L’ère numérique apporte son lot de défis, et la récente cyberattaque contre les experts-comptables en est une illustration marquante.
Le 8 décembre 2023, un important hébergeur d’infrastructures informatiques a été la cible d’une attaque d’envergure. Cette cyberattaque a paralysé les services de plus de 1 200 cabinets d’expertise-comptable, impactant indirectement la comptabilité de près de 350 000 entreprises clientes.
L’indisponibilité totale des services pendant plusieurs jours a mis en lumière la fragilité du secteur face aux menaces numériques.
Les experts-comptables sont aujourd’hui des cibles privilégiées pour les hackers. Cela s’explique par le volume important de données qu’ils traitent, mais aussi par la diversité et la sensibilité des informations détenues : données comptables, sociales, fiscales, personnelles et patrimoniales.
Une prise de conscience accélérée
Cette cyberattaque de grande ampleur a fait prendre conscience aux professionnels du chiffre des impacts immédiats et durables que peut avoir l’indisponibilité de leur patrimoine informationnel. Pourtant, un fournisseur tiers, certifié HDS (Hébergeur de Données de Santé), n’a pas connu de perte de données clients. Ce point est essentiel à souligner, malgré l’arrêt temporaire d’activité.
La dépendance externe aux prestataires informatiques
Contrairement à une idée reçue, la sécurité informatique ne se limite pas uniquement au LAN (Local Area Network), c’est-à-dire au périmètre physique de l’entreprise. Elle s’étend également aux fournisseurs et sous-traitants de solutions informatiques. Cela augmente significativement les possibilités d’attaques.
En 2022, la moitié des attaques de ransomwares (51 %) visaient spécifiquement les données stockées dans des applications SaaS, autrement dit dans le cloud. Aujourd’hui, peu importe l’endroit où sont conservées les données des entreprises, elles restent des cibles potentielles de l’industrie cybercriminelle.
Face à cela, il est essentiel de prendre en compte les enjeux de cybersécurité dès le choix d’un sous-traitant. Il faut s’assurer que les dispositifs de sécurité sont réellement mis en œuvre. Mais cette évaluation n’est pas le cœur de métier des experts-comptables ni des autres professions réglementées.
Alors, à qui faire confiance ?
L’accompagnement d’un DPO (Délégué à la Protection des Données) externalisé peut jouer un rôle décisif. Trop souvent, les utilisateurs choisissent une solution informatique sur des critères comme l’ergonomie ou la facilité d’usage. Ce réflexe est compréhensible, mais il ne suffit pas au regard des enjeux liés à la protection des données et au respect du RGPD.
Beaucoup d’experts-comptables, comme d’autres dirigeants, accordent une confiance aveugle à leurs prestataires. Ils leur délèguent la sécurité de leurs données sans poser les bonnes questions. Pourtant, la responsabilité de la protection des données leur revient toujours.
Le DPO est là pour aider à poser ces questions clés : où sont hébergées vos données ? Comment sont-elles stockées ? Quelle est leur durée de conservation ? Des tests de restauration sont-ils effectués ? Toutes ces interrogations doivent être anticipées.
L’interdépendance des systèmes d’information
Lorsque les entreprises dépendent de leurs sous-traitants, la sécurité devient une chaîne : un maillon faible compromet l’ensemble.
Dans le cas de la cyberattaque, le directeur général a confirmé qu’en 48 heures, les équipes de cette entreprise et les forces de l’ordre spécialisées en cybercriminalité ont identifié le point d’entrée des attaquants. Ces derniers ont obtenu les identifiants et mots de passe d’un client, accédant ainsi de manière « légitime » sans usurpation d’identité.
Alors, que faire, et comment se préparer au mieux ?
La préparation est vitale. Une approche proactive est la clé pour renforcer sa résilience face aux menaces.
- Dans le périmètre du Système d’Information de votre cabinet /office/entreprise, il est essentiel d’investir dans tous les outils et solutions de cybersécurité aujourd’hui disponibles qui vous aideront à déjouer les différentes attaques : firewall, antivirus, EDR et SOC, scan du SI sont les piliers de la pérennité de votre système d’information et donc de votre entreprise.
- La formation et la sensibilisation par des professionnels de l’ensemble des équipes des entreprises est un préalable incontournable pour connaitre la bonne « hygiène numérique ». Le message porté par un professionnel extérieur à votre entité a toujours plus de portée que le message relayé en interne.
- La mise en place d’un plan de continuité, puis de reprise de l’activité est aussi cruciale pour assurer une reprise rapide en cas de cyberattaque. La rapidité avec laquelle l’incident sera traité aura un impact significatif sur la préservation de votre entreprise et de sa survie. Il convient de définir des mesures et des process clairs pour être prêt à réagir. Un plan bien pensé peut faire toute la différence. Ce plan doit couvrir des aspects tels que la formation des collaborateurs, les actions à mener, par qui, les personnes à contacter et les numéros utiles en cas de violation de données, la mise en place d’un protocole de communication à destination de vos clients… Prévoir, c’est accepter de se faire accompagner quand arrive l’inéluctable.
Cyberattaque : comprendre les impacts
Les retombées d’une cyberattaque sont dévastatrices. Une seule intrusion dans le système peut entraîner :
- la perturbation voire l’arrêt des services et donc potentiellement une perte d’exploitation consécutive de plusieurs semaines, voire plusieurs mois.
- l’inaccessibilité, la destruction, le vol ou la fuite de données
- des dommages collatéraux pour les clients finaux qui sont également impactés
- des pertes financières qui incluent les frais de gestion de crise, de remise en état des systèmes, de récupération des données et des mesures de sécurité renforcées (ces frais sont souvent couverts par les assurances mais également plafonnés)
- des atteintes à l’image, à la réputation
- des risques juridiques : vous pourriez être soumis à une sanction ou à une amende de la part de la CNIL, voire être confronté à une action en justice initiée par un client.
Enfin, dans le cadre de l’entrée en vigueur de la directive NIS 2 à l’automne prochain, il est prévu que les organes de direction puissent être tenus pour responsables de la non-conformité des mesures de prévention mises en œuvre au sein de la société.
Notre accompagnement
La cybersécurité est une discipline à part entière et ne doit pas être considérée comme une simple extension des services d’infogérance.
ADNOV fait le choix de toujours recourir aux services des meilleurs experts pour vous les proposer. Plusieurs solutions de cybersécurité efficaces existent. En tant que partenaire de confiance des professions réglementées, ADNOV offre tout un ensemble de solutions (outils, formations, sensibilisation, prestation de conseils) pour aider les notaires, les cabinets d’expertise-comptable et les commissaires aux comptes à se prémunir contre les cybermenaces les plus complexes.
Pour plus d’informations, nous vous invitons à contacter notre Service Client au 0 800 710 620 (services & appels gratuits). Nous sommes là pour répondre à vos questions et vous accompagner dans le renforcement de votre sécurité numérique.