La pandémie de COVID-19 freine les investissements en cybersécurité
NOVIPRO|Mis à jour le 12 juin 2024Malgré les risques accrus de cyberattaque pendant la pandémie de COVID-19, de moins en moins d’entreprises planifient investir dans la cybersécurité.
D’après un sondage réalisé cet automne par la firme Léger pour le compte de NOVIPRO, une entreprise spécialisée dans les solutions d’affaires, technologiques et infonuagiques, seulement 25 % des organisations canadiennes comptent bonifier leur stratégie de cybersécurité au cours des 24 prochains mois, ce qui représente une baisse de 14 points de pourcentage par rapport à 2019.
Lien : https://info.novipro.com/fr/fr-ca/portrait-ti-2021
« C’est compréhensible, car les entrepreneurs doivent faire des choix pendant ces temps difficiles, mais c’est problématique, soulève le chef de la sécurité de l’information (CISO) chez NOVIPRO, Dominique Derrier. Tout le monde sait que les cyberattaques sont violentes, qu’elles entraînent des coûts importants et qu’elles font mal aux entreprises, financièrement et émotionnellement. »
Des pertes considérables en cas de cyberattaque
Lorsqu’une organisation est la cible d’une cyberattaque, elle doit investir pour récupérer ses données et rebâtir son infrastructure informatique — quand cela est possible. Parallèlement, elle voit ses revenus diminués puisqu’elle est incapable de mener ses activités courantes.
À cela, il faut ajouter l’image de l’entreprise qui est ternie par de la mauvaise publicité. Des clients potentiels y réfléchiront à deux fois avant de lui confier leurs données, alors que ceux qui figuraient dans son carnet d’adresses songeront sérieusement à la poursuivre en justice si leurs informations sont tombées entre des mains malveillantes.
Et bientôt, lorsque le projet de loi 64 sera adopté à l’Assemblée nationale, des sanctions pénales plus sévères alourdiront le fardeau des organisations qui n’auront pas pris toutes les précautions nécessaires.
Fort de son expérience d’une vingtaine d’années dans le milieu de la cybersécurité, Dominique Derrier estime que l’impact financier se chiffre à des centaines de milliers, parfois jusqu’à des millions de dollars, pour les organisations.
« La facture monte très vite lors d’un cyberincident, prévient-il. Le déficit en matière de cybersécurité accumulé pendant plusieurs années est comblé en l’espace de 15 jours. »
Des mesures de cybersécurité de base
Dans le contexte pandémique où la cybercriminalité est en plein essor, les organisations ont intérêt à ériger des barrières pour faire reculer les pirates informatiques. Avant tout, elles doivent dresser un inventaire de leurs biens, identifier les plus précieux et évaluer les risques encourus si elles venaient à les perdre, conseille Dominique Derrier.
« Ce n’est pas le jour de l’incident qu’il faut se questionner au sujet de l’inventaire », prévient-il.
Cette analyse déterminera les mesures de protection à mettre en place. Peu importe la forme qu’elles prendront, le personnel doit d’abord être sensibilisé et formé sur les bonnes pratiques en matière de cybersécurité. Il s’agit d’une démarche peu coûteuse qui donne des résultats concrets, signale Dominique Derrier.
Attention, le sondage Léger produit pour NOVIPRO témoigne d’un relâchement de la part des compagnies canadiennes en ce qui a trait à la formation offerte aux employés. Près de 69 % d’entre elles en donnaient en 2020, contre 74 % l’année précédente. Le Québec fait figure de mauvais élève puisque 61 % de ses entreprises mettent en place des cours sur la cybersécurité pour leur personnel.
Ensuite, l’équipe TI doit veiller à adopter une hygiène de base : installer des antivirus (nouvelle génération), gérer les identifiants des employés, faire les mises à jour des logiciels et procéder à des tests des copies de sauvegarde.
« Évidemment, il faut s’assurer que les sauvegardes sont bien effectuées et qu’elles soient fonctionnelles », précise Dominique Derrier. Selon lui, l’un des stratagèmes des cyberpirates consiste à s’introduire en douce dans une entreprise, à désactiver les dispositifs de sauvegarde et à copier les données. Après quelques mois, ils réclament une somme d’argent colossale pour retourner ce qui a été volé.
Les organisations ont avantage à maîtriser ces mesures simples et économiques, qui repousseront de nombreux cybercriminels. « L’idée, ce n’est pas d’acheter la Rolls-Royce qui fait le maximum, dit Dominique Derrier. Objectivement, si vous n’êtes pas en mesure de gérer vos sauvegardes, vous n’allez pas pouvoir gérer quelque chose qui est beaucoup plus complexe. »
« Il n’y a rien de pire que d’acquérir un équipement qu’on n’est pas capable d’opérer et qui ne va pas réduire les risques », poursuit le CISO de NOVIPRO.
Peaufiner sa stratégie de cybersécurité
Une organisation qui sait mettre en œuvre adéquatement une stratégie élémentaire de cybersécurité peut la développer davantage par la suite, en fonction de ses ressources. Il est entre autres question d’installer des outils de surveillance globale et des dispositifs plus sophistiqués qui serviront à la fois à mieux la protéger, à améliorer sa performance et à corriger rapidement les lacunes en cas de besoin.
Et à combien peut-on chiffrer ces mesures de protection supplémentaires ? Difficile à dire, d’après Dominique Derrier, parce qu’il y a autant de possibilités que d’entreprises. Et le montant d’argent doit être mis en perspective par rapport aux risques.
Dans tous les cas, l’investissement dans la cybersécurité sera moindre que la facture salée qui devra être assumée à la suite d’une cyberattaque dévastatrice, insiste Dominique Derrier.