Pourquoi les PME sont-elles souvent dépassées par les outils techniques de sécurité informatique ?

Au cours de la dernière décennie, on a de plus en plus compris que les dépenses informatiques sont un poste crucial. Il ne reste plus qu'à comprendre que la sécurité informatique n'est malheureusement pas gratuite, mais qu'il est possible de la rendre plus sûre avec un budget limité.

Conscience du risque présente, mais pas de plan d'urgence

Dans le cadre de son travail de certificat CAS, Christian Heimann a évalué diverses méthodes et procédures pour un "contrôle abordable de la sécurité numérique des PME" et a constaté que les PME sont très conscientes du changement numérique. Il est toutefois inquiétant de constater que de nombreuses petites entreprises sont dépassées par la multitude d'outils techniques de sécurité informatique proposés sur le marché. C'est pourquoi elles ne prévoient souvent pas de budget pour la sécurité informatique et n'entreprennent rien. Si elles font quelque chose, elles se préoccupent surtout des aspects techniques. Ils sont conscients de la valeur de leurs données, mais ils oublient l'aspect humain. Les collaborateurs ne sont pas du tout ou pas suffisamment formés et sensibilisés, ce qui augmente le risque d'une attaque réussie. Un tel plan permettrait de désamorcer la situation de crise en cas d'attaque réussie, car on ne perd pas de temps.

Nouveaux appareils - nouveaux points d'attaque

Parmi les deux tiers des PME pour lesquelles la sécurité informatique revêt une grande importance, seuls 20 % ont jusqu'à présent vérifié leur sécurité informatique. Cela donne à réfléchir. Selon le leader de la recherche et du conseil Gartner (2017), le nombre d'appareils IoT atteindra 20'000'000'000 d'ici 2020 ! Les appareils IoT ne sont pas seulement des cibles d'attaques, mais peuvent également devenir eux-mêmes des agresseurs (par exemple, abus en tant que partie d'un botnet). C'est pourquoi la protection de l'IoT ne concerne pas seulement sa propre sécurité, mais aussi celle du grand public. Gartner prévoit qu'en 2020, 25% de toutes les cyberattaques identifiables contre les entreprises auront une composante IdO, mais que moins de 10% des budgets de sécurité informatique seront investis dans l'IdO.

Gestion de la vulnérabilité

Au cours de la dernière décennie, on a de plus en plus compris que les dépenses informatiques sont un poste crucial. Il ne reste plus qu'à comprendre que la sécurité informatique n'est malheureusement pas gratuite, mais qu'il est possible de la rendre plus sûre avec un budget limité. Un élément clé est de connaître son inventaire afin d'avoir toujours une vue d'ensemble de ses systèmes (réseau, appareils, droits d'accès, services en nuage).

Christian Heimann s'est entre autres entretenu avec Pascal Mittner, CEO de First Security Technology AG, au sujet de leur solution de gestion des vulnérabilités. Par Vulnerability Scan ou Automated Testing, on entend la détection des vulnérabilités par l'analyse des points finaux. Une bonne solution de gestion des vulnérabilités ne fournit pas seulement des indications sur les vulnérabilités, mais aussi directement des recommandations d'action pour y remédier. Pascal Mittner a précisé lors de l'entretien que la gestion des vulnérabilités devait fonctionner comme un système d'alerte précoce et veiller à l'analyse du domaine attribué. Les mesures ne peuvent et ne doivent pas être mises en œuvre par le même système. Le principe de la "séparation des pouvoirs" doit être respecté.

38 nouvelles vulnérabilités par jour

Dans le domaine de la cybersécurité, lorsqu'on demande aux responsables informatiques à quelle fréquence un audit de sécurité doit avoir lieu, ils souhaitent souvent un intervalle de trois à cinq ans. Ils oublient que l'infrastructure informatique est dynamique et qu'un an est déjà beaucoup trop long pour un environnement technique, sans compter qu'il y a chaque jour 38 nouvelles vulnérabilités. Même les petites entreprises perdent la vue d'ensemble des systèmes qui se trouvent dans le réseau. Souvent, les appareils tels que les routeurs, les commutateurs, les systèmes IoT ou de test sont tout simplement oubliés, manquent à l'inventaire et ne sont donc pas intégrés dans le concept de sécurité informatique. Pascal Mittner mentionne que "outre la documentation de l'infrastructure, la gestion des points faibles sert d'outil pour identifier les problèmes à temps et les contrer. Cela augmente l'efficience et l'efficacité des entreprises, libère des ressources, aide à éviter des dommages importants et à investir dans les bonnes mesures".

Avec le FS Cyber Control - la solution de gestion des vulnérabilités Swiss Made pour les PME, les étapes mentionnées ci-dessus sont notamment mises en œuvre. L'infrastructure informatique est inventoriée, les systèmes (IP) sont ensuite scannés et un rapport est établi avec les mesures recommandées pour remédier aux points faibles trouvés. Les rapports sont faciles à comprendre, quelles que soient les connaissances en informatique. "Grâce à un système de feux de signalisation rouge, jaune et vert, vous voyez rapidement où en est votre informatique et la solution est en outre abordable pour les PME", déclare Pascal Mittner et ajoute : "Le FS Cyber Control est facile à intégrer dans l'environnement existant et entièrement automatique. Dans ce sens, les PME n'ont plus d'excuse pour négliger leur cybersécurité, parce qu'elles sont trop sollicitées".

Plus d'informations : First Security AG