EXPERTISE ASSURÉE : La cybercriminalité et ses conséquences pour votre entreprise

La cybercriminalité est un phénomène de plus en plus courant depuis quelque temps, mais elle s'est accélérée ces dernières années. Les autorités publiques ne sont pas les seules victimes. De nombreuses entreprises, grandes et petites, sont de plus en plus confrontées à des cyberincidents au sens large du terme. Cela a des conséquences considérables tant sur le plan de la gestion que sur la continuité et l'avenir de l'entreprise. En cas d'atteinte au serveur, les entreprises peuvent parfois être dans l'incapacité de servir leurs clients pendant des jours, voire des semaines, ce qui peut entraîner des demandes de dommages-intérêts supplémentaires. Aucun secteur n'est épargné et le stress que cela engendre ne doit pas être sous-estimé.

Types d'incidents cybernétiques et risques

Chaque jour, les cybercriminels tentent d'accéder à des données d'entreprise précieuses et confidentielles. Pour ce faire, ils ont recours à différentes tactiques. Dans les entreprises, les cybercriminels utilisent souvent des « ransomwares » ou logiciels de rançonnage. Ceux-ci bloquent les principaux systèmes et données d'une entreprise, puis exigent une rançon en échange de la libération du système.

La sécurité à 100 % n'existe pas. Même si vous êtes entouré de bons professionnels de l'informatique, il existe toujours un risque. Vous pouvez comparer cela à une maison : même si votre maison a été conçue par le meilleur architecte et construite par le meilleur entrepreneur, elle peut toujours brûler.

Dans d'autres cas, le ransomware est utilisé pour voler des données à une entreprise qui ne se doute de rien, puis menacer de les rendre publiques. Il s'agit là d'un chantage à l'encontre de l'entreprise. Compte tenu de l'obligation qui incombe aux entreprises de protéger leurs données et de la réglementation relative au RGPD, cela peut avoir des conséquences importantes.

Outre les ransomwares, les cybercriminels disposent d'autres moyens pour nuire aux entreprises. Citons par exemple le cybervol, le piratage de systèmes téléphoniques, etc. Le plus évident est l'interception de mots de passe. D'où l'importance d'utiliser des mots de passe suffisamment variés et complexes, de les modifier régulièrement et de sensibiliser tous les collaborateurs à ce sujet, à tous les niveaux de l'entreprise.

De plus, tous les incidents cybernétiques ne sont pas le résultat d'actes criminels. Pensez par exemple à une erreur humaine : l'ouverture d'une pièce jointe infectée, l'envoi d'un e-mail au mauvais destinataire, etc. Une défaillance du matériel informatique peut également avoir de graves conséquences sur le fonctionnement quotidien de l'entreprise.

Les cyberincidents ne disparaîtront pas de sitôt. Au contraire, ils sont en pleine expansion.

La protection commence par la sensibilisation

Plus de 50 % des cyberattaques contre les entreprises sont (in)directement imputables à une erreur humaine. Après tout, il suffit d'un seul clic malencontreux aux cybercriminels pour accéder à des données précieuses de l'entreprise. Selon nos experts, les entreprises ont donc une responsabilité sociale de sensibiliser leurs collaborateurs. Outre une bonne assurance contre les incidents cyber, ils estiment que la sensibilisation et la prise de conscience des dangers par les collaborateurs doivent rester une priorité.

La première étape de ce processus de sensibilisation consiste à vous informer (étape 1). Cela peut se faire à l'aide d'articles et de blogs contenant des conseils concrets. L'étape suivante consiste à partager ces connaissances au sein de votre organisation et à sensibiliser vos collaborateurs (étape 2) aux dangers des cyberincidents et à leur propre rôle dans ce domaine. Pour ce faire, vous pouvez envoyer des e-mails tests au sein de votre entreprise ou en collaboration avec un partenaire informatique dédié. Bien entendu, cette sensibilisation doit aller de pair avec la sécurisation (étape 3) du système informatique de l'entreprise. Un bon pare-feu, un antivirus et des mises à jour sont notamment indispensables. Il est également important de limiter l'accès aux données strictement nécessaires et de dresser la liste des licences disponibles ainsi que des appareils qui y ont accès (étape 4). Enfin, dernière étape importante, souscrivez une cyberassurance (étape 5), car la sécurité à 100 % n'existe pas. Une telle assurance est essentielle pour la continuité des activités après un cyberincident.

