Cyberattaque : un sujet que les Daf doivent prendre à bras le corps
Des dispositifs de prévention insuffisants
Face à ces attaques, les entreprises ont mis en place différentes actions. 90% ont misé sur la sensibilisation des salariés. C'est d'ailleurs grâce à des réactions humaines adéquates que 50% des fraudes ont été déjouées. "Le bon sens est essentiel pour lutter contre les fraudeurs. Pour bien sensibiliser ses salariés, il ne faut pas hésiter à leur montrer des exemples d'e-mails frauduleux ou encore à leur envoyer de faux e-mails frauduleux pour voir leur réaction", conseille Bruno de Laigue, président de la DFCG.
Par ailleurs, 80% des entreprises ont renforcé leurs procédures de contrôle interne et 44% ont réalisé un audit de leur système d'information. Ce dernier chiffre augmentera certainement avec la mise en place du RGPD. Enfin, une entreprise sur cinq est assurée contre le risque fraude ou souhaite le faire.
Par contre, seules 20% des entreprises souhaitent mettre en place une cartographie des risques. Idem pour les tests d'intrusion. "Cela est vraiment insuffisant car seule la cartographie permet de savoir d'où peuvent venir les risques. Les tests d'intrusion permettent d'estimer la porosité du SI, du temps que l'attaquant peut rester et ce qu'il peut faire", indique Sébastien Hager. Une décision souvent liée au budget que les entreprises souhaitent consacrer à la lutte contre la cybercriminalité.
Le Daf au coeur de la gestion des risques
Aux Daf, donc, de s'emparer du sujet : la direction financière est en effet au coeur de la lutte contre la fraude. Selon l'étude Euler Hermes/DFCG, le Top 3 des directions pilotant le cyber-risque est la direction financière (48%), la direction informatique (19%) et la direction générale (13%).
Il faut dire que le risque d'une cyberattaque est principalement financier : 85% des entreprises interrogées le citent. "Elles craignent un impact important sur leur trésorerie qui remettrait en cause la pérennité de leur activité", précise Sébastien Hager. Les autres risques cités sont les données (45%), l'interruption d'activité (30%) et la réputation (29%).
Pour Bruno de Laigue, les Daf doivent s'emparer du RGPD pour mieux se préparer aux risques cyber : "C'est une bonne porte d'entrée pour analyser son SI et ses procédures internes mais aussi de trouver des moyens de réagir en cas d'attaque", pense-t-il.
Les dirigeants d'ETI ne se sentent pas concernés par la cybercriminalité
Bien que 76% des ETI ont subi au moins un incident cyber en 2017, les dirigeants de ces entreprises ne se sentent pas toujours directement exposés. C'est le principal résultat d'une étude consacré à la cybercriminalité dans les ETI, menée par Bessé et PwC (mars 2018).
Ainsi, seules 49% des ETI sondées ont mis en place une stratégie de cybersécurité. Elles ne sont par ailleurs que 19% à avoir mis en place une stratégie de protection de l'information et 39% des actions de sensibilisation des collaborateurs en matière de cybersécurité.
Enfin, le risque financier lié aux attaques cyber est mal évalué : les dirigeants estiment de possibles impacts au niveau opérationnel et un risque d'atteinte à leur image mais aucun n'est en mesure de présenter un diagnostic précis de ses conséquences financières. Aux Daf de s'emparer du sujet !
