Baromètre du CESIN sur la cybersécurité des entreprises françaises

Pour mieux cerner l’état de la perception de la cybersécurité et de ses enjeux au sein des entreprises françaises, le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) vient de dévoiler les résultats de la 7 édition de son baromètre.

L’enquête menée auprès des membres du CESIN, directeurs cybersécurité ou responsables sécurité des systèmes d’information (RSSI) d’entreprises françaises, révèle qu’en 2021 plus d’une entreprise sur deux a subi une à trois attaques cyber réussies avec des répercussions flagrantes. Ces dernières notent notamment une perturbation de la production (21 %) et/ou une compromission d’informations (14 %) voire une indisponibilité du site web pendant une période significative.

Hausse des budgets alloués à la cybersécurité

Pour 73 % des entreprises, c’est le système du phishing qui est utilisé pour attaquer, suivi de l’exploitation des failles (53 %) et de l’attaque par rebond via un prestataire (21 %). Les ransomwares concernent 1 entreprise sur 5. Pourtant, 4 entreprises sur 10 ont recours à des programmes d’entraînement à la crise cyber, 63 % d’entre elles ont généralisé le recours à l’authentification multi-facteurs (MFA) et 70 % ont mené des campagnes de sensibilisation auprès de leurs salariés notamment en télétravail. Sans compter que les budgets alloués à la cybersécurité sont encore en hausse cette année, pour 70 % des entreprises sondées.Pour consulter l’étude, cliquez ici.

Article publié le 25 janvier 2022 – © Les Echos Publishing 2021

Des centres régionaux de réponse aux incidents de cybersécurité

7 régions ont été choisies pour accueillir les premiers centres régionaux de réponse aux incidents cyber (CSIRT). Incubés par l’ANSSI, ils fourniront aux entreprises une assistance et des conseils en cas de cyberattaques.

Dès février 2022, la Bourgogne Franche-Comté, le Centre-Val de Loire, la Corse, le Grand Est, la Normandie, la Nouvelle-Aquitaine et la Provence-Alpes-Côte d’Azur intégreront le programme d’incubation de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour développer leur centre de réponse aux incidents cyber (CSIRT, pour Computer Security Incident Response Team). Ce programme prévoit pour chacune des régions volontaire une subvention d’un million d’euros et un accompagnement sous forme de formation de quatre mois pour les aider à rendre opérationnel leur centre.

Agir le plus rapidement possible

À terme, ces CSIRT joueront un rôle préventif en sensibilisant les entreprises, les collectivités et les associations locales aux cyber-incidents. Ils auront également pour mission de les former aux bonnes pratiques. En outre, ils seront chargés de relever les signalements d’incidents et de mettre en relation les victimes avec les structures d’accompagnement permettant de résoudre le problème. L’objectif majeur de ces centres étant de limiter les impacts économiques et sociaux des cyberattaques en soutenant les victimes localement et en agissant le plus rapidement possible.

Article publié le 20 janvier 2022 – © Les Echos Publishing 2021

Une plateforme nationale de calcul quantique

Annoncée dans le cadre de la stratégie nationale sur les technologies quantiques lancée par le Président de la République en janvier 2021, une plateforme nationale de calcul quantique va voir le jour.

Le système quantique pourrait effectuer des calculs jusqu’à 1 milliard de fois plus rapides qu’avec une technologie de calcul classique, ce qui permettrait de résoudre des problèmes actuellement non solubles. Pour le Gouvernement, le quantique est un enjeu majeur pour la souveraineté et la supériorité stratégiques de la France. C’est pourquoi il a décidé d’y consacrer une enveloppe de 1,8 milliard d’euros, dont 1 milliard financé par l’État via notamment le Programme d’Investissements d’Avenir (PIA). Objectif : développer les technologies quantiques sur la période 2021-2025 et créer 16 000 emplois dans le secteur d’ici 2030.

