Cyber-risques : les réflexes d'une petite structure

Trois scénarios, pas cinquante

Inutile de se perdre dans un catalogue de menaces. Dans une structure de quelques personnes, presque tout se ramène à trois situations.

• Le rançongiciel. Un programme chiffre vos fichiers, parfois vos sauvegardes, et une rançon est demandée pour les rendre lisibles. L'effet immédiat n'est pas le vol : c'est l'arrêt de l'activité, parfois plusieurs jours.
• La fraude au virement. Faux fournisseur, faux dirigeant, changement de coordonnées bancaires par courriel. Aucun système n'est piraté : quelqu'un se fait passer pour un autre, et le virement est ordonné par vous.
• La fuite de données. Une boîte mail compromise, un fichier clients récupéré, un ordinateur portable perdu. Le sujet devient alors juridique autant que technique, parce que des données personnelles sont concernées.

Ces trois-là ont un point commun : ils passent presque toujours par une personne, pas par une prouesse technique. C'est une bonne nouvelle, parce que les contre-mesures les plus efficaces sont organisationnelles et ne coûtent presque rien.

Les réflexes de prévention

Les sauvegardes, avant tout le reste

C'est la seule mesure qui vous permet de refuser une rançon. Le principe communément retenu tient en trois chiffres : trois copies de vos données, sur deux supports différents, dont une hors ligne ou hors site. Le point critique est le « hors ligne » : une sauvegarde branchée en permanence sur le réseau est chiffrée en même temps que le reste. Et une sauvegarde qui n'a jamais été restaurée pour de vrai n'est pas une sauvegarde, c'est une hypothèse. Testez la restauration au moins une fois par an, en notant le temps que cela prend.

Les accès

Un mot de passe différent par service, gérés dans un coffre-fort dédié plutôt que dans un carnet ou un fichier. L'authentification à deux facteurs activée partout où elle existe, en priorité sur la messagerie, la banque, les outils métier et les accès à distance. Les droits limités à ce dont chacun a besoin. Et, le jour d'un départ, les comptes fermés le jour même, y compris les accès partagés.

La messagerie, porte d'entrée numéro un

Toute demande de changement de coordonnées bancaires se vérifie par un appel, sur le numéro que vous connaissez déjà, jamais sur celui indiqué dans le message. Toute demande urgente et confidentielle émanant d'un dirigeant se vérifie de la même façon. Une règle interne écrite sur ce seul point évite l'essentiel des fraudes au virement, et elle tient en cinq lignes.

Le reste

Les mises à jour appliquées sans traîner, un antivirus à jour, un contact technique identifié à l'avance, et une procédure d'une page affichée quelque part : qui appelle-t-on, que débranche-t-on, qui prévient qui. Le dispositif public d'assistance aux victimes d'actes de cybermalveillance peut vous orienter et vous mettre en relation avec des prestataires référencés.

Les premières heures comptent

1. Isoler. Déconnectez du réseau les machines touchées pour arrêter la propagation, sans effacer ni réinstaller quoi que ce soit : les traces serviront à comprendre et à prouver.
2. Ne pas payer la rançon. C'est la recommandation constante des autorités : rien ne garantit la restitution des données, et le paiement finance l'attaque suivante.
3. Prévenir la banque immédiatement en cas de virement frauduleux. Chaque heure compte pour tenter de bloquer les fonds.
4. Déposer plainte, et conserver le récépissé : la plupart des contrats d'assurance le demandent.
5. Appeler votre courtier ou l'assistance de votre contrat. Les contrats cyber prévoient une cellule de crise joignable en continu ; et les délais de déclaration de sinistre s'appliquent, en principe cinq jours ouvrés à compter de la connaissance du sinistre (article L.113-2 du Code des assurances).
6. Documenter. Horodatage des faits, captures d'écran, courriels d'origine, liste des données concernées : ce dossier servira à l'assureur, à la plainte et, s'il y a lieu, à la CNIL.

