De nos jours, les PME de France trouvent qu’avoir recours à la cybersécurité est nécessaire pour se protéger dans le monde du numérique. Cependant, ce besoin inclut la maîtrise de la cyber-résilience, car il s’agit d’une approche plus large de la notion de sécurité de l’information, mais aussi de la continuité des activités. Dans ces conditions, comment un DSI externalisé répond aux besoins de cybersécurité et de cyber-résilience des PME, comme celles basées en Savoie et Suisse Romande ? Les détails.
I. DSI externalisé : la cyber-résilience pour répondre aux besoins de cybersécurité des PME
Depuis 2020, les cyberattaques au niveau des systèmes d’information des entreprises, dont les PME de Savoie et de la Suisse Romande, sont considérables. De la paralysie de la production à la menace de l’écosystème incluant la clientèle, les partenaires ou les fournisseurs, les entreprises doivent impérativement sécuriser leur environnement numérique.
Hormis l’application d’un plan de reprise d’activités (PRA) ou de continuité d’activités (PCA), il est également utile de prendre en compte l’évolution des divers types de cyber-incident, ainsi que de leur évolution. Dans cette optique, la cyber-résilience se présente comme une mesure complémentaire permettant d’optimiser des mesures préventives et correctives, face aux besoins de cybersécurité des PME.
Collaborer avec un DSI externalisé permet d’intégrer la cybersécurité aux processus de gestion et de suivi des systèmes d’information des PME. En effet, l’expertise d’un prestataire informatique permet de garantir et d’optimiser, en cas de cyberattaque :
- La reprise sécurisée des activités ;
- Une maintenance avec un niveau renforcé du système d’information ;
La pérennisation des procédures post-incident en mettant en place un plan d’action.
II. La cyber-résilience appliquée par un DSI externalisé est-elle utile pour une PME ?
Il existe actuellement une directive européenne NIS (Network and Information Security) refondue qui incite les entreprises à atteindre un niveau commun de sécurité, par rapport à leurs réseaux et systèmes d’information. Il s’agit de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016.
Cette directive européenne NIS s’adresse plus précisément aux :
- OES (Operators of Essential Services) ou opérateurs de services essentiels ;
- DSP (Digital Service Providers), ou fournisseurs de service numérique, sauf ceux qui n’excèdent pas le nombre de 10 collaborateurs.
Cette directive a également pour but de :
- Mettre en place des mesures techniques et organisationnelles pour sécuriser les réseaux et les systèmes d’information ;
- Mettre à jour les développements récents et considérer tout risque de cyberattaque, voire de simples intrusions au sein du système d’information ;
- Prendre des mesures de prévention des incidents liés à la cybersécurité, dans le but de garantir la continuité des activités ;
- Notifier les autorités compétentes en charge des incidents de sécurité.
En cas d’infraction à cette directive, des mesures similaires aux sanctions spécifiées par le RGPD (Règlement général sur la protection des données) peuvent être appliquées par chaque État membre de l’UE.
A. France et CRA ou Cyber Resilience Act : une cyber-résilience désormais réglementée
En France, il existe également le CRA, ou Cyber Resilience Act, un ensemble de règles communes par rapport à la cybersécurité. Ces mesures couvrent les activités de professionnels œuvrant dans la fabrication et le développement de produits comportant des produits numériques. Le CRA a pour objectif de protéger les consommateurs et les entreprises, comme les PME de Savoie et de la Suisse Romande, des risques liés à la cybersécurité. En effet, ces risques sont généralement issus de l’utilisation de matériels filaires, connectés, voire de diverses solutions numériques.
Le CRA englobe ainsi des obligations et des sanctions [1] relatives aux cas de cyberattaques portant sur :
- L’ensemble des matériels connectés : ordinateurs, dispositifs d’assistance virtuels, téléphones… ;
- Les systèmes : systèmes d’exploitation, VPN, antivirus, gestionnaire de mots de passe, la gestion des services cloud…
En outre, les obligations prises par le CRA se résument en deux axes, dont le renforcement de :
- La cybersécurité ;
- L’information à destination des entreprises et des consommateurs.
Pour les PME, comme celles situées en Savoie ou Suisse Romande, l’application d’une politique de cyber-résilience s’aligne parfaitement aux besoins de sécurisation du système d’information. L’idée de recourir à un DSI externalisé est d’autant plus idéal pour sécuriser le système d’information et garantir la continuité des activités.