Interconnecter systèmes classiques et ordinateurs quantiques

Parmi les projets, il a été retenu de lancer une plateforme nationale de calcul quantique, qui sera dotée d’un premier investissement de 70 M€ pour un objectif total de 170 M€. Cette plateforme de calcul hybride permettra d’interconnecter les systèmes classiques avec les ordinateurs quantiques. Elle sera mise à la disposition d’une communauté internationale regroupant des laboratoires, des startups et des industriels pour qu’elle puisse identifier, développer et tester de nouveaux cas d’usages. La plateforme sera hébergée au Très Grand Centre de Calcul implanté au CEA DAM (Commissariat à l’énergie atomique et aux énergies renouvelables).

Article publié le 13 janvier 2022 – © Les Echos Publishing 2021

Cybersécurité : quelle préparation des TPE-PME françaises face aux risques ?

Une récente étude fait apparaître que malgré l’augmentation des cyberattaques, les dirigeants de PME minimisent encore les risques.

L’enquête, réalisée en fin d’année dernière par l’Ifop pour le compte de Xefi auprès de 400 chefs d’entreprises de 3 à 249 salariés, montre que si la cybersécurité est connue des chefs d’entreprise (95 % des sondés ont l’impression de bien connaître le sujet), ils sont encore nombreux à mal appréhender les risques et à ne pas s’organiser pour y faire face. Dans une entreprise sur 5, personne ne prend en effet en charge ces questions ! Ils ont également tendance à surestimer leur niveau de protection et à minimiser le danger qui pèse sur leur entreprise. Ainsi, 2 % des dirigeants interrogés pensent que le risque que court leur entreprise est « très faible ». Pourtant, rappelle le sondage, en citant une étude de Forrester Consulting, 33 % des attaques informatiques menées ces 12 derniers mois visaient des TPE/PME.

Pas de sauvegarde de données externalisée

Pour 80 % des dirigeants interrogés, leur entreprise est bien protégée contre les cyberattaques, contre 5 % qui ne la considèrent « pas du tout » protégée, parmi lesquels principalement des dirigeants ayant déjà subi une attaque. Côté solutions, 99 % des dirigeants déclarent avoir recours à au moins un outil de protection (antivirus, pare-feu…). En revanche, 40 % n’effectuent pas de sauvegarde de données externalisée auprès d’un prestataire, ce qui garantit pourtant de pouvoir restaurer, dans de bonnes conditions, ses systèmes informatiques et ses données en cas de cyberattaque, notamment par un rançongiciel. Une solution encore peu utilisée par les petites structures qui la jugent trop chère à mettre en place. Bonne nouvelle, toutefois, 74 % des chefs d’entreprise se sentent suffisamment accompagnés sur le sujet de la cybersécurité et 61 % déclarent avoir mis en place un programme de sensibilisation à destination de leurs collaborateurs. Des chefs d’entreprise qui peuvent d’ailleurs, pour mener à bien ces opérations de formation, s’appuyer sur les supports pédagogiques mis en ligne par le site public Cybermalveillance.gouv.fr.

Article publié le 06 janvier 2022 – © Les Echos Publishing 2021

RGPD : Un guide pratique pour désigner son DPO

Obligatoire depuis 2018 dans certaines entreprises, le DPO (Data Protection Officer) joue un rôle central dans la gouvernance des données personnelles. La Cnil publie un guide synthétique pour accompagner sa désignation.

Entré en vigueur il y a trois ans, le Règlement européen sur la protection des données à caractère personnel (RGPD) a obligé les entreprises à adapter leur organisation pour être en conformité avec les nouvelles contraintes de gestion de ce type de données. Dans ce cadre, la désignation d’un délégué à la protection des données est notamment obligatoire dans les entreprises dont le traitement des données personnelles est spécifique soit parce qu’il exige un suivi régulier et systématique à grande échelle des personnes concernées, soit parce qu’il concerne des données dites « sensibles » (données de santé, données biométriques, opinions politiques, convictions religieuses…) ou des données relatives à des condamnations pénales et à des infractions.

