65% des entreprises, au niveau mondial, ont signalé une hausse du nombre d’attaques cyber pendant la pandémie, révèle une étude de la plateforme Splunk. Ce n’est plus un secret : les PME et ETI ne sont pas épargnées par le phénomène. D’après la Commission européenne, qui a mené une enquête sur l’impact de la cybercriminalité sur les petites et moyennes entreprises, elles sont 19% en France à avoir subi au moins un incident cyber en 2021. Problème : les organisations n’ont pas toujours en tête les répercussions que peut entraîner une mauvaise « cyberprotection ».
Perte de business
Il y a les dégâts immédiats – perte de données, rançon à payer, serveurs à sécuriser –, et il y a les autres. Parmi ceux identifiés par Luc Declerck, directeur général de la start-up française Board of Cyber, il y a la perte de business potentiel. « Pour gagner des appels d’offres ou trouver de nouveaux partenaires, il est impératif de montrer patte blanche en matière de cybersécurité », explique-t-il. La solution déployée par son entreprise, Security Rating®, permet d’évaluer la bonne santé cyber des organisations. Et afficher un bon score est un réel atout, assure-t-il. « Avant de travailler avec un prestataire, un grand groupe va s’assurer que celui-ci a une bonne posture cyber. C’est logique : si un fournisseur est mal protégé et qu’une cyberattaque bloque sa chaîne de production, par exemple, cela peut avoir un impact direct sur le chiffre d’affaires de son client. » Il compare le phénomène à celui des performances RSE : « aujourd’hui, une entreprise qui se revendique B-Corp espère augmenter son chiffre d’affaires pour gagner plus d’appels d’offres. Il se passe la même chose en matière de cybersécurité. Tout le monde a besoin d’être rassuré. »
Un point de vue partagé par Jean-Michel Tavernier, country manager France de l’entreprise américaine Armis. Celle-ci alerte ses clients (quasiment) en temps réel lorsqu’une brèche de sécurité est détectée, sur n’importe lequel de ses périphériques connectés. « De plus en plus, les prestataires externes se connectent aux réseaux de leurs clients. Ceux-ci ne peuvent pas leur imposer d’antivirus particulier, ou de déployer un budget donné sur les questions de cybersécurité. En revanche, ils peuvent les surveiller. C’est ce que nous proposons : dès que quelqu’un se connecte au réseau d’une de nos entreprises clientes, nous analysons son comportement. S’il utilise un ordinateur vérolé, nous le bloquons immédiatement. On peut tout à fait imaginer que si des incidents répétés ont lieu chez les prestataires, les entreprises cessent de faire appel à eux. »
Perte d’assurance
L’avantage des systèmes de notation comme celui que propose Board of Cyber, c’est qu’ils permettent de démocratiser le sujet au sein des organisations, estime Jean-Michel Tavernier. « Globalement, il est difficile de parler de cybersécurité avec d’autres personnes que les DSI ou RSSI, regrette l’expert. Les ‘scores’ cyber permettent de montrer quelque chose de concret aux directions générales. Au-delà du risque de voir sa note baisser, il y a des conséquences concrètes à présenter : chez Armis, nous travaillons avec des cabinets de cyberassurance qui vont proposer des tarifs plus élevés aux entreprises qui sont mal protégées. Dans certains cas, ils refusent même complètement de les assurer. »
Perte de financements
Les assurances ne sont évidemment pas les seules à s’intéresser à la santé cyber des entreprises. « Les banques ou les fonds d’investissement sont très friands de ce type d’informations », assure Luc Declerck. Pas question de prêter de l’argent à quelqu’un qui risque de tout perdre à cause d’une cyberattaque ! « Le risque cyber devient un risque financier à part entière, surtout chez les sociétés de taille moyenne qui peuvent voir leur capacité de remboursement fortement touchée. » Parmi les clients Board of Cyber, une quinzaine de fonds. Luc Declerck l’affirme : la posture cyber fait partie intégrante des discussions de valorisation. « Le risque cyber peut mener à la destruction potentielle de données, mais il mène à la destruction certaine de valeur » conclut-il.
[…] Comment une mauvaise protection cyber peut vous faire perdre du business […]