Pour que la perte de données ne se transforme pas en catastrophe

Quelles seraient les conséquences de la perte de données pour votre entreprise? Et comment vous en prémunissez-vous? Aperçu des causes et des mesures de protection.

Imaginez-vous que plus personne dans votre entreprise ne puisse accéder aux données commerciales utilisées tous les jours. Des documents importants, des commandes de clients, la comptabilité, tout le système ERP ou la CRM ne sont plus disponibles. Combien de temps votre entreprise pourrait-elle survivre à une telle situation?

L’importance des données commerciales se cristallise pour l’entreprise lorsqu’elle les perd. Il y a des entreprises qui ont déjà fait l’expérience désagréable de ne plus pouvoir satisfaire des commandes, consulter des informations de clients ou traiter des documents. Une telle situation peut s’accompagner de pertes considérables: d’après l’étude Global Data Protection Index, 33% des entreprises suisses interrogées ont perdu des données commerciales au cours d’une année, chaque perte de données coûtant en moyenne 488 000 francs.

Causes des pertes de données

Les raisons des pertes de données sont diverses. Peut-être manque-t-il une sauvegarde, un incendie ou un dégât des eaux a détruit une partie de l’infrastructure informatique ou des hackers ont crypté toutes les données à l’aide d’un ransomware et exigent maintenant une rançon avant de libérer les données. Mais des circonstances moins spectaculaires telles qu’un défaut d’attention ou des connaissances défaillantes de collaborateurs peuvent également conduire à la suppression irréversible de données importantes. Les entreprises devraient se prémunir des risques suivants:

1. Cybercriminalité

Des attaques perpétrées par des hackers ou la destruction de données engendrée par des maliciels ne menacent pas que les grandes entreprises. Bien au contraire, ce sont justement les PME dont la protection informatique est insuffisante qui sont particulièrement compromises. Les systèmes des cybercriminels trouvent rapidement les failles et les exploitent sans vergogne. Fin 2018, le cheval de Troie Emotet a sévi dans le monde entier, infectant également en Suisse des ordinateurs et des serveurs avec du ransomware et cryptant leurs données. Diverses entreprises ont ensuite été victime de chantage, les cybercriminels ayant réclamé des rançons de 200 000 francs.

De petites attaques comme celle perpétrée par un hacker à l’encontre d’un logiciel de réservations en ligne chez les coiffeurs suisses sont toutefois aussi susceptibles de créer un malaise: environ 200 coiffeurs ne pouvaient plus accéder à leur système de réservation et ont subi des manques à gagner de plusieurs milliers de francs en raison de rendez-vous non honorés.

2. Influences environnementales et pannes

«Un incendie dans un immeuble de bureaux ou dans un atelier voisin de bureaux peut entraîner la destruction irréversible de données ou rendre inutilisables les bureaux. Il est donc impardonnable de ne pas disposer d’une mise à jour actuelle sur le cloud», affirme un ancien commandant des pompiers. «J’ai été plusieurs fois témoin de tentatives de la part de propriétaires d’entreprises d’empiler des dossiers et de saisir des ordinateurs pour les extraire à la dernière minute d’un bâtiment en feu.» Une panne de courant ou un défaut de matériel peut également avoir un impact sur la disponibilité de données.

Les données stockées dans des centres de calcul sont en revanche largement protégées contre les défaillances. Le fameux Tier Standard permet de catégoriser les niveaux de qualité d’un centre de calcul. Cette méthode évalue la sûreté de fonctionnement sur une échelle allant de 1 à 4: tandis qu’une perte de données est encore possible selon une certaine probabilité avec le Tier 1, un tel incident est à peine envisageable dans le cas du Tier 4 en raison de la redondance complète, de la distance géographique et des doubles voies d’approvisionnement.

3. Inattention

Même si les systèmes informatiques sont très bien protégés, il existe une importante faille de sécurité qu’il est impossible d’éliminer: des utilisateurs imprudents ou insuffisamment sensibilisés. Il peut arriver que des documents importants ou des dossiers entiers soient supprimés par inadvertance ou que des données actuelles soient écrasées lorsqu’une sauvegarde est restaurée.

