copyright : Jelica_Videnovic

La cybercriminalité : un business rentable pour les pirates…

La cybercriminalité qui fleurit aujourd’hui sur la Toile sévit sous différentes formes. Si on exclut les attaques menées par des Etats, il existe deux grands types d’infractions clairement identifiés :
• Le vol ou le sabotage des données contenues dans les réseaux et les systèmes informatiques ;
• L’utilisation des NTIC (Nouvelles Technologies de l’Information et de la Communication) pour escroquer ou effectuer d’autres infractions classiques, allant du vol de papiers d’identité, à la vente d’armes, de drogues ou de tout autre substance illicite.

Ces attaques sont d’autant plus faciles à mener que l’accès aux outils de piratage est aisé avec des prix très abordables, comme l’a démontrée la dernière étude de G DATA. Par exemple, sur le Blackmarket, « les accès de comptes email (adresse email, nom d’utilisateur et mot de passe) ne s’achètent pas à l’unité, mais par milliers ! 10 000 accès aux comptes emails se négocient à 5 $. Quant aux adresses emails, il ne faut pas compter plus de 10 $ pour 100 000 adresses ! »

La cybercriminalité peut engendrer des coûts financiers très importants pour les entreprises. Ainsi, selon une étude récente del’Institut Ponemon, réalisée auprès de 350 entreprises dans 11 pays, « le coût total consolidé moyen d’une violation de données est de 3,8 millions de dollars, ce qui représente une augmentation de 23% depuis 2013 ». Sans compter que, dans les pays anglo-saxons, la perte de données par une entreprise induit des amendes plus ou moins élevées.

Verizon dans l’édition 2015 de son « Data Breach Investigations Report », qui fait référence en matière de cybercriminalité, démontre « que le coût d’une compromission portant sur 10 millions de dossiers peut être compris entre 2,1 millions et 5,2 millions de dollars (dans 95% des cas) et qu’en fonction des circonstances, il peut atteindre 73,9 millions de dollars. Pour une compromission de 100 millions de dossiers, le coût sera compris entre 5 millions et 15,6 millions de dollars (dans 95% des cas) et peut atteindre jusqu’à 199 millions de dollars ». Selon une étude du cabinet Juniper Research, la cybercriminalité devrait coûter un total de 2 100 milliards de dollars aux entreprises de la planète d’ici 2019. Dans ce contexte, les entreprises ne peuvent plus faire fi du risque informatique.

Mise à part les pertes financières, l’intrusion dans un Système d’Information engendre très souvent des dégâts collatéraux, tels que la perte de confiance des clients liée à la dégradation de l’image de la société, la baisse du chiffre d’affaires… sans compter que la divulgation de données à caractère personnel ou sensibles peut faire l’objet de procédures juridiques. Ainsi, des mesures techniques et organisationnelles doivent être prises pour réduire au maximum la surface d’attaque des entreprises et pouvoir réagir le plus vite possible en cas d’intrusion du Système d’Information.

…et une plaie pour toutes les entreprises

Dans ce contexte, les entreprises de toute taille sont ciblées de la TPE au grand groupe. Si dans la presse, les attaques sur les grands groupes, comme Orange, Thales, Areva…, font la Une de l’actualité, car les piratages concernent plusieurs milliers, voire millions de personnes, il n’en reste pas moins que les PME sont aussi concernées. Par exemple, suite aux événements tragiques de début janvier, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) a dénombré environ 1 000 à 2 000 sites piratés. Avec la numérisation des archives et des données, les menaces liées au cybercrime s’aggravent tous les jours un peu plus. La France est aujourd’hui le 3ème pays le plus ciblé par les attaques informatiques, derrière le Canada et les Etats-Unis. Il devient donc nécessaire pour les entreprises de couvrir les risques informatiques.

Quel est le rôle des assureurs ?

Dans leur souci d’accompagner les besoins des entreprises, les assureurs prennent en comptela présence de nouveaux grands risques. Afin de protéger les professionnels des cyberattaques, chaque compagnie d’assurance propose sa couverture. Certaines allient garanties et procédures de prévention : elles créent des services permettant d’améliorer la cybersécurité avec des audits et diagnostic des systèmes de protection présents dans l’entreprise, ainsi que des formations des employés concernés, voire même la mise à disposition d’experts dans le domaine, dans une logique d’appréhension, puis de compréhension de cette typologie de risques. D’autres préfèrent intervenir en amont, ainsi qu’en aval de cette typologie ou encore dans l’indemnisation des frais liés à la perte de données pour une entreprise.