” La cybersécurité, c’est comme la prévention incendie “

La gestion des risques numériques pour une PME possède une dimension churchillienne : il convient de se préparer au pire tout en espérant le meilleur. Dans ce nouvel épisode, notre podcast Business Intelligence fait rimer cybersécurité et perspicacité.

Monumentale erreur. « Penser à la cybersécurité au moment d’une attaque, c’est trop tard. Trop tard pour se demander comment faire fonctionner l’entreprise alors que les outils sont à l’arrêt et qu’on n’a plus aucun moyen de contacter un prestataire. Trop tard pour se demander qui appeler pour obtenir de l’aide », insiste le nouvel invité de Business Intelligence, Vincent Boucher, Managing Partner chez Yuma, groupe belge expert dans la transformation numérique des entreprises.

Autrement dit, les conséquences de l’inaction dépassent de loin les coûts de la protection des systèmes informatiques. Pour éviter qu’il ne soit trop tard, il est essentiel d’adopter une approche structurée et rigoureuse. « La cybersécurité relève de la gestion des risques. Elle nécessite donc des investissements progressifs afin de rester atteignable, tant sur le plan financier qu’en termes de gestion du changement, aux niveaux organisationnel et humain », poursuit-il.

« Ne rien laisser au hasard »
Le Managing Partner de Yuma s’attaque ensuite à un stéréotype de la sécurité numérique, souvent comparée à l’assurance. « L’assurance intervient pour indemniser une fois le dommage survenu, donc trop tard également », sourit Vincent Boucher avant d’ajouter : « La cybersécurité est une évidence : il est impératif de mettre en place un plan d’action pragmatique, qui permet d’anticiper, d’éviter ou de réduire les niveaux d’attaque et, par conséquent, leur impact. C’est comme la prévention incendie. »

Une bonne posture en cybersécurité repose donc sur une planification rigoureuse, qui commence par des analyses de risques. Abordé sous cet angle, le processus ressemble à ce qu’un dirigeant aurait déjà mis en place pour la prévention des accidents du travail, par exemple.
Cette stratégie de « prévention cyber » peut s’articuler autour de cinq axes : l’inventaire des actifs (CRM, ERP, gestionnaire de mots de passe, etc.) et l’identification des risques associés ; la mise en place de protections (authentification multifacteur, firewall) ; la capacité de détecter une attaque ou des non-conformités (un mot de passe faible, par exemple) ; la capacité de réponse, c’est-à-dire stopper une attaque ou isoler un élément problématique ; et enfin, la capacité de « se relever » en cas de dégâts, relancer les outils et récupérer les sauvegardes.

« Ne pas commencer par la tech »
Une fois sensibilisée à ces efforts qui aident à prioriser les actions, la direction doit encore motiver ses équipes, observe l’expert de Yuma.
Pour ce faire, l’actualité regorge de sources d’inspiration. « C’est un véritable musée des horreurs, comme l’hécatombe dans les hôpitaux ces derniers mois. Il y a aussi eu des attaques contre un groupe de presse, un producteur de bière, un laboratoire d’analyse, une entreprise de construction. Bref, tous les secteurs sont ciblés, personne n’est à l’abri », souligne l’expert.

« Si une entreprise part de zéro, elle doit d’abord former son personnel. Il ne faut pas commencer par la technologie. Il existe des ‘quick wins’, des pratiques faciles et rapides à mettre en place pour garantir un niveau de sécurité essentiel des données et des équipements. Et puisque 90 % des cyberattaques sont déclenchées par un e-mail, un bon point de départ est de se concentrer sur tout ce qui concerne le risque humain », recommande Vincent Boucher.

Retrouvez tous les épisodes du podcast Business Intelligence sur Tendances.be ou sur vos apps de streaming favorites.