Des missions précises

Mais un DPO peut aussi être désigné volontairement dans les entreprises non concernées par l’obligation pour piloter la gestion des données personnelles. Afin d’accompagner les entreprises dans leur démarche en matière de désignation de leur DPO, la Cnil a publié un guide synthétique qui précise son rôle. Illustré par des cas concrets et des outils pratiques (modèles de lettres de mission), il permet de répondre à de nombreuses questions que se posent les entreprises sur le sujet.

Pour consulter le Guide de la Cnil : www.cnil.fr

Article publié le 30 décembre 2021 – © Les Echos Publishing 2021

Simuler des attaques par ransomware pour entraîner ses équipes

Les signalements d’attaques par ransomware se multiplient avec des conséquences souvent dommageables pour l’entreprise. Plusieurs solutions proposent de simuler ces attaques pour repérer les comportements à risque des collaborateurs.

Les ransomwares sont des logiciels d’extorsion qui verrouillent l’ordinateur et demandent une rançon pour pouvoir, de nouveau, accéder aux données. Ils sont le plus souvent envoyés par email, via une pièce jointe vérolée ou un lien malveillant. Leur signalement a augmenté de 255 % entre 2019 et 2020, selon les chiffres de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). C’est même devenu la cyberattaque la plus fréquente avec 60 % des attaques, selon le CERT-Wavestone. Dans 90 % des cas, les données finissent perdues, avec des conséquences irrémédiables pour les entreprises touchées. D’où l’importance de former ses collaborateurs à repérer les messages dangereux pour adopter les bons réflexes.

Des solutions pour se tester

C’est ce que proposent plusieurs suites logiciels à travers des simulations d’attaques qui reprennent les techniques et les sujets habituellement utilisés par les cybercriminels. Elles permettent de tester les réactions des collaborateurs, d’apprendre à réagir et de faire prendre conscience des conséquences potentielles sur l’entreprise. L’ANSSI propose également un guide « Organiser un exercice de gestion de crise cyber ». Ce document, téléchargeable gratuitement, vise à accompagner, pas à pas, les entreprises dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur. Pour télécharger le guide : https://www.ssi.gouv.fr/guide/organiser-un-exercice-de-gestion-de-crise-cyber/

Article publié le 21 décembre 2021 – © Les Echos Publishing 2021

Création d’un observatoire de la 5G

Pour disposer d’un état des lieux de la 5G en France et de son potentiel de croissance, le gouvernement a mis en place un observatoire de la filière. Cet observatoire s’inscrit dans la stratégie de l’État d’accélérer son développement.

Le gouvernement veut repositionner la France aux avant-postes de l’innovation sur les réseaux télécoms en s’appuyant sur une accélération du développement de la 5G et des futures technologies de réseaux de télécommunications. Il s’est fixé des objectifs chiffrés qui pourront être suivis grâce au nouvel Observatoire de la 5G en France, lancé il y a quelques jours. Cet observatoire permettra de fournir une vision économique de la filière et d’appuyer des scénarios d’impact pour les années à venir.

2 milliards d’euros de dépenses en 2020

Les premiers chiffres de l’Observatoire laissent apparaître que près de 2 Md€ ont d’ores et déjà été dépensés en 2020 pour la 5G, notamment pour la construction et l’exploitation des réseaux et par la vente de terminaux 5G. D’ici 2027, ces dépenses pourraient atteindre 23 à 27 Md€. Sur près de 100 000 emplois au sein de 250 entreprises actives dans l’écosystème de la téléphonie mobile en France, la 5G concerne 6 000 à 8 000 emplois directs en 2020, dont plus de la moitié au sein d’entreprises françaises.Pour consulter l’Observatoire : www.entreprises.gouv.fr

Article publié le 14 décembre 2021 – © Les Echos Publishing 2021

Voiture de fonction : faut-il passer à l’électrique ?

Hybrides non rechargeables, rechargeables ou 100 % électriques ? Lequel de ces types de véhicules vient répondre à vos besoins professionnels ?

