crédit photo: Ales Nesetril via Unsplash
Réduire les risques cyber ne se limite plus à installer un antivirus. Pour les PME de la région Auvergne-Rhône-Alpes, la cybersécurité est devenue un pilier stratégique de la résilience et qui ont tout intérêt à intégrer la sobriété et responsabilité numériques.
Suite à notre récent webinaire en collaboration avec, l’ANSSI, le Campus Région du Numérique et l'Agence Auvergne-Rhône-Alpes Entreprises, voici les essentiels à retenir pour sécuriser votre avenir numérique.
L'iceberg du risque : Au-delà de la technique
Une cyberattaque ne se résume pas à une panne informatique temporaire. Les conséquences indirectes sont souvent plus lourdes que l'incident lui-même : augmentation des primes d'assurance, dépréciation de la marque, perte de confiance des clients… et, dans 60 % des cas pour le e-commerce, une fermeture de l'entreprise dans les 18 mois suivant l'attaque.
Le premier réflexe n'est pas technique, il est organisationnel. Il s'agit de cartographier vos actifs critiques:
- quelles machines doivent tourner en priorité ?
- où résident vos données sensibles (brevets, données clients)
- et quels sont les impacts réels d'un arrêt de production ou d’une interruption de service ?
Le modèle hybride : Piloter en interne, expertiser en externe
Faut-il tout internaliser ? Pas forcément, le modèle gagnant est souvent hybride. Ce que nos adhérents experts cyber recommandent :
- en interne : Le pilotage stratégique, la
connaissance de vos actifs critiques, la qualification des impacts et la
diffusion des réflexes au quotidien. Vous devez désigner un "pilote dans
l'avion", un référent cybersécurité ayant un accès direct à la direction,
distinct du simple gestionnaire de parc informatique.
- Ce que vous pouvez externaliser : L'expertise pointue (audits, tests d'intrusion), la supervision 24/7 (SOC), la réponse à incident et la formation spécialisée. S'appuyer sur des partenaires certifiés (SecNumCloud, experts RSSI externalisés) permet de bénéficier de compétences rares sans alourdir votre masse salariale.
3 angles (trop souvent) morts: la donnée, la surface d'attaque et les infrastructures Legacy
Trois vulnérabilités majeures guettent les infrastructures digitales et industrielles :
1. La dette technologique (Legacy) : 92 % des entreprises dépendent encore de technologies anciennes. Ces systèmes, souvent non mis à jour, constituent des portes d'entrée privilégiées pour les attaquants. La modernisation (refactoring) ou l'isolement strict de ces systèmes est une priorité absolue.
2. La surface d'attaque : cette notion désigne l’ensemble des vulnérabilité et points d'entrée qu'un acteur malveillant peut exploiter pour infiltrer un réseau ou un système. Autrement dit, en plus d’impacter vos finances et de consommer les ressources graphiques de votre parc informatique, votre parc logiciel et vos abonnements offrent des opportunités de cyber attaques.
3. Vigilance sur la conformité (IA Art, RGPD, DSA) : Collecter trop de données augmente inutilement vos risques et votre empreinte carbone. Appliquez le principe de minimisation : ne stockez que le nécessaire, vérifiez la licéité de la collecte (surtout pour l'IA) et privilégiez l'interopérabilité pour éviter l'enfermement propriétaire (lock-in).
Le facteur humain : La compétence comme bouclier
La technologie ne suffit pas si les équipes ne sont pas formées. Sachant que près de 60 % des Français actifs ne possédent pas les compétences numériques de base, le risque humain (phishing, ingénierie sociale) reste critique.
- Formation continue : La sensibilisation ne doit pas être ponctuelle. Intégrez
la cybersécurité et le numérique responsable dans la culture d'entreprise.
- Shadow
AI et Poison AI : Soyez vigilants face à l'usage non contrôlé d'outils d'IA par
vos collaborateurs, qui pourrait exposer vos données sensibles ou introduire
des biais malveillants dans vos processus.
- Compétences doubles : Valorisez les profils capables de lier conformité (RGPD, NIS2, DORA) et efficacité énergétique. Une donnée bien gérée est une donnée sécurisée et sobre.
Les fonctions SI et RH jouent chacun un rôle clé
👤 Pour les DRH : Anticiper les talents et la culture
La cybersécurité est d'abord un enjeu de capital humain. Votre rôle est crucial pour transformer la culture d'entreprise et sécuriser les compétences.
- Recrutement et Diversité : Ne cherchez pas uniquement des profils techniques
purs. Privilégiez la diversité et les profils atypiques ; les entreprises
inclusives sont jusqu'à 39 % plus performantes.
- Recherchez
des "Ingénieurs-Orchestrateurs" capables de fédérer les équipes
techniques et métier autour d'une stratégie commune.
- Mise à
jour des compétences (Upskilling) : Intégrez la formation IA obligatoire
(conformément à l'AI Act) et la cyberhygiène dans le plan de développement des
compétences. Formez vos équipes à la vérification de la fiabilité des
informations et à la détection du phishing.
- Gestion du changement : Créez un environnement "sans reproche" où le
signalement d'une erreur ou d'un doute est encouragé. Associez les
représentants du personnel aux choix des nouveaux outils pour garantir
l'adhésion et instaurer un droit à la déconnexion clair pour préserver la santé
mentale.
- Marque employeur : Valorisez vos pratiques de "Numérique Cyber Responsable" (sobriété, éthique, sécurité) pour attirer les talents sensibles à ces enjeux.
💻 Pour les DSI et Référents Techniques : Sécuriser par la conception
Les pratiques responsable en gestion des infrastructure se concentrent sur maintenir la robustesse du système d'information tout en réduisant la complexité et la dette technique.
- Audit du Legacy et Modernisation : Identifiez immédiatement les systèmes dépendant de technologies obsolètes (COBOL, vieux ERP). Planifiez leur refactoring pour éliminer les failles de sécurité et optimiser leur consommation énergétique, ou isolez-les strictement du réseau principal.
- Architecture et Souveraineté : Adoptez une approche "Security-by-Design" en maîtrisant les couches basses (OS, microprocesseurs). Privilégiez les standards ouverts et l'open source pour éviter le lock-in, tout en auditant la chaîne d'approvisionnement de vos fournisseurs (conformité NIS2/DORA).
- Hygiène numérique et Supervision : Généralisez l'authentification forte (MFA) – encore trop rare en PME – et segmentez le réseau pour isoler les systèmes industriels (OT) des réseaux administratifs (IT). Externalisez la supervision (SOC) pour bénéficier d'une veille 24/7 sans alourdir vos équipes internes.
- Gestion de la donnée : Mettez en place une gouvernance stricte des données (minimisation, traçabilité). Assurez-vous que les données utilisées pour entraîner vos IA internes sont "propres" et licites.
Par où commencer ? Découvrir les programmes et dispositifs BPI france, Auvergne Rhone Alpes Entreprises et l’ANSSI
webinaire et restitution soutenu grâce au projet INTRI