Comment protéger son entreprise des cyberattaques ?

Vols de données, atteinte à l’image, infiltration et espionnage, sabotage… Les cyberattaques se multiplient pour déstabiliser les entreprises.

Pour lutter contre ce risque, l’UE a voté en 2016 la directive NIS relative à la sécurité des réseaux et des systèmes d’information. Cette dernière introduit des mesures juridiques visant à « renforcer le niveau général de cybersécurité dans l’UE » pour « atteindre un niveau commun élevé pour l’ensemble des États membres ». Jusqu’à présent, elle s’appliquait à certains secteurs : santé, banque, marchés financiers, transport, énergie.

Se conformer à la NIS 2 pour le 17 octobre

Avec l’adoption de la directive NIS 2 en janvier 2023, des milliers d’entreprises vont devoir renforcer leur stratégie cyber via l’instauration d’évaluation des risques et la mise en place d’outils (cryptage de données, solutions d’authentification renforcées, etc.), de tests réguliers des installations, ainsi que la formation des salariés et le signalement d’incidents.

« La transposition de la directive NIS 2 prendra effet au 17 octobre et concernera le secteur agri-agro », introduit Christian Cevaër, délégué à la sécurité numérique à l’Anssi (Agence nationale de la sécurité des systèmes d’information) en Bretagne, lors d’une conférence organisé par Kerhis au Space, mercredi 18 septembre. En fonction de leur niveau de criticité, les entreprises seront classées en deux catégories : essentielles et importantes. « Aujourd’hui, nous dénombrons un peu moins de 300 installations concernées. Avec NIS 2, ce seront 30 000 entités importantes et 300 à 400 entités essentielles », précise le conférencier.

Privilégier le facteur humain

Si les règles d’hygiène numérique (cloisonnement des réseaux informatiques, utilisation de mots de passe spécifiques à chaque service avec double authentification, stockage de données sur serveur non connecté à internet, mises à jour régulières, VPN) sont importantes, le principal facteur en matière de cybersécurité reste l’humain. Que ce soit pour l’établissement de bonnes pratiques, mais aussi pour la gestion de crise.

« Une cyberattaque est très déstabilisante, poursuit Christian Cevaër. Quel que soit son métier, le collaborateur doit être préparé à ce type de situation et savoir à qui s’adresser, en interne comme en externe. »

Plusieurs dispositifs d’accompagnement existent. BPI France propose aux PME ou ETI indépendantes de moins de 2 000 salariés le Diag Cybersécurité​​. Il permet de dresser un état des lieux de l’exposition aux risques cyber et offre un plan d’action pour protéger son entreprise. De son côté, l’Anssi a monté l’initiative Mon aide cyber, un service d’accompagnement dédié aux entités souhaitant améliorer leur niveau de cybersécurité.