En septembre 2021, la Tesla Model 3 s’est hissée en haut du podium du marché automobile européen, avec près de 25 000 unités écoulées. Une première pour une voiture 100 % électrique, qui démontre la maturité de ce type de motorisation et le fait qu’il réponde de plus en plus à la demande des automobilistes. Une bonne raison de faire le point sur l’offre de véhicules électriques et de se demander s’ils pourraient prendre la place de vos véhicules de fonction.

De l’hybride à l’électrique

La famille des véhicules dits « électriques » est assez étendue et les mix de motorisations très variés. Aussi, pour ne pas s’y perdre, nous réduirons cette dernière aux seuls véhicules capables de rouler, même sur une courte distance, uniquement à l’électrique. Trois catégories de motorisations correspondent à cette définition. Ces véhicules abritent deux moteurs : le premier, le plus puissant, est thermique (essence ou diesel) et le second est électrique. Ce dernier, associé à une batterie dont la capacité est généralement inférieure à 5 kWh, entraîne le véhicule à faible vitesse. Ainsi, jusqu’à ce que la batterie soit vide et tant que la voiture ne dépasse pas 40 ou 50 km/h, c’est le moteur électrique qui est à l’œuvre. Au-delà, le moteur thermique prend le relais. En cas de besoin de puissance (pour réaliser un dépassement, par exemple), les deux moteurs sont prévus pour fonctionner brièvement de manière simultanée. La batterie est rechargée par le moteur thermique lorsqu’il est en fonctionnement, mais également par l’énergie récupérée au freinage. Là encore, un moteur thermique et un moteur électrique cohabitent sous le même capot. Seulement, à la différence des hybrides non rechargeables, les rechargeables sont capables de rouler à l’électrique au-delà de 50 km/h (le moteur est plus puissant) et sur une distance pouvant aller, selon les modèles, jusqu’à 80 km, notamment grâce à une batterie de grande capacité (jusqu’à 18 kWh). Les deux moteurs ont aussi vocation à fonctionner ensemble et, cette fois, de manière plus durable. La batterie est rechargée à la fois en roulant (moteur thermique et récupération au freinage) et via une prise électrique. Évolution ultime, ces véhicules ne sont dotés que d’une motorisation électrique dont la puissance peut varier de 33 kW (45 CV) pour une Dacia Spring entrée de gamme à 750 kW (1 020 CV) pour une Tesla Model X. Leurs batteries, qui récupèrent l’énergie du freinage, doivent être rechargées via une prise électrique.

Quel temps de recharge ? (recharge de 20 à 80 % de la batterie)
Renault Zoé (R135) Tesla Model 3 (Performance) Peugeot 3008 hybride rechargeable
Prise domestique (1,8 kW) 17h30 25h30 3h30
Prise sécurisée domestique (3,7 kW) 10h30 12h30 1h45
Borne domestique (7,4 kW) 4h15 6h15 1h45
Borne publique (22 kW) 1h30 4h00
Borne publique rapide (50 kW) 0h45 0h55