Une bonne assurance est la touche finale de votre cyberplan

L'importance d'une bonne cyberassurance commence à faire son chemin dans le monde des affaires. Selon nos experts, un changement s'est opéré depuis 2021. Le nombre d'entreprises qui prennent conscience de l'importance d'une bonne cyberassurance s'accélère, car les dirigeants d'entreprises et d'organisations comprennent de plus en plus que ne pas avoir de cyberassurance peut être considéré comme une faute de gestion. Cela s'explique par l'impact énorme des cyberincidents sur les organisations.

Aujourd'hui, le coût moyen d'une assurance est abordable pour la plupart des entreprises et comparable au coût d'une assurance omnium pour le véhicule de société du dirigeant. C'est minime par rapport aux dommages considérables que votre entreprise peut subir. Des chiffres récents montrent que le coût moyen d'une cyberattaque s'élève à 441 000 euros. Mais selon nos experts, les dommages subis par une grande entreprise après un cyberincident peuvent dépasser le million d'euros. Cela n'empêche toutefois pas les cybercriminels de s'en prendre aux PME. En effet, 60 % de toutes les cyberattaques les visent.

Selon nos experts, il existe une idée fausse selon laquelle les cybercriminels ont plus à gagner en piratant une grande entreprise ou une entreprise internationale. Il est donc tout aussi important pour une PME de se protéger contre les pirates informatiques potentiels. L'idée qu'une petite ou moyenne entreprise est moins intéressante pour les cybercriminels est erronée. En effet, un pirate informatique tentera toujours d'abord de pénétrer le système d'une petite ou moyenne entreprise. Il part du principe que ces entreprises disposent d'une cybersécurité moins robuste. Pour les cybercriminels, le succès réside principalement dans le grand nombre de PME dont la sécurité informatique est plus faible ou dont les employés sont peu sensibilisés.

Selon nos experts, une cyberassurance est comparable à une assurance omnium pour une voiture. "Vous pouvez être un très bon conducteur, mais un accident peut toujours être causé par un tiers", expliquent-ils.

En tant qu'entreprise, petite ou grande, vous avez donc tout intérêt à vous assurer contre ce type d'incident cyber, mais il n'est pas toujours facile de déterminer la couverture dont vous avez besoin. Il est donc préférable de faire appel à un courtier en assurances spécialisé dans ce type d'assurance. En effet, les conséquences d'un cyberincident ne sont pas couvertes par la plupart des assurances souscrites par les entreprises, telles que l'assurance responsabilité civile, l'assurance incendie, l'assurance continuité d'activité ou l'assurance tous risques électronique. Une cyberassurance distincte s'impose donc.

Une assurance adaptée varie bien sûr d'une entreprise à l'autre. Néanmoins, certains éléments devraient figurer dans une cyberassurance, tant pour les grandes que pour les petites entreprises. Une cyberassurance complète vous couvre contre quatre risques principaux : les dommages et frais propres, la perte de bénéfices, la responsabilité civile et, bien sûr, la cybercriminalité. Une option supplémentaire pourrait être l'assistance juridique. Ce n'est que lorsque tous ces risques sont couverts par une assurance que vous pouvez considérer que vous êtes entièrement couvert.

Une fois que l'assurance doit intervenir, une collaboration sur plusieurs fronts est essentielle. L'expérience a appris aux experts que les services informatiques internes, les partenaires informatiques externes, les partenaires juridiques et la gestion de crise doivent collaborer étroitement pour obtenir le résultat souhaité.

Les cyberincidents sont malheureusement devenus un phénomène irréversible qui n'est pas près de disparaître. Au contraire, les entreprises et les organisations devront intégrer la cyberréalité dans leur politique d'entreprise. Pour tout dirigeant, la question n'est plus de savoir « si » une telle attaque se produira un jour, mais « quand ».