• Dans notre monde numérique, les entreprises sont tributaires d’un système informatique qui fonctionne. Or, les cyberattaques, comme les attaques par rançongiciel, se multiplient. Les PME mal protégées deviennent vite des victimes.

• Toutefois, des mesures de cybersécurité purement techniques ne suffisent pas. Une approche stratégique globale qui rend l’entreprise résistante aux cybermenaces à deux niveaux est préférable. D’une part, elle la protège contre les attaques et, d’autre part, elle la prépare de manière optimale à faire face aux conséquences d’un piratage. Cette capacité de résistance s’appelle la cyberrésilience.

• Une bonne cyberrésilience est importante, car les attaques coûtent cher à l’entreprise concernée: elles paralysent les affaires, menacent la sécurité des données et mettent en jeu la réputation et la confiance de la clientèle.

• La cyberrésilience n’est pas un sujet purement informatique, mais fait partie de la gestion stratégique des risques. Ce thème relève du plus haut échelon de la direction et englobe toute l’entreprise. Il concerne notamment le personnel (transmission de connaissances sur les règles de sécurité au travail, par exemple), l’infrastructure informatique (dont l’élimination des points faibles techniques) et les processus (par exemple, gestion des accès, élaboration et répétition des plans d’urgence). 

• Les partenaires externes, comme les prestataires de services informatiques, les sociétés de conseil ou encore les assurances, peuvent aider à identifier les cyberrisques, à les réduire, à y remédier ou à les prendre en charge par le biais d’une couverture financière.

• Définition: qu’est-ce que la cyberrésilience?

• Importance: pourquoi la cyberrésilience est-elle importante?

• Marche à suivre: comment renforcer la cyberrésilience dans votre entreprise?

• Explication: cybersécurité et cyberrésilience, quelle est la différence?

• Prévention: quelle est votre prochaine étape?

La cyberrésilience permet aux entreprises d’identifier les cyberrisques et de les écarter. En même temps, elle minimise les conséquences d’attaques qui aboutissent et assure la continuité des affaires.

En d’autres termes, la cyberrésilience est une stratégie fondée sur les risques qui est utilisée à l’échelle de l’entreprise pour gérer au mieux les cyberrisques de manière préventive et réactive tout en présentant une opportunité d’apprendre au maximum des attaques. 

En psychologie, la résilience fait référence à la capacité à surmonter les crises et à s’en remettre rapidement. On peut également parler de force ou capacité de résistance. Le terme de cyberrésilience transpose ce concept psychologique au monde numérique.

En règle générale, cette notion intervient dans le contexte de la cybercriminalité. Mais les pannes informatiques peuvent toutefois avoir d’autres causes. En cas de catastrophes naturelles, telles qu’une inondation, les serveurs situés au sous-sol peuvent par exemple être endommagés. L’incident survenu le 19 juillet 2024, au cours duquel une mise à jour défectueuse de la société de sécurité informatique Crowdstrike a entraîné des problèmes chez les utilisatrices et utilisateurs de Microsoft à travers le globe, montre également à quel point notre monde interconnecté est vulnérable. Les entreprises qui se penchent à temps sur la question de la cyberrésilience sont avantagées lors de tels événements et gardent mieux la situation sous contrôle que les organisations non préparées.

La cyberrésilience est une partie importante de la gestion stratégique des risques d’une entreprise. Elle permet d’accroître la sécurité, d’éviter de perdre de l’argent et la confiance de la clientèle tout en assurant le succès durable de l’organisation.

Au cours des dernières années, le nombre de cyberattaques à travers le monde n’a cessé d’augmenter. Les particulières et particuliers sont souvent concernés, mais les entreprises de toute taille ne sont pas épargnées. Moins il y a de mesures de protection en place, plus une attaque est susceptible d’aboutir. Il peut par exemple s’agir d’e-mails demandant des mots de passe sous un prétexte quelconque (hameçonnage) ou d’une attaque par rançongiciel, qui consiste à crypter des données, puis à extorquer de l’argent. Dans la plupart des cas, ce ne sont pas des vulnérabilités techniques qui sont exploitées. Il s’agit plutôt d’un collaborateur ou d’une collaboratrice qui réagit mal à une tentative de manipulation et saisit des données d’accès au mauvais endroit. Le terme technique pour désigner cette approche est «ingénierie sociale» et d’après l’Office fédéral de la cybersécurité (OFCS), c’est la méthode d’attaque la plus fréquente. 