De la consommation à l’autonomie

Les véhicules hybrides rechargeables, avec leur double motorisation, n’ont, sur le papier, rien à envier à leurs concurrents thermiques en termes de consommation, bien au contraire. À en croire les comparatifs régulièrement publiés par la presse technique, les hybrides non rechargeables, sur parcours mixtes et à puissance comparable, afficheraient des consommations moyennes de 10 % inférieures à celles des thermiques. Un chiffre qui passerait à 20 % avec les hybrides rechargeables. Mais attention, ces véhicules, compte tenu de leur double motorisation et de la présence des batteries, sont beaucoup plus lourds que les modèles thermiques. S’ils sont utilisés quand leurs batteries sont « vides », leur consommation atteint des sommets, surtout lors des parcours urbains. Il ne faut donc jamais oublier de les recharger. Pour les 100 % électriques, ce n’est plus la consommation, mais l’autonomie qui doit être scrutée. Et pour une raison simple : il faut passer au moins 50 minutes branché à une borne publique de recharge rapide pour « faire le plein » d’une voiture dotée d’une batterie de 50 kWh (e-208, Tesla Model 3, Zoé…). Un plein qui, en fonction du modèle choisi et de la capacité de sa batterie, permettra de parcourir entre 250 et 600 km, selon les constructeurs. En réalité, ces chiffres « moyens » vont considérablement varier à la baisse sous l’effet du froid (on estime la perte d’autonomie entre 20 % et 30 % lorsque la température passe sous zéro), du style de conduite adopté, mais aussi du type de parcours. Il faut noter ici que, contrairement aux thermiques dont la consommation s’envole en ville, les électriques performent en cycle urbain mais s’épuisent vite sur route et autoroute. Une Tesla Model 3 (Performance) pourra ainsi parcourir, selon son constructeur, 740 km en ville, à 30 km/h, et seulement 370 km sur autoroute (120 km/h). De son côté, la Volkswagen e-Golf offre une autonomie de 300 km en ville et de 150 km sur autoroute. Ces voitures restent donc avant tout des urbaines. Et compte tenu de leur faible autonomie et des temps de recharge assez longs, elles ont encore du mal à rivaliser avec les thermiques classiques et les hybrides pour un usage routier intensif.

Comparatif des différentes motorisations
Hybride non rechargeable Les plus :
. Consommation limitée, surtout en ville. Pas de recharge
Les moins :
. 10 % plus chère qu’une thermique
Hybride rechargeable Les plus :
. Capacité à rouler en mode électrique à différentes vitesses. Autonomie électrique autour de 50 km. Consommation moyenne 20 % inférieure à celle d’une thermique sur parcours mixte
Les moins :
. 20 à 30 % plus chère qu’une thermique. Plus lourde qu’une thermique. Très gourmande « batteries vides »
100 % électrique Les plus :
. Silencieuse et non polluante. Coût du « plein » réduit
Les moins :
. Temps de recharge important. Autonomie encore trop réduite, sauf usage urbain. Prix encore élevé. Nécessité d’installer une borne de recharge chez soi

Des avantages fiscaux

En termes de prix, les hybrides sont 10 à 30 % plus chères que les thermiques classiques offrant des performances comparables (puissance, niveau d’équipement). Pour les électriques, la comparaison est plus délicate, mais pour vous donner une idée, vous devrez débourser 39 000 € pour une e-Golf, 32 000 € pour une Renault Zoé ou 43 000 € pour une Tesla Model 3 de base. Sachez d’ailleurs qu’acheter ou louer, puis utiliser une voiture de fonction « propre » est fiscalement moins pénalisant que lorsqu’il s’agit d’un véhicule thermique. Sans parler du malus écologique qui frappe l’achat ou la location des véhicules « polluants » émettant au moins 133 g de CO2 par km (chiffres 2021) et dont le montant peut atteindre 30 000 €. Ainsi, les plafonds de déductibilité de l’amortissement (ou des loyers) sont plus élevés pour les voitures électriques (30 000 €) et les voitures hybrides rechargeables (20 300 €) que pour les voitures thermiques (18 300 €, voire 9 900 € pour les plus polluantes). En outre, une exonération de taxe sur les véhicules de sociétés, totale ou partielle, s’applique. Sans oublier que la TVA sur l’électricité est déductible à hauteur de 100 % (contre 80 % pour le gazole, l’essence et lesuperéthanol E85). Enfin, l’achat ou la location longue durée d’un véhicule neuf peu polluant ouvrent droit à une aide financière de l’État. Pour une voiture électrique, ce bonus est fixé à 27 % du prix TTC, dans la limite de 6 000 € pour les personnes physiques et de 4 000 € pour les personnes morales. Une aide ramenée à 2 000 € lorsque le prix est compris entre 45 000 € et 60 000 €. Quant aux hybrides rechargeables, leur prix ne doit pas excéder 50 000 € pour un bonus s’élevant à 1 000 €. Et si c’est pour vous l’occasion de mettre à la casse un véhicule thermique ancien, vous pouvez cumuler le bonus avec une prime à la conversion (jusqu’à 5 000 €).

