Cybercriminalité : la sécurité informatique est l'affaire de tous

Les spécialistes de la cybercriminalité se réunissent cette semaine à Monaco avec pour ambition d'étendre à l'ensemble de la population les comportements et réflexes qui permettront de mieux résister à des pirates informatiques de plus en plus audacieux.

"Se protéger, ça passe par des règles", explique à l'AFP le directeur général de l'Agence nationale de la sécurité des systèmes d'information (Anssi), Guillaume Poupard. "Il y a des règles de conception des systèmes, des règles d'administration de ces systèmes, des règles de gouvernance, des règles de comportement de la part des agents... Quand vous appliquez toutes ces règles et que vous le faites proprement, ça ne garantit pas une sécurité à 100%, mais il n'y a plus grand chose qui passe", estime-t-il.

Le propos peut paraître bien optimiste, alors qu'on apprend tous les jours ou presque que des cybercriminels arrivent à se promener dans des systèmes informatiques les plus divers, volent des fichiers, détournent de l'argent ou menacent de tout bloquer.

"Au sein des entreprises, il y a évidemment un responsable de la sécurité des systèmes d'information: il est indispensable, mais pas suffisant. L'idée, c’est vraiment de se dire que chacun est acteur de cette cybersécurité: le PDG, le directeur juridique, le directeur financier... Chacun à un rôle à jouer", souligne-t-il.

Y compris l'intérimaire, généralement oublié dans les procédures, alors qu'il a souvent accès aux systèmes. Pas étonnant, dans ce contexte, que les Assises de la sécurité et des systèmes d'information soient de moins en moins une réunion de spécialistes. Quelque 2.500 personnes y sont attendues de mercredi à vendredi, à Monaco. La menace reste des plus sérieuses, d'autant que le problème de la sécurité informatique a longtemps été négligé.

L'Etat a identifié plus de 200 opérateurs d'importance vitale (OIV), privés et publics, "qui exploitent ou utilisent des installations jugées indispensables pour la survie de la Nation". La loi de préparation militaire les oblige désormais à suivre toute une série de règles très strictes pour faire face à la menace cyber, sous la surveillance de l'Anssi.

Et pour les autres? Rien d'obligatoire, pour l'instant, mais du bon sens. "Il y a des chefs d'entreprises qui viennent me voir pour me demander ce qu'ils doivent faire, alors qu'ils ne sont pas des OIV", raconte Guillaume Poupard. "Et bien, la même chose!".

Les entreprises devront de toute façon réagir parce qu'une directive européenne va les obliger en 2018 à rendre public tout vol de données personnelles. Or, jusqu'à présent, la plupart d'entre elles préfèrent garder secrètes les attaques dont elles font l'objet. Pour des raisons d'image, et aussi, note M.Poupard, pour mieux réagir face aux pirates.

"On va voir le vrai visage de la sécurité des sociétés françaises, et ça va faire peur", prédit Jérôme Robert, responsable du marketing chez Lexsi, une société spécialisée en voie d'être rachetée par Orange. Le plus souvent guidés par l'appât du gain, mais aussi par des motivations idéologiques, les cybercriminels s'introduisent au coeur du système des entreprises, généralement en passant par les ordinateurs de certains employés.

Et pour approcher lesdits employés, on leur fait ouvrir des pièces jointes par mail, on les envoie cliquer sur des pages web vérolées ou on leur met entre les mains une clef USB corrompue.

Une fois dans la place, les pirates peuvent tranquillement piller les ressources de l'entreprise attaquée - pour la plus grande joie d'un concurrent, par exemple - voire prendre le contrôle de ses équipements. Quitte à représenter un véritable danger, puisqu'ils pourraient ainsi faire dérailler un train, prendre le contrôle d'une voiture autonome, polluer l'approvisionnement d'une ville en eau ou faire sauter une raffinerie.

Sans en arriver à de telles extrémités, les cybercriminels font de plus en plus chanter leurs victimes en s'introduisant dans leurs ordinateurs pour les bloquer ou en crypter le contenu. Et là, ce ne sont pas seulement des entreprises, mais aussi des particuliers, qui sont victimes de ces "ransomwares", et qui ne peuvent espérer récupérer leurs données qu'en payant une rançon.