La récente fuite de données qui touche la Direction générale des Finances publiques (DGFiP) rappelle une réalité essentielle : aucune organisation n’est à l’abri d’un incident de cybersécurité. Et lorsqu’une donnée est dérobée, le risque ne s’arrête pas au moment de la fuite. 

En ce mois d’août, la DGFiP a confirmé que des acteurs malveillants avaient obtenu des accès illégitimes à son système d’information en juin et juillet, en utilisant des identifiants usurpés. Les investigations ont permis d’établir que des données concernant environ 678 000 particuliers et professionnels avaient été consultées ou extraites. Pour les entreprises, les informations concernées peuvent notamment comprendre la raison sociale et le numéro SIREN, ainsi que certaines données fiscales. 

Cette actualité est évidemment un sujet pour l’administration fiscale. Mais elle constitue aussi un rappel important pour toutes les organisations : entreprise, collectivité ou association, la protection des données ne peut plus être considérée comme un sujet purement informatique. 

Une fuite de données, ce n’est pas seulement une perte d’informations 

Lorsqu’on parle de fuite de données, on pense souvent à une liste de noms, d’adresses ou d’informations personnelles qui se retrouverait entre de mauvaises mains. 

Le problème est en réalité plus large : il concerne concrètement le patrimoine de l’organisation. 

Une donnée volée peut devenir une clé d’entrée pour une attaque ultérieure. Elle peut permettre à un cybercriminel de mieux connaître sa victime, de construire un message plus crédible ou de se faire passer pour un interlocuteur légitime. 

C’est précisément l’un des risques mis en avant à la suite de l’incident de la DGFiP : des informations fiscales réelles peuvent être utilisées pour rendre un e-mail, un SMS ou un appel frauduleux beaucoup plus convaincant. 

Imaginez par exemple qu’un fraudeur connaisse le nom de votre entreprise, son numéro SIREN, l’identité de son dirigeant ou certaines informations administratives. 

Il ne vous adressera plus nécessairement un message générique du type « Votre facture est en attente ». 

Il pourra construire un scénario beaucoup plus précis, plus crédible et donc potentiellement beaucoup plus dangereux. 

Les données de votre entreprise intéressent les cybercriminels 

Les entreprises disposent aujourd’hui d’un patrimoine numérique considérable. 

Fichiers clients, coordonnées bancaires, contrats, données RH, informations comptables, documents commerciaux, données fournisseurs, comptes utilisateurs, échanges par e-mail, documents stockés dans Microsoft 365 ou sur des serveurs… 

Toutes ces informations ont une valeur. 

Et contrairement à une idée encore largement répandue, il n’est pas nécessaire de détenir des données « secrètes » pour intéresser un cybercriminel. 

La combinaison de plusieurs informations apparemment anodines peut suffire à construire une attaque crédible. 

Un nom de dirigeant associé à une adresse e-mail, au nom d’un fournisseur et à une information financière peut, par exemple, fournir suffisamment de matière pour tenter une fraude au président ou une attaque par phishing ciblé. 

Le facteur humain reste au cœur des risques de cybersécurité 

L’incident de la DGFiP rappelle également l’importance de la protection des identifiants. 

Selon le ministère de l’Économie, les accès utilisés lors de l’incident reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. 

Cela illustre une règle fondamentale de la cybersécurité : un compte utilisateur compromis peut donner accès à bien plus qu’une simple boîte e-mail. (voir notre dernier article sur les bonnes pratiques en matière de cybersécurité) 

C’est pourquoi la sécurité des identités et des accès doit être considérée comme un pilier de la cybersécurité d’une organisation. 

Mots de passe robustes et uniques, authentification multifacteur, gestion des droits d’accès, comptes administrateurs protégés, suppression rapide des comptes inutilisés, supervision des connexions inhabituelles : autant de mesures qui contribuent à réduire le risque. 

Mais la technologie ne suffit pas. 

Les collaborateurs doivent également savoir reconnaître une tentative de phishing, comprendre pourquoi leurs identifiants sont précieux et savoir comment réagir lorsqu’ils ont un doute. 

Protéger ses données : une démarche à plusieurs niveaux 

La protection des données d’une entreprise ne repose donc pas sur un seul outil. 

Elle commence par une bonne connaissance de son système d’information : quelles données possédons-nous ? Où sont-elles stockées ? Qui peut y accéder ? Pendant combien de temps ? Que se passe-t-il si elles deviennent indisponibles ou sont dérobées ? 

Elle se poursuit par la mise en place de mesures techniques adaptées permettant de prévenir la fuite de données (DLP : Data Leak/Loss Prevention). 

 

Catégoriser les données 

Une première étape consiste également à catégoriser les données de l’organisation selon leur niveau de sensibilité. Toutes les informations n’ont en effet pas le même niveau de confidentialité ni les mêmes besoins de protection. On peut par exemple distinguer les données à diffusion libre, celles à diffusion interne et les données confidentielles ou sensibles. Cette classification permet ensuite de définir plus précisément qui peut accéder à chaque donnée, où elle peut être stockée ou partagée et quelles mesures de sécurité doivent lui être appliquées. 