Article publié le 10 décembre 2021 – © Les Echos Publishing 2021

Pourquoi proposer l’authentification multifacteur en ligne

L’authentification multifacteur permet de renforcer la sécurité de l’accès aux comptes de vos clients grâce à l’ajout d’un ou de plusieurs facteurs d’authentification. La CNIL vient de créer une fiche pratique pour rappeler aux utilisateurs de préférer ce type de connexion. En quoi cela consiste exactement ?

En créant des comptes personnels sur internet, pour l’usage par exemple de sites de e-commerce, de banque, de messagerie… les particuliers fournissent des données personnelles dont certaines sont sensibles. L’accès à ces comptes se fait grâce à la mise en place d’un mécanisme d’authentification pour vérifier que la personne qui se connecte est bien la personne autorisée à y accéder. Ce mécanisme d’authentification peut être simple avec seulement un mot de passe par exemple, ou multifacteur c’est-à-dire exigeant un mot de passe et un autre dispositif.

Un second facteur d’authentification plus compliqué à obtenir

Comme le rappelle la Cnil dans sa fiche pratique, une authentification multifacteur empêche le cyberpirate qui aurait réussi à se procurer les identifiants et le mot de passe de l’usager d’accéder au compte, faute de disposer du second facteur d’authentification généralement plus compliqué à obtenir. Concrètement, ce second facteur peut consister en un code reçu par mail ou par SMS, par téléphone ou bien généré via une application installée sur le matériel. Ce code confidentiel n’est généralement valable que quelques minutes. À noter, depuis fin 2019, les banques et les prestataires de services de paiement sont obligés de proposer une authentification multifacteur pour les paiements à distance, l’accès au compte ainsi que pour les opérations sensibles.Pour consulter la fiche de la Cnil : www.cnil.fr

Article publié le 07 décembre 2021 – © Les Echos Publishing 2021

Se protéger des rançongiciels

Pour ne pas devenir la cible d’un logiciel rançonneur, ces programmes malveillants qui prennent en otage des données et le contrôle des systèmes, il convient d’adopter des gestes de prévention, comme le rappelle le site www.cybermalveillance.gouv.fr.

Les rançongiciels (ou ransomwares) sont des logiciels malveillants qui bloquent l’accès à l’ordinateur ou à des fichiers en les chiffrant et qui réclament une rançon pour pouvoir y accéder à nouveau. C’est la mésaventure qui est arrivée récemment à la ville d’Annecy, victime de ce type de cyberattaque et qui a vu tous ses services informatiques arrêtés, rendant inaccessibles les démarches administratives auprès des services municipaux. Le plus souvent, les victimes voient leurs ordinateurs se faire infecter par des messages électroniques lors de campagnes de « phishing » (ou hameçonnage). Le phishing étant une technique frauduleuse destinée à leurrer un internaute pour l’inciter, en se faisant passer pour une entreprise connue ou une administration, notamment, à cliquer sur une pièce jointe portant un malware.

Ne pas cliquer sur les pièces jointes de mail inconnus

Pour le site www.cybermalveillance.gouv.fr, plusieurs actions peuvent être mises en place pour s’en prémunir, comme il le rappelle dans une fiche pratique. Il est ainsi conseillé, par exemple, de mettre systématiquement à jour les systèmes de sécurité du système et les logiciels installés. Ou encore de ne pas installer d’application ou de programme piraté, ni de cliquer sur les pièces attachées de mails d’inconnus et dont la structure du message est inhabituelle ou vide.La fiche pratique aborde également les mesures à prendre si l’entreprise est victime d’un rançongiciel. Il est clairement indiqué, notamment, de débrancher immédiatement la machine contaminée du réseau de l’entreprise afin d’éviter que d’autres soient contaminées, de ne jamais payer la rançon et de porter plainte systématiquement !Pour consulter la fiche : www.cybermalveillance.gouv.fr

Article publié le 30 novembre 2021 – © Les Echos Publishing 2021