact d’un incident, encore faut-il le détecter. C’est pourquoi il est primordial d’avoir des protocoles en place pour détecter et répondre rapidement aux incidents de sécurité. Cela permet non seulement de les identifier mais aussi de les circonscrire afin d’éviter qu’ils ne se propagent à tout votre réseau. Ensuite vient la phase de résolution et de restauration… si celle-ci est possible. Par exemple, si un pirate s’est introduit dans votre système et a détruit toutes vos données clients, alors il sera impossible de les restaurer s’il n’y a pas eu de sauvegardes (appelées backups) sur des supports externes.

La réponse aux incidents sera d’autant plus efficace qu’elle aura été planifiée. En effet, une attaque peut paralyser votre entreprise. Savoir qui fait quoi est donc indispensable pour réagir efficacement malgré le chaos.

Les experts en cybersécurité doivent donc faire preuve d’anticipation. Ils n’ont pas seulement besoin de compétences techniques.

2/ Les compétences pour devenir un expert cyber (Responsable de la sécurité de l’information (RSSI), auditeur de la sécurité, ingénieur de sécurité informatique, pentester…)  

Bien évidemment, un expert en cybersécurité doit avoir des compétences techniques pointues. Mais pas seulement. Il lui faut aussi connaître les réglementations applicables et savoir travailler en équipe, notamment dans des situations de crise.

a. Connaissances techniques :  

C’est le B-A-ba. Son rôle est d’assurer la sécurité des systèmes d’informations. Il sait donc configurer des serveurs de façon sécurisée par exemple. Indispensable aussi qu’il comprenne les protocoles, les pare-feu, les IDS/IPS (systèmes de détection et de protection contre les intrusions), les VPN (virtual private networks), etc. car il utilise ses outils au quotidien pour prévenir les menaces. Mais il doit aussi s’y connaître en cryptographie. En effet, pour éviter que des informations interceptées par des tiers puissent être comprises, il faut les chiffrer. Or cela nécessite plus que des bases en matière d’algorithmes de chiffrement.

b. Compétences en gestion des risques cyber :  

Comme nous l’avons vu, un expert en cybersécurité sait évaluer les vulnérabilités dans les systèmes, mais aussi répondre aux incidents. Il cherche à les contenir rapidement et à y répondre efficacement. Il est donc compétent en forensique, c’est-à-dire qu’il sait examiner les systèmes compromis pour comprendre les attaques. Cela suppose qu’il effectue une veille régulière sur les menaces pour connaître les nouvelles tactiques utilisées par les attaquants.

c. Compétences en communication :  

Un expert en cybersécurité doit mener des projets, et potentiellement faire face à des crises graves. Il ne peut pas faire l’impasse sur une communication exemplaire. Si la collaboration avec d’autres professionnels de la cybersécurité et des départements connexes nécessite de savoir gérer un projet, il devra aussi travailler avec des non-initiés. C’est particulièrement le cas lorsqu’il doit sensibiliser les employés aux bonnes pratiques de sécurité et lorsqu’il doit gérer une crise. Il doit alors expliquer des concepts complexes de manière accessible.

3/ Les compétences en sécurité informatique indispensables pour tout employé  

Plus de 75% des attaques s’expliquent par une « erreur » humaine. Un salarié qui télécharge un fichier contaminé, une employée qui transmet par mégarde ses identifiants à un pirate…

L’étape numéro 1 pour sécuriser son entreprise consiste à former ses collaborateurs pour qu’ils ne commettent pas ces impairs.

a. Sensibilisation à la cybersécurité et responsabilisation :  

Impossible de le faire adopter les bonnes pratiques s’ils ne comprennent pas les risques liés à la cybersécurité. Mais bien évidemment, ceci est loin d’être suffisant. Ils doivent également être responsabilisés. Intégrer le fait que la cybersécurité est une responsabilité partagée, et qu’il s’agit d’une de leurs obligations en tant qu’employé, est un pas majeur pour réduire les risques. Cela suppos e une explication claire des politiques de sécurité de l’entreprise pour qu’ils connaissent les règles à respecter et comment signaler toute activité suspecte ou violation potentielle. Cela nécessite aussi une bonne compréhension des politiques de confidentialité de l’entreprise afin de protéger les informations sensibles des clients et des employés.

Une fois ces prérequis intégrés, il est temps de leur apprendre des éléments basiques de sécurité informatique.

b. Formation aux bonnes pratiques :  

Cette formation doit être concrète afin que les employés puissent immédiatement l’appliquer. Elle cherchera donc à diffuser une bonne « hygiène » de sécurité en ligne. A l’issue de celle-ci, ils sauront par exemple identifier les menaces mais aussi comment réagir en cas de doute. Ils apprendront aussi comment créer des mots de passe forts, comment identifier les sites web non sécurisés, comment reconnaître les courriels d’hameçonnage (phishing) ou encore comment activer les fonctionnalités de sécurité des appareils mobiles.

Tous ces apprentissages concrets leur permettront de respecter les règles de sécurité et de confidentialité de l’entreprise.

La formation de vos salariés aux risques de cyberattaques est désormais capitale. Il suffit d’une erreur, ne serait-ce qu’une fois, de l’un d’eux, pour que votre entreprise en soi victime. Or, les coûts d’une attaque informatique sont tels que vous pourriez être contraint de déposer le bilan peu de temps après, notamment si vous dirigez une PME.

N’hésitez pas à contacter notre équipe pour obtenir une formation adaptée aux besoins de votre entreprise en cliquant ici.