Forum International de la Cybercriminalité
Les 31 mars et 1er avril 2010 se tiendra le 4ème Forum International de la Cybercriminalité à Lille.
C’est le Journal du Net qui nous donne cette information en interwievant le commandant Rémy Février, officier sous contrat de la gendarmerie affecté à l'état-major de la Région de Gendarmerie Nord-Pas-de-Calais, chargé de mission d'intelligence économique, et commissaire général délégué du Forum International sur la cybercriminalité.
C’est l’occasion de faire le point sur la sécurité dans les entreprises.
Si les grandes entreprises sont assez bien protégées, il n’en est pas de même pour les PME : « Du fait de notre implantation territoriale, nous sommes le plus souvent confrontés à des PME qui constituent la plus grande partie du tissu économique national : plus de 90% des entreprises françaises ont moins de 20 salariés. Or, on peut constater que la très grande majorité des dirigeants de celles-ci ne se préoccupe pas de la sécurité de leur système d'information. »
La gendarmerie se donne donc comme « principal objectif de leur faire comprendre l'importance d'intégrer la sécurité de leur système d'information à la culture de l'entreprise. Dans cette optique, la sécurité des SI doit faire partie intégrante d'une politique plus globale de gestion des risques. C'est important dans la mesure où cette composante est liée à la fois à des enjeux techniques mais aussi à des facteurs humains. »
Et pour cela, Rémy Février utilise le langage des entreprises : « Quand je suis face à des responsables d'entreprise, je présente la sécurité du SI comme un avantage concurrentiel indirect. Je fais référence aux travaux de l'économiste Michael Porter. Concrètement, l'idée consiste à réaliser deux constats : d'une part la captation des données stratégiques d'une entreprise est aisée si son système d'information n'est pas protégé. D'autre part, étant donné le fait que peu d'entreprises se préoccupent de sécurité IT, celles qui s'investissent sur ce terrain bénéficient de facto d'une probabilité plus faible de se voir pénétrer et voler des informations stratégiques. Ce qui leur donne donc un avantage concurrentiel indirect. »
Un gendarme expliquant aux chefs d’entreprise la théorie des avantages concurrentiels de Michael Porter, ce n’est pas courant… Il faut quand même dire que le commandant Février « est diplômé d'une école supérieure de commerce, ainsi qu'en Sciences-Politiques, finances publiques et informatique. Il est par ailleurs ancien chef d'entreprise. » Ceci explique cela…
Ce qu’il veut avant tout, c’est « marquer les esprits des décideurs que nous rencontrons pour qu'ils s'approprient cet enjeu de la sécurité, et décident de s'engager. »
Et pour cela, il n’hésite pas à « prendre des exemples de cas d'entreprises qui se sont fait voler des données. Pour certaines, le vol de données a conduit à leur prise de contrôle, voire à leur disparition. C'est le cas par exemple si la société se fait pirater un dossier de R&D. Le concurrent qui aura récupéré les données pourra lancer un produit à un prix bien inférieur, sans avoir à répercuter des coûts de développement. »
Et voici ce qu’il recommande pour assurer la sécurité du système d’information : « élaborer une charte de bonne utilisation d'Internet, de la messagerie électronique et désigner un responsable de la sécurité SI ayant le soutien de la direction. Mais aussi sensibiliser les collaborateurs par des formations spécifiques. Les salariés doivent bien comprendre que des précautions particulières doivent être prises dans certains cas. Un cadre ne doit pas considérer un aéroport ou une gare comme une annexe de son bureau, et se connecter au SI en Wi-fi sans aucune précaution. Vous ne savez pas qui peut être derrière vous dans un train, ni dans une file d'attente. »
D’autre part « les exemples d'inadvertance dans les PME ayant conduit à des pertes ou des vols de données sont nombreux : les identifiants et mots de passe notés sur un papier collé à l'écran ou placé sous le clavier, le stagiaire à qui l'on offre un accès complet au système d'information pour ne pas perdre de temps... »
Et pour finir, un mot sur les clients, les fournisseurs et les sous-traitants : « là aussi les exemples d'incidents sont nombreux. C'est le cas par exemple d'un vol de disque dur de photocopieur par quelqu'un se faisant passer pour un technicien de maintenance. Même logique pour les PABX qui font parfois l'objet de contrats de sous-traitance et qui impliquent donc une nécessaire vigilance. »
La sécurité du système d’information sera toujours stratégique. La négliger peut mener une entreprise, aussi petite soit-elle, à la catastrophe.
A noter qu’« un guide à l'attention des chefs d'entreprise sera publié à cette occasion sur la gestion du risque numérique. »
Espérons que ce guide sera diffusé au-delà de ce forum.