B. La cyber-résilience pour identifier un cyber-incident
Selon une étude effectuée par Sungard AS en 2016, environ 72 % des professionnels interrogés disposent d’une politique de cyber-résilience, à l’échelle de l’entreprise.
Un DSI externalisé facilite l’identification d’un cyber-incident à travers un plan de cyber-résilience, en concrétisant :
- L’établissement d’un plan de résilience pour minimiser les conséquences d’un cyber-incident
- La réduction des divisions entre DSI externalisé, des métiers et du comité de direction.
De surcroît, et d’après Horizon Scan, les 5 principales menaces qui concernent les systèmes d’information des entreprises, en 2018, sont les suivantes :
- Les cyber-attaques ;
- L’atteinte aux données de l’entreprise (d’autant plus critiques dans le contexte du GDPR/RGPD) ;
- Les incidents IT non planifiés ;
- Les interruptions de services d’énergie ;
- Les mauvaises conditions météorologiques.
Dans ce sens, la collaboration avec un DSI externalisé pour établir un plan de résilience permet de rassurer les PME qui font face à une cybercriminalité de plus en plus grandissante.
C. Cyber-résilience pour les PME : efficace et agile !
Le plan de cyber-résilience concocté par un DSI externalisé est agile et efficace en termes de cybersécurité. Pour les PME, comme celles présentes en Savoie ou en Suisse Romande, ces mesures ont pour objectif de tenir informé le comité de direction et le top management à temps, lorsqu’un incident est détecté. Sur ce point, 54 % des dirigeants et du top management sont souvent mal informés, voire pas du tout, selon une étude menée par Cyber Governance Healts Check, KPMG, en 2015.
En fin de compte, le plan de cyber-résilience permet d’activer rapidement une cellule de crise. L’idée est de prendre des décisions efficaces et rapides, face à un cas de cyberattaque. À cet égard, l’application du plan de continuité des activités est respectée, c’est-à-dire :
- La garantie d’une reprise des activités
- La limitation des impacts de la crise.
D. Une gestion des cyber-incidents pour améliorer le plan de résilience
Les intrusions au niveau des systèmes d’information ne concernent pas que les grands comptes. En outre, il est nécessaire de ne pas oublier les PME pour assurer leur cybersécurité [2]. Pour répondre à ce besoin spécifique, le DSI externalisé mise sur une gestion optimisée des cyber-incidents. C’est pourquoi le plan de cyber-résilience évolue au fur et à mesure de l’expérience acquise. De plus, chaque incident résolu vient nourrir le plan de continuité des activités. De manière plus concrète, cela permet de :
- Renforcer la sécurité au niveau du système d’information ;
- Optimiser des protocoles de test afin de parer aux diverses menaces répertoriées ;
- Améliorer les processus de décision de la cellule de crise.
Dans cette optique, l’optimisation de cette gestion des cyber-incidents permet de cartographier les risques existants liés au système d’information. Par ailleurs, le DSI externalisé se positionne comme un pilier de la continuité des activités des PME. Il est aussi capable de coordonner la cellule de crise. Ainsi, il conçoit des mesures de protection et à installer des outils de détection adéquats pour conduire des exercices en amont et en aval. D’ailleurs, le rapport M-Trends paru en 2015 présente un laps de 205 jours pour identifier une cyberattaque. Par conséquent, il est nécessaire d’agir à travers des plans d’action capables de prévenir et de s’adapter à chaque type d’attaque.
Conclusion
Cybersécurité et cyber-résilience sont des notions complémentaires pour améliorer le niveau de sécurité des systèmes d’information des entreprises, dont les PME présentes en Savoie et en Suisse Romande. Optimiser la cybersécurité requiert en effet de mettre en place un plan d’action afin de compléter les mesures relatives au PRA ou PCA. La collaboration avec un DSI externalisé, tel que Darvis, permet aux PME de garantir à termes une continuité de leurs activités. Le but est avant tout d’anticiper d’éventuels cyber-incidents, puis d’œuvrer à résoudre les problèmes liés à ces cyberattaques.
Références
[1] France: Cyber Resilience Act (CRA) : Définition, Obligations Et Sanctions