L’ère numérique apporte son lot de défis, et la récente cyberattaque envers une Entreprise de Services Numérique, COAXIS, en est un bon exemple. Le 8 décembre dernier, cet important hébergeur d’infrastructures informatiques a été la cible d’une attaque majeure, touchant plus de 1 200 cabinets d’expertise-comptable et par répercussion, la comptabilité d’environ 350 000 autres entreprises, entraînant une indisponibilité totale de ses services.
En effet, les experts-comptables sont une cible privilégiée pour les hackers en raison du volume considérable de données traitées et de la diversité, voire de la sensibilité des informations détenues (données comptables, sociales, personnelles, fiscales et patrimoniales).
Une prise de conscience accélérée
Cette cyberattaque de grande ampleur a fait prendre conscience aux professionnels du chiffre, des impacts immédiats et à long terme sur leur activité de l’indisponibilité de leur patrimoine informationnel. Pour autant, COAXIS, qui est titulaire de la certification HDS (Hébergeur de Données de Santé), n’a pas connu de pertes de ses données clients, ce qui est un point important à souligner malgré l’arrêt temporaire d’activité.
La dépendance externe aux prestataires informatiques
Contrairement à une idée reçue, la sécurité informatique ne se limite pas uniquement au LAN (Local Area Network) c’est-à-dire au périmètre physique de l’entreprise. Elle s’étend également aux fournisseurs et sous-traitants de solutions informatiques, ce qui augmente significativement les possibilités d’attaques.
En effet, en 2022, la moitié (51%) des attaques de ransomwares visaient spécifiquement les données stockées dans des applications SaaS (donc dans le « cloud »). Désormais, où que soient conservées les données des entreprises, celles-ci peuvent être victime de l’industrie des cyber criminels.
En réponse, il est nécessaire de considérer les enjeux de cybersécurité lors du choix de ses sous-traitants, en veillant à ce que les dispositifs de sécurité des données soient bien mis en œuvre.
Cette analyse des dispositifs informatiques n’est toutefois pas le cœur de métier des experts comptables (ou autres professions règlementées).
Alors, à qui faire confiance ?
L’accompagnement de votre DPO (Délégué à la protection des données) externalisé peut jouer un rôle déterminant à cet égard.
Souvent, les utilisateurs de solutions/logiciels informatiques, lors du choix d’une solution métier, se concentrent principalement sur l’ergonomie et la facilité d’utilisation des applications.
Bien que compréhensible, cela ne suffit pas au regard de la protection des données et du RGPD.
Les experts-comptables, tout comme la plupart des chefs d’entreprise, ont tendance à accorder une confiance aveugle à leurs prestataires, leur confiant leur sécurité sans se poser de questions, oubliant ainsi leur propre responsabilité en matière de protection de leurs données.
Votre DPO sera un allié précieux pour vous guider dans la formulation des questions essentielles liées au traitement et à la sécurité de vos données : Où sont hébergées vos données ? Comment sont-elles stockées ? Quelle est leur durée de conservation ? Des exercices de restauration des données sont-ils effectués ? etc … autant de questions à se poser.
L’interdépendance des systèmes d’information
Lorsque les entreprises dépendent de leurs sous-traitants, la sécurité devient une chaîne : un maillon faible compromet l’ensemble.
Dans le cas de la cyberattaque COAXIS, le directeur général a confirmé qu’en 48 heures, les équipes de COAXIS et les forces de l’ordre spécialisées en cybercriminalité ont identifié le point d’entrée des attaquants. Ces derniers ont obtenu les identifiants et mots de passe d’un client, accédant ainsi de manière « légitime » sans usurpation d’identité.
Alors, que faire, et comment se préparer au mieux ?
La préparation est vitale. Une approche proactive est la clé pour renforcer sa résilience face aux menaces.
- Dans le périmètre du Système d’Information de votre cabinet /office/entreprise, il est essentiel d’investir dans tous les outils et solutions de cybersécurité aujourd’hui disponibles qui vous aideront à déjouer les différentes attaques : firewall, antivirus, EDR et SOC, scan du SI sont les piliers de la pérennité de votre système d’information et donc de votre entreprise.
- La formation et la sensibilisation par des professionnels de l’ensemble des équipes des entreprises est un préalable incontournable pour connaitre la bonne « hygiène numérique ». Le message porté par un professionnel extérieur à votre entité a toujours plus de portée que le message relayé en interne.
- La mise en place d’un plan de continuité, puis de reprise de l’activité est aussi cruciale pour assurer une reprise rapide en cas de cyberattaque. La rapidité avec laquelle l’incident sera traité aura un impact significatif sur la préservation de votre entreprise et de sa survie. Il convient de définir des mesures et des process clairs pour être prêt à réagir. Un plan bien pensé peut faire toute la différence. Ce plan doit couvrir des aspects tels que la formation des collaborateurs, les actions à mener, par qui, les personnes à contacter et les numéros utiles en cas de violation de données, la mise en place d’un protocole de communication à destination de vos clients… Prévoir, c’est accepter de se faire accompagner quand arrive l’inéluctable.
Cyberattaque : comprendre les impacts
Les retombées d’une cyberattaque sont dévastatrices. Une seule intrusion dans le système peut entraîner :
– la perturbation voire l’arrêt des services et donc potentiellement une perte d’exploitation consécutive de plusieurs semaines, voire plusieurs mois.
– l’inaccessibilité, la destruction, le vol ou la fuite de données
– des dommages collatéraux pour les clients finaux qui sont également impactés
– des pertes financières qui incluent les frais de gestion de crise, de remise en état des systèmes, de récupération des données et des mesures de sécurité renforcées (ces frais sont souvent couverts par les assurances mais également plafonnés)
– des atteintes à l’image, à la réputation
– des risques juridiques : vous pourriez être soumis à une sanction ou à une amende de la part de la CNIL, voire être confronté à une action en justice initiée par un client.
Enfin, dans le cadre de l’entrée en vigueur de la directive NIS 2 à l’automne prochain, il est prévu que les organes de direction puissent être tenus pour responsables de la non-conformité des mesures de prévention mises en œuvre au sein de la société.
Notre accompagnement
La cybersécurité est une discipline à part entière et ne doit pas être considérée comme une simple extension des services d’infogérance.
ADNOV fait le choix de toujours recourir aux services des meilleurs experts pour vous les proposer. Plusieurs solutions de cybersécurité efficaces existent. En tant que partenaire de confiance des professions réglementées, ADNOV offre tout un ensemble de solutions (outils, formations, sensibilisation, prestation de conseils) pour aider les notaires, les cabinets d’expertise-comptable et les commissaires aux comptes à se prémunir contre les cybermenaces les plus complexes.
Pour plus d’informations, nous vous invitons à contacter notre Service Client au 0 800 710 620 (services & appels gratuits). Nous sommes là pour répondre à vos questions et vous accompagner dans le renforcement de votre sécurité numérique.