La notification à la CNIL

Dès qu'une violation de données à caractère personnel survient, le règlement général sur la protection des données impose une notification à l'autorité de contrôle, dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du RGPD). Si le délai est dépassé, la notification doit être accompagnée des motifs du retard.

Une nuance importante : la notification n'est pas due lorsque la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Mais c'est à vous d'apprécier ce risque, et de pouvoir justifier votre appréciation. C'est pourquoi le règlement impose de tenir un registre des violations, y compris pour celles que vous n'avez pas notifiées.

Deux compléments. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent elles aussi être informées (article 34). Et si l'incident a lieu chez un prestataire qui traite des données pour votre compte, celui-ci doit vous le notifier sans délai : c'est ensuite à vous, responsable de traitement, de notifier l'autorité. Vérifiez que vos contrats de prestation le prévoient.

Ce que couvre une assurance cyber

Un contrat cyber comporte en général deux volets, et c'est le premier qui sert le plus souvent.

Vos propres frais et pertes. Une assistance immédiate et une cellule de crise, l'intervention d'experts en sécurité informatique pour identifier l'origine et contenir l'incident, la remise en état des systèmes et la reconstitution des données, les pertes d'exploitation consécutives à l'interruption d'activité, les frais de notification et de communication, l'accompagnement juridique. Certains contrats couvrent, selon leurs conditions et dans les limites du droit applicable, les frais liés à une demande de rançon.

Votre responsabilité. Les réclamations de tiers dont les données ont été compromises, les frais de défense associés, et selon les contrats l'accompagnement en cas de procédure devant une autorité de contrôle.

Beaucoup de contrats ajoutent en option la fraude aux moyens de paiement et la fraude au virement. C'est souvent la garantie la plus attendue par une petite entreprise, et c'est aussi celle qui porte les sous-limites les plus strictes. Si votre risque principal est là, faites-en le premier critère de comparaison, avant le plafond global.

Ce qu'une assurance cyber ne couvre pas

• Les sanctions administratives prononcées par une autorité, lorsque le droit applicable ne permet pas de les assurer.
• La modernisation de votre informatique. L'assurance remet en état ce qui existait, elle ne finance pas la mise à niveau d'un système obsolète.
• Les manquements aux mesures de sécurité imposées par le contrat. Sauvegardes, double authentification, mises à jour : de plus en plus de contrats en font une condition de garantie, déclarée au questionnaire de souscription.
• Les faits antérieurs à la souscription et déjà connus de l'assuré.
• Les dommages matériels subis par le matériel, qui relèvent de la multirisque professionnelle, et les dommages causés à des tiers sans lien avec un incident informatique, qui relèvent de la responsabilité civile.
• Le préjudice de réputation en tant que tel, au-delà des frais de communication de crise prévus au contrat.

Six points à regarder avant de signer

1. Le questionnaire de souscription. Répondez exactement : c'est une déclaration du risque au sens de l'article L.113-2 du Code des assurances, et une réponse fausse fragilise toute la garantie.
2. L'assistance immédiate. Existe-t-elle, sous quel délai, et joint-on un humain ou un formulaire ?
3. Les sous-limites, poste par poste, en particulier sur la fraude et sur les pertes d'exploitation.
4. La franchise, y compris la franchise exprimée en heures ou en jours d'interruption.
5. Les mesures de sécurité exigées, et votre capacité réelle à les respecter toute l'année.
6. La territorialité et le mode de déclenchement de la garantie.

Ce que je fais pour vous

Le cabinet est courtier : on ne sécurise pas votre informatique, on s'assure que votre contrat correspond à votre exposition réelle. Concrètement, on part de ce que vous utilisez vraiment, on remplit le questionnaire avec vous plutôt qu'à votre place, on compare les propositions sur les sous-limites et non sur le plafond d'affiche, et on vérifie que l'assistance est joignable avant d'en avoir besoin. Le jour de l'incident, vous appelez un numéro, pas une adresse générique.