Êtes-vous trop petit pour être une cible ?
La plupart des petites et moyennes entreprises partagent la même hypothèse silencieuse...
Nous ne sommes pas si intéressants, nous ne sommes pas si grands ET tout ira bien. Or, ce sont précisément ces convictions qui vous rendent attrayant pour les pirates.
Les pirates n'attendent pas une grande marque connue. Ils jouent sur le volume. Scans automatisés, campagnes d'hameçonnage, bourrage d'identifiants. Il suffit que vous soyez une cible plus facile que l'entreprise voisine.
C'est souvent le cas des PME...
Non pas parce qu'elles s'en moquent, mais parce qu'elles sont occupées. Vous avez des clients à servir, une trésorerie à gérer, des collaborateurs à accompagner. La sécurité finit par se situer quelque part entre « important » et « plus tard ». Les attaquants comptent sur ces failles.
Vous n'êtes pas la cible. Vous êtes le point d'entrée.
Voici ce que la plupart des gens oublient. Beaucoup de PME ne sont pas attaquées pour leurs propres données. Elles le sont à cause de ceux à qui elles sont liées. Vous êtes un fournisseur, un partenaire, un tremplin vers quelque chose ou quelqu'un de plus « intéressant » aux yeux d'un pirate.
Des incidents récents dans l'ingénierie et l'industrie le montrent clairement. De plus petites entreprises servent de porte d'entrée vers de plus grandes organisations. Une boîte de réception compromise, un mot de passe réutilisé, et soudain, le réseau de quelqu'un d'autre est ouvert.
Vous n'avez pas besoin d'avoir de la valeur. Il suffit d'être connecté.
Et savoir cela change considérablement le risque !
Le vrai dommage n'est pas technique
Quand on pense aux cyberattaques, on imagine des systèmes qui tombent en panne. C'est une partie du problème, mais rarement celle qui fait le plus mal. Les vrais dégâts se manifestent de façon plus discrète :
Un client met un contrat en pause.
Un partenaire pose plus de questions que d'habitude.
Un prospect se refroidit après une vérification préalable.
Les grandes organisations peuvent absorber ce type de dommages. Elles ont une marque, des équipes de communication, des protections juridiques. La plupart des PME, non.
Si un client commence à douter de la façon dont vous gérez ses données, vous ne perdez pas seulement une affaire. Vous perdez des affaires futures dont vous n'entendrez jamais parler. C'est la partie que personne ne consigne dans le rapport d'incident.
« Nous avons un service informatique pour ça » n'est pas une stratégie
Beaucoup d'entreprises se sentent protégées parce qu'elles ont externalisé l'informatique ou installé des outils de sécurité. C'est utile, certes, mais pas toujours suffisant.
Au Royaume-Uni, l'autorité de protection des données (l'ICO) continue de pointer la même cause profonde dans les violations. Non pas des attaques sophistiquées, mais des lacunes élémentaires dans les « mesures organisationnelles ».
Quand les gens ne savent pas à quoi faire attention, ni ne comprennent et n'adaptent leurs comportements, c'est là que...
Quelqu'un clique.
Quelqu'un partage un accès.
Quelqu'un ne signale pas quelque chose parce qu'il n'est pas sûr que cela compte.
Cela n'arrive pas quand la technologie échoue, mais quand les systèmes qui l'entourent échouent.
Le contrôle le moins cher que vous n'utilisez pas correctement
Si vous demandez à la plupart des dirigeants de PME où ils investiraient dans la sécurité, ils citeront des logiciels : pare-feu, outils de détection, surveillance, etc.
Tout cela EST important, mais rien de tout cela n'aide quand quelqu'un saisit son mot de passe sur une fausse page de connexion à 16 h 52 un vendredi.
Ou lors d'attaques plus récentes où des pirates se font passer pour le service d'assistance informatique et demandent un accès pour « aider ». Vous pouvez en lire davantage ici.
Vos collaborateurs constituent déjà votre plus grande surface d'attaque, mais ils peuvent aussi être votre meilleure ligne de défense.
À condition d'être préparés. Pas avec un module de formation annuel que tout le monde parcourt en surveillant ses e-mails d'un œil. Ça ne reste pas.
Les gens ont besoin de rappels courts et réguliers, et d'exemples concrets. Des situations qui ressemblent à leur vraie journée de travail. Le genre qui fait dire : « ah, ça, je l'ai déjà vu. »
C'est ainsi que le comportement change. Pas par l'information, mais par la répétition et la pertinence.
Une meilleure question à se poser
Plutôt que de demander « Sommes-nous en sécurité ? », posez une question plus inconfortable : « Si l'un de nos collaborateurs commettait demain une simple erreur, jusqu'où cela pourrait-il aller ? » Car c'est le scénario qui se produit le plus souvent.
Commencez petit, mais rendez-le concret. Vous n'avez pas besoin d'un programme gigantesque pour faire bouger les choses.
Parlez ouvertement des erreurs.
Montrez à quoi ressemble vraiment un e-mail d'hameçonnage aujourd'hui.
Faites en sorte qu'il soit facile de signaler quelque chose sans se sentir bête.
Répétez les choses importantes plus d'une fois.
Faites de la sécurité une partie de votre façon de travailler, et non quelque chose de distinct. C'est quand elle s'intègre au quotidien qu'elle commence à rester.
Si vous ne deviez retenir qu'une chose : vous n'êtes pas trop petit pour être négligé en matière de cybersécurité. Ce que les pirates recherchent, c'est petit, mal préparé et suffisamment connecté.
La bonne nouvelle, c'est que cela se corrige, non pas en ajoutant de la peur, mais avec de meilleures habitudes.
Et cela commence par vos collaborateurs. Une formation efficace est assurément l'un des moyens d'y parvenir.
Cela peut s'intégrer à vos politiques informatiques, sans investissement énorme en temps ou en argent, tout en protégeant davantage votre entreprise contre les attaques.
Dans un article précédent, nous expliquons comment gérer la sécurité lorsque l'on manque de temps et de moyens.