Les PME ne prennent pas suffisamment au sérieux la cybersécurité

Deux tiers des PME suisses considèrent la cybersécurité comme «importante» ou «très importante». Mais à peine 18% d’entre elles craignent d’être elles-mêmes victimes d’attaques. Telle est la conclusion quelque peu décevante d’une enquête. Les PME sont en effet assurément des cibles intéressantes pour les cybercriminels.

Les petites et moyennes entreprises pensent souvent, à tort, qu’elles ne sont pas des cibles valables. Elles ont malheureusement tort, comme le montre une étude récente menée par gfs-zürich (en allemand). D’après celle-ci, un tiers des PME suisses ont déjà été victimes au moins une fois d’une attaque aux conséquences sérieuses. Pour un cybercriminel, s’en prendre à des millions de petites entreprises est tout aussi intéressant qu’attaquer une seule grande entreprise. Des informations relatives à des cartes de crédit ou des données de patients peuvent facilement être valorisées sur le darknet.

Les cybercriminels utilisent également des ransomwares pour crypter les données des PME et ne les leur restituent que moyennant le versement d’une rançon. Les criminels empochent fréquemment de telles rançons, car les données des entreprises sont parfois leur actif le plus précieux, même si elles n’ont objectivement aucune valeur de revente. En outre, les cybercriminels se servent également des PME et de leurs données comme passerelle leur permettant de pirater les systèmes informatiques de grandes entreprises.

Lacunes en matière de sécurité et vulnérabilités dans les PME

Les PME sont des proies faciles pour les cybercriminels, car elles ne protègent pas suffisamment leurs données critiques. Le fait que 7% des PME suisses ne protègent pas leurs postes de travail informatiques grâce à des logiciels antivirus et que 8% d’entre elles ne protègent pas leurs réseaux avec des pare-feu relève presque de la négligence. 24% des PME sauvegardent régulièrement leurs données, mais elles n’ont pas vérifié si elles pouvaient les restaurer.

De tels essais seraient judicieux. En effet, en leur absence, de nombreuses PME ne se rendraient compte que des éléments de la sauvegarde sont manquants que lorsqu’elles restaurent les données suite à une crise. Seul 44% des PME interrogées disposent d’un plan de sécurité et forment leurs collaborateurs à la sécurité informatique, alors que plus de 90% de tous les incidents de sécurité sont dus à une erreur humaine (mot clé: hameçonnage).

Le télétravail est une source de vulnérabilité

Rares sont les PME qui connaissent leurs faiblesses en matière de sécurité. D’après l’étude, à peine un tiers des PME interrogées avaient déjà réalisé un audit de sécurité informatique, c’est-à-dire un examen de leur propre infrastructure. Ces audits permettent de découvrir les failles de sécurité et d’identifier les risques. Ils doivent donc être effectués régulièrement.

Ce sont surtout les changements dans le paysage IT, comme ceux qui ont été déclenchés pendant la pandémie de coronavirus, qui mettent en place de nouvelles conditions-cadres ou de méthodes de travail novatrices, ce qui donne lieu à de nouvelles faiblesses informatiques, qui s’expliquent notamment par l’intensification du télétravail.  D’après les résultats de l’enquête, la moitié de tous les collaborateurs ont accès à tous les documents et systèmes de l’entreprise lorsqu’ils travaillent à domicile et 15% d’entre eux envoient des données critiques de l’entreprise et des informations sensibles sur les clients par e-mail ou les emmènent chez eux sur des supports de données, ce qui rend plus probable que des données tombent entre de mauvaises mains ou que des logiciels malveillants pénètrent s’insinuent dans le réseau de l’entreprise.

Article mis à jour en juillet 2022.