Les possibles répercussions d’une cyberattaque réussie sont les suivantes:

• Plantage et blocage des services du site Internet

• Mise en danger de la sécurité des données (vol ou perte)

• Défaillance des systèmes, impossibilité d’accéder aux données

• Dommages financiers dus à l’arrêt des activités et à la récupération des données

• Poursuites en responsabilité civile à la suite d’une violation de la protection des données

• Atteinte à la réputation

💡 Conseil

Contrairement à d’autres pays européens, il n’existe pas encore d’obligation d’annoncer les cyberincidents en Suisse. L'obligation de notification ne s'appliquera qu'aux infrastructures critiques à partir du 1er janvier 2025. Cependant, il est utile de signaler les cyberattaques à l’Office fédéral de la cybersécurité afin que d’autres entreprises puissent être averties.  

En matière de cyberrésilience, il n’existe pas de recette simple qui puisse s’appliquer à toutes les organisations. En effet, une petite boutique en ligne a d’autres conditions qu’un cabinet comptable ou médical, un magasin de vêtements, une entreprise de transport ou une exploitation agricole. Toutes ces entités ont toutefois un point commun: elles travaillent avec une infrastructure numérique et des données plus ou moins sensibles, qui font l’objet de cyberattaques de la part de pirates, ce qui peut avoir un impact considérable sur leurs activités commerciales.

Pour la stratégie en matière de cyberrésilience, il en découle les points suivants:

• Les entreprises doivent composer leur combinaison individuelle de mesures de défense afin d’accroître la protection contre les cybermenaces (prévention) et de pouvoir réagir du mieux possible en cas d’attaque (réaction).

• Les mesures doivent englober toute l’entreprise, aussi bien les équipes que l’infrastructure informatique et les processus.

• Toutes les mesures visent à identifier, à réduire ou à éliminer les cyberrisques, y compris en collaboration avec des partenaires externes.

• La responsabilité de la stratégie de cyberrésilience n’incombe pas aux responsables informatiques, mais devrait relever du plus haut échelon de la direction.

Un plan de mesures (non exhaustif) pourrait ressembler à ceci, en prenant l’exemple d’une entreprise de services:

Les entreprises de production devraient également envisager par exemple des sites alternatifs où il leur est possible de mettre en place un fonctionnement transitoire en cas d’urgence et de poursuivre l’activité. Vous trouverez d’autres mesures spécialement conçues pour les PME sur le site de l’Office fédéral de la cybersécurité.

Avec un paquet de mesures tel qu’esquissé dans le tableau, une entreprise augmente sa cyberrésilience et sa capacité à réagir correctement et rapidement. Elle reste capable d’agir même en cas de cyberattaque réussie. Les temps d’arrêt et l’impact d’un tel événement sont réduits au minimum.

La cybersécurité protège des cyberattaques. La cyberrésilience, en revanche, permet à une entreprise de se remettre rapidement sur pied et de poursuivre ses activités, même après une attaque qui aboutit.

La cybersécurité («cybersecurity») et la cyberrésilience vont main dans la main. La cybersécurité n’est toutefois qu’une partie de ce qui constitue la cyberrésilience. Contrairement à la première, qui se concentre sur une technologie sûre, la seconde est une stratégie générale qui englobe également les équipes, les processus, le savoir-faire, etc.

Si une entreprise renforce sa cybersécurité par diverses mesures, les chances d’une cyberattaque réussie diminuent certes. Toutefois, il n’existe pas de cyberprotection ni de fonctionnement garanti à 100% pour les systèmes. Les cybercriminels découvrent trop rapidement de nouveaux points faibles, les exploitent et développent de nouvelles stratégies pour accéder aux données et extorquer de l’argent. C’est pourquoi la vision élargie de la cyberrésilience est la meilleure approche pour protéger son entreprise contre la cybercriminalité, et notamment pour faire ce qu’il faut, surtout lorsque la cyberattaque aboutit.

Identifiez d’abord toutes les parties impliquées en interne et en externe dont vous avez besoin pour votre plan de mesures. Clarifiez avec elles la marche à suivre, le calendrier et les responsables des différentes actions. Des partenaires appropriés, tels que votre prestataire de services informatiques ou une société de conseil, peuvent vous aider à effectuer cette analyse et à développer des mesures. Avec une cyberassurance, vous couvrez en outre les risques financiers d’une cyberattaque.