Les cybercriminels exploitent également l’imprudence par exemple au moyen du hameçonnage ou de l’ingénierie sociale. Des pièces jointes d’e-mails et des liens insignifiants mais dangereux sont capables de déjouer certains pare-feux sans être endommagés et sèment le chaos sur l’ordinateur et sur le réseau local dès que l’utilisateur ouvre les pièces jointes ou clique sur les liens. L’utilisation imprudente des réseaux sociaux est en outre telle que des données sensibles sont susceptibles d’aboutir auprès de tiers. Il arrive également que des appareils privés mal entretenus et des clés USB infectées soient les vecteurs de maliciels.

Prévention: Protection contre les pertes de données

Pour empêcher toute perte de données dans l’entreprise, il ne suffit pas de stocker de manière redondante toutes les données localement. En cas de défaillance de certaines parties de l’infrastructure informatique, les applications et tous les états actuels des données doivent tout de même rester disponibles. Pour cela, il faut savoir, où telles ou telles données sont disponibles et comment elles peuvent être utilisées.

Les mesures de sécurité informatiques réduisent également le risque de perte de données.

• Aperçu: un état des lieux de toutes les données et de toutes les sauvegardes est nécessaire pour que celles-ci puissent être utilisées rapidement et intégralement en cas d’urgence. Les responsables savent où les données sont stockées localement, quand telles ou telles sauvegardes sont effectuées, quels PC, appareils mobiles, disques durs externes sont utilisés, quelles données sont disponibles sur un serveur ou sur le cloud, etc.
• Mises à jour: les applications, les systèmes d’exploitation, les anti-virus et les pare-feux doivent constamment être à jour. Cela vaut pour l’infrastructure informatique dans l’entreprise mais aussi pour tous les appareils externes ou pour ceux utilisés au domicile de collaborateurs ainsi que pour tous les appareils privés que les collaborateurs utilisent dans l’entreprise (BYOD). En effet, si le logiciel n’est pas à jour, le risque d’infections de maliciels et d’attaques de hackers s’accroît significativement en raison de failles de sécurité.

• Sauvegardes: il n’est pas suffisant que des collaborateurs stockent certains documents ou ensembles de données importants sur des clés USB, des disques durs externes ou sur le cloud. Pour être sûr que toutes les données soient immédiatement disponibles en cas d’urgence, il faut effectuer des sauvegardes régulières de toutes les données actuelles, sur le cloud et éventuellement localement en plus. Il faut aussi tester ces sauvegardes pour s’assurer qu’elles fonctionnent réellement et pour déterminer si les données peuvent être utilisées par tous les collaborateurs autorisés sous la forme voulue. Une sauvegarde sur le cloud est importante car il s’agit de la seule manière de la protéger contre les éléments ou simplement contre l’inattention.
• Prévention: tous les collaborateurs savent comment ils doivent se comporter en cas d’urgence et quelles personnes doivent être avisées. Le personnel doit être formé régulièrement en conséquence. Tous les collaborateurs doivent savoir comment manipuler en toute sécurité les données, les pièces jointes d’e-mails, les liens contenus dans les e-mails, les données de connexion et les services web. Les collaborateurs qui travaillent de chez eux ou en déplacement doivent établir un accès sûr et crypté au réseau de l’entreprise à l’aide d’une connexion VPN.
• Plan d’urgence: pour qu’une entreprise puisse réagir rapidement et efficacement en cas de perte de données imminente, elle doit disposer d’un plan d’urgence pour différents scénarios. Celui-ci indique, selon les priorités, ce qu’il convient de faire en cas d’incident, quels services doivent être informés et comment éviter des dommages subséquents. Des check-lists permettent de définir les personnes joignables et leur numéro de téléphone, les serveurs et les systèmes qui doivent être débranchés, comment l’exploitation peut être maintenue et comment rétablir les données à partir d’une sauvegarde.