Les cyberattaques peuvent toucher tout le monde - même la PME la plus sûre

Le vendredi 2 novembre, l'entreprise de communication GGA Maur, en collaboration avec ewz et Studerus AG, a organisé un événement de formation continue et de réseautage au Kraftwerk à Zurich. Des experts de l'économie et de la science ont présenté à plus de 90 participants des faits, des tendances et des bonnes pratiques sur les thèmes de la communication du futur et de la cybersécurité.

Le changement technologique offre plus d'opportunités que de problèmes

C'est Jürg Leuthold qui a ouvert le bal. Avec des faits et des chiffres impressionnants, le professeur de photonique et de communication de l'ETH Zurich a montré comment les technologies de l'information se développeront à l'avenir. "En 2000, nous nous contentions d'un taux de transmission de 128 kbit/seconde. Aujourd'hui, nous avons besoin de 1 Gbit/seconde et d'ici 2030, plus de dix fois ce chiffre sera la norme". Les cas d'application des nouvelles technologies sont presque illimités - des vêtements personnalisés imprimés en 3D et de nombreuses applications médicales basées sur l'apprentissage automatique, en passant par la conduite autonome et les cyborgs. "Les technologies de l'information vont améliorer durablement notre niveau de vie. Mais pour cela, il est nécessaire de développer continuellement l'infrastructure existante", a déclaré Leuthold.

La physique n'est pas un problème, c'est certain. Selon le professeur de l'ETH, il est déjà possible d'atteindre en laboratoire des vitesses allant jusqu'à 1,01 pétaoctet par seconde dans une seule fibre optique. Même pour les données mobiles, le potentiel en termes de capacité est encore loin d'être épuisé. Les défis en matière de consommation d'énergie, de puissance des processeurs et de composants optiques peuvent être résolus, Leuthold en est convaincu. Les défis sociaux découlant de l'évolution technologique sont plus difficiles à relever - par exemple les éventuelles nuisances pour la santé dues au rayonnement, les aspects de sécurité et les changements sur le marché du travail et dans le système éducatif. "Le changement technologique nous réserve plus de chances que de problèmes. Mais nous devons être prêts à nous adapter aux circonstances et aux réalités. Nous ne contesterons pas l'avenir avec de vieilles ficelles".

Quel est le niveau de sécurité possible ?

Marc Henauer de la Centrale d'enregistrement et d'analyse pour la sûreté de l'information de la Confédération - en bref MELANI - a abordé les cyberrisques et les défis dans son exposé. "Les cyber-risques résultent de l'utilisation de l'informatique pour soutenir des processus et améliorer l'efficacité. Ils menacent toutes les entreprises, quels que soient leur secteur et leur taille". Selon Henauer, l'importance croissante des technologies de l'information pour les entreprises augmente la mise en réseau et la valeur de l'accès à l'information. Parallèlement, les possibilités de fraude, d'espionnage, de chantage, de sabotage et d'autres cyber-attaques augmentent également. Henauer a illustré cela par différents exemples, comme l'attaque WannaCry, qui a paralysé de nombreux systèmes informatiques dans le monde en 2017. "Les cybercriminels travaillent en groupes organisés et décentralisés, développent en permanence leurs méthodes et s'attaquent à leurs victimes aussi bien virtuellement que physiquement. Une protection complète est donc impossible".

Pour Henauer, la solution pour les entreprises se situe à un autre niveau. Les cyber-risques ne sont qu'une partie de la sécurité de l'information d'une entreprise, car les risques physiques et personnels peuvent également conduire à des attaques correspondantes. "Une solution technologique a du sens en tant que mesure de sécurité pour l'informatique. Mais pour une protection globale de l'information, les entreprises ont besoin d'une approche supérieure de la sécurité, qui devrait être intégrée dans la gestion des risques au niveau de la direction".

Du point de vue de l'adversaire

Ivan Bütler, CEO de Compass Security AG, a ensuite proposé un changement de perspective. En décembre 2017, Bütler a réussi, malgré l'annonce, à pirater le réseau de l'entreprise d'approvisionnement en énergie EBL dans le canton de Bâle-Campagne pour le compte de la SRF et à désactiver une partie des illuminations de Noël. "Le talon d'Achille d'Internet, ce sont les gens qui tombent dans les histoires des pirates et leur donnent ainsi accès". Cela se fait généralement par exemple par le biais d'une fausse candidature sur une clé USB ou d'une pièce jointe à un mail. Dans le cas de l'EBL, ces approches n'ont toutefois pas fonctionné, c'est pourquoi Bütler a misé sur une autre astuce.

Une simple manœuvre de diversion à la réception d'EBL a suffi à faire entrer un technicien étranger dans l'entreprise, qui a pu installer un programme malveillant sur le système sans être dérangé. "Il ne faut pas faire de cadeaux - une utilisation irréfléchie des pièces jointes aux e-mails, des liens ou des mots de passe est une invitation pour les pirates. Une saine dose de scepticisme est de mise", résume Bütler.

Conseils contre les cyber-attaques

Le thème de la cybersécurité a été complété par Hugo Bossard, CIO de Studerus SA. Il a expliqué comment les PME peuvent faire face aux programmes malveillants et a présenté des services de pare-feu concrets de Studerus SA comme GeoIP ou Content Filter pour la protection. Selon Bossard, les services antivirus et anti-spam sur le pare-feu sont moins efficaces.

Dans une deuxième partie, Bossard a donné aux personnes présentes cinq conseils pour la prévention des ransomwares :

1. Comme première défense solide, les PME devraient installer un pare-feu.
2. Les PME devraient effectuer des sauvegardes régulières, stockées à l'extérieur du bâtiment et du réseau et pouvant être restaurées en cas d'urgence.
3. Le système d'exploitation utilisé devrait toujours être à jour sur tous les ordinateurs utilisés. Les mises à jour de sécurité réduisent les possibilités pour les cybercriminels.
4. Les pièces jointes aux e-mails et les liens inconnus doivent être traités avec prudence et ne doivent pas être ouverts en cas de doute.
5. Un programme antivirus à jour doit être installé sur chaque ordinateur de l'entreprise.

Plus d'informations : GGA Maur