Début 2013, le ministre américain de la Justice Eric Holder publiait un rapport sur le piratage en ligne dans lequel il affirme que les entreprises sont réparties en deux catégories : celles qui ont été piratées et le savent, et celles qui ont été piratées et l’ignorent.
En mars, le directeur du renseignement national des États-Unis, le général James Clapper, déclare devant le Congrès américain que le pays est confronté à « une nouvelle menace numéro un ». « Il ne s’agit ni d’armes nucléaires, ni de terrorisme mais de cyber-attaque. » J. Clapper était accompagné de Keith Alexander, général quatre étoiles à la tête du Cyber-commandement américain, qui déclare que la cyber-criminalité représente le plus grand transfert de richesses de l’histoire.
La plupart des activités de cyber-criminalité pointées du doigt par les experts prennent la forme de cyber-espionnage. Avant, l’espionnage impliquait le recrutement d’une personne d’un autre pays pour qu’elle espionne à votre solde. Vous la payiez grassement, elle glanait quelques informations mais finissait toujours par se faire attraper ou tuer. C’était hasardeux. Mais avec le cyber-espionnage, les espions agissent depuis leur domicile, à Shanghai ou à Kiev, et piratent les systèmes des entreprises américaines, européennes et japonaises, ciblant des données et plans de R&D.
J’ai vu récemment une entreprise dépenser US$1,3 milliard et passer huit ans sur un projet de R&D, tout cela pour se faire pirater et voler l’ensemble de ses recherches par des hackers chinois en un après-midi. Et il ne s’agit pas uniquement de R&D. Chaque entreprise détient des informations précieuses : des listes de clients, les plans de nouveaux produits, etc. Qu’en est-il de ces pare-feux, ce système antivirus et ce système de prévention d’intrusion que vous avez acheté ? Aucune de ces protections n’empêche les pirates de pénétrer votre système et de voler les joyaux de la couronne.
En tant qu’entreprise, que pouvez-vous faire pour lutter contre la cyber-criminalité et le cyber-espionnage ? D’abord, user de votre poids et faites entendre votre voix afin de mettre en place une technologie plus efficace qui fonctionne. Pour défendre notre réseau, nous utilisons la même génération de systèmes qu’en 1998.
Je conseille à mes clients d’arrêter de raisonner en termes de périmètre de défense. Arrêtez de penser que les antivirus, pare-feux et autres systèmes de détection vous protègeront de toute intrusion. Concentrez-vous plutôt sur deux points : Quels sont les joyaux de votre entreprise ? Et quel est le pire des scénarios ? Chaque fois que je fais cet exercice dans une entreprise, j’obtiens une réponse différente de celle qu’attendait le PDG.
Déterminez quelles sont vos données les plus critiques et où elles sont stockées, puis efforcez-vous de les protéger. Une fois ces données identifiées, déterminez le pire scénario. Il peut s’agir de la perte de ces données ou d’autre chose. Concevez des systèmes visant à minimiser et empêcher ces pertes et à pallier au mieux toute attaque. Puis préparez-vous. Trop d’entreprises s’aperçoivent qu’elles ont été piratées sans s’y être prémunies. Elles n’ont jamais analysé leur situation. Ne faites pas de votre première situation de crise LA situation de crise : traitez-la avant que ce désastre ait lieu. Parce que ce n’est qu’une question de temps.