Sécuriser les accès 

Les comptes utilisateurs constituent une cible privilégiée des cybercriminels. L’authentification multifacteur, une gestion rigoureuse des droits et une surveillance des accès permettent de limiter les possibilités d’intrusion. 

Protéger les postes et les serveurs 

Antivirus nouvelle génération, EDR, mises à jour, gestion des correctifs et supervision permettent de réduire les risques liés aux vulnérabilités et aux logiciels malveillants. 

Sécuriser la messagerie 

La messagerie reste l’un des principaux vecteurs d’attaque. Antispam, protection contre le phishing, analyse des pièces jointes et sensibilisation des utilisateurs doivent fonctionner ensemble. 

Sauvegarder les données 

Une sauvegarde ne protège pas directement contre une fuite de données, mais elle est essentielle pour pouvoir restaurer l’activité après un ransomware, une suppression accidentelle ou un incident majeur. 

Encore faut-il que les sauvegardes soient protégées, contrôlées et régulièrement testées. 

Superviser le système d’information 

La détection précoce d’un comportement inhabituel peut faire toute la différence. 

Une organisation qui sait ce qui se passe sur ses postes, ses serveurs, son réseau et ses comptes dispose de davantage de moyens pour détecter une compromission et réagir rapidement. 

Et si votre entreprise était victime d’une fuite demain ? 

C’est une question que les dirigeants et responsables informatiques devraient pouvoir se poser régulièrement. Dans cette éventualité, de nombreuses questions se posent :  

• Quelles données seraient exposées ? 
• Qui serait susceptible d’y accéder ? 
• Comment saurions-nous qu’une fuite a eu lieu ? 
• Qui faudrait-il prévenir ? 
• Comment communiquer ? 
• Comment protégerions-nous nos clients, nos collaborateurs et nos partenaires ? 
• Et surtout, combien de temps nous faudrait-il pour réagir ? 

La cybersécurité ne consiste pas à garantir qu’un incident n’arrivera jamais. Une telle garantie n’existe pas. 

Elle consiste à réduire la probabilité qu’un incident survienne, limiter son impact et être capable de réagir rapidement lorsqu’il se produit. 

Entreprises, collectivités, associations : vous êtes tous concernés 

Les cybercriminels ne ciblent pas uniquement les grandes entreprises. 

Une PME possède des données clients et fournisseurs. Une association détient des informations sur ses adhérents, ses bénévoles ou ses bénéficiaires. Une collectivité traite quotidiennement des données concernant ses administrés, ses agents et ses fournisseurs. 

La taille de la structure ne détermine pas la valeur des données qu’elle détient. 

Et une organisation moins bien protégée peut également apparaître comme une cible plus facile. 

C’est pourquoi la cybersécurité doit être adaptée à la réalité de chaque structure : son activité, son niveau de risque, ses données, ses utilisateurs et ses contraintes budgétaires. 

Proselis : protéger vos données avec une approche globale de la cybersécurité 

Chez Proselis, nous considérons la cybersécurité comme une démarche globale qui associe conformité IT, outils de protection et pilotage humain. 

Notre accompagnement peut notamment intégrer la protection des postes et des serveurs, la sécurité de la messagerie, l’EDR/MDR, la gestion des correctifs, la supervision, les sauvegardes, la protection des accès et la continuité d’activité. 

L’objectif n’est pas d’empiler les solutions de sécurité. 

Il s’agit de construire un dispositif cohérent, adapté à votre environnement informatique et capable d’évoluer avec les menaces. 

Proselis, ExpertCyber 3.1 : l’expertise en cybersécurité à Nantes, Savenay, Vannes et Saint-Nazaire 

Pour accompagner les entreprises, associations et collectivités dans leurs enjeux de cybersécurité, Proselis bénéficie du label ExpertCyber 3.1. (lien vers la page) 

Cette qualification constitue un repère pour les organisations qui recherchent un professionnel capable de les accompagner dans la sécurisation de leur système d’information et dans la gestion des incidents de cybersécurité. 

Face à la multiplication des fuites de données et des cyberattaques, disposer d’un partenaire informatique capable de prendre en charge la sécurité de votre système d’information devient un véritable enjeu stratégique. 

La meilleure donnée à protéger est celle dont on maîtrise l’accès 

La fuite de données à la DGFiP nous rappelle une chose essentielle : la cybersécurité ne se résume pas à empêcher un pirate d’entrer. 

Il faut également savoir qui peut accéder aux données, avec quels droits, depuis quel équipement et dans quelles conditions. 

Il faut surveiller les accès, protéger les identités, sensibiliser les collaborateurs, sauvegarder les informations essentielles et être capable de détecter rapidement une anomalie. 

Car une donnée volée peut continuer à produire des risques longtemps après l’attaque. 

Protéger ses données, c’est donc protéger son entreprise, ses collaborateurs, ses clients et la confiance qu’ils lui accordent. 

Proselis accompagne les entreprises, collectivités et associations dans la mise en place d’une stratégie de cybersécurité adaptée à leurs enjeux, à Nantes, Savenay, Saint-Nazaire et Vannes. 

Votre système d’information est-il réellement protégé contre le risque de fuite de données ?