Les TPE et PME sont au cœur de l’économie et jouent un rôle essentiel dans l’innovation et la création d’emplois sur nos territoires. Elles constituent également une cible de choix pour les cyberattaquants.
Lorsqu’on évoque les problématiques relatives à la cybersécurité, il est souvent difficile pour les plus petites entreprises de se sentir concernées. Dans l’imaginaire collectif, l’idée que les cyberattaques n’arrivent qu’aux grandes entreprises, et de manière générale, « qu’aux autres » est encore bien présente.
Pour autant, toutes les structures sont susceptibles d’être concernées par une cyberattaque : entreprises, associations, institutions, personnes privées… Si les cyberattaques sont souvent plus médiatisées dans les grosses entreprises ou les institutions, les TPE et les PME constituent pourtant une cible privilégiée des pirates.
Dans cet article, nous revenons sur les différentes raisons pour lesquelles ces petites et moyennes entreprises, souvent perçues comme « moins lucratives », constituent, pourtant, une cible de choix pour les pirates.
1. Une cybersécurité souvent négligée
Les pirates font des TPE et PME des cibles privilégiées des cyberattaques et profitent notamment du fait que la cybersécurité fait rarement partie des priorités des plus petites entreprises.
Ces dernières sont souvent confrontées à un manque de ressources sur les questions de cybersécurité. En effet, si les grandes entreprises ont majoritairement un budget dédié à leur sécurité informatique, ce n’est pas toujours (et même rarement) le cas des TPE et PME qui disposent de moins de ressources. Or, moins de ressources financières signifie souvent moins d’investissements dans des outils et des formations de sécurité.
2. Une protection souvent insuffisante
Les pirates profitent également du fait que les systèmes d’information des TPE et PME sont souvent moins bien protégés que ceux des grandes entreprises. Il y a moins de moyens techniques et humains dédiés à la sécurisation des réseaux et des échanges numériques.
Aussi, bon nombre de petites entreprises ne disposent pas :
- de politiques formalisées comme une politique de sécurité comportant une politique de sauvegarde, une politique de gestion des mises à jour, une politique de gestion des mots de passe, une politique de gestion des accès…
- d’outils nécessaires à la protection contre les cyberattaques comme des antivirus, des pare-feu, des VPN, des outils de sauvegarde ou des outils de sécurisation des échanges numériques comme Wysam.
- En outre, les TPE et PME n’ont pas toujours les moyens d’actualiser régulièrement leurs infrastructures et leurs logiciels. Or, les systèmes obsolètes sont souvent truffés de vulnérabilités et offrent ainsi des portes d’entrée faciles pour les cyberattaquants.
3. Des équipes moins formées aux questions de cybersécurité
Les plus petites entreprises peuvent aussi parfois penser qu’elles sont » trop petites pour être ciblées « et qu’elles n’intéressent pas les pirates. Cette conscience limitée des risques et menaces en ligne peut conduire à de la négligence et à rendre l’entreprise plus vulnérable. En effet, les petites et moyennes entreprises peuvent avoir tendance à peu investir dans la sensibilisation et la formation des équipes aux questions de cybersécurité et aux bonnes pratiques numériques. Or, la sensibilisation et la formation à ces questions constituent des outils particulièrement puissants pour lutter contre les cyberattaques.
4. Une cible rentable
Les cyberattaques perpétrées en masse contre les TPE et les PME peuvent générer des revenus intéressants : ransomware, vol de données personnelles ou confidentielles pour les revendre sur le dark net etc. Ces entreprises sont d’ailleurs plus sujettes au paiement des rançons, en raison notamment d’un niveau de sensibilisation aux questions de cybersécurité moins élevé.
Bien que petites, de nombreuses TPE et PME gèrent des données sensibles, que ce soit des informations financières, des informations personnelles, des données confidentielles ou des propriétés intellectuelles. Pour un cybercriminel, ces données peuvent avoir une grande valeur, soit pour les revendre, soit pour les utiliser dans des escroqueries ou des fraudes.
En outre, attaquer une TPE ou une PME peut aussi être un moyen d’atteindre une entreprise plus grande. Les cyberattaquants peuvent ainsi utiliser une petite entreprise comme tremplin pour nuire à une organisation plus importante avec laquelle elle travaille.
5. Des conséquences souvent dramatiques
Lorsqu’une TPE ou PME est victime d’une cyberattaque, les conséquences peuvent s’avérer particulièrement dramatiques. En effet, ces entreprises disposent souvent de moins de ressources pour y répondre. Cela implique des temps de ralentissement ou d’arrêt de l’activité plus longs et donc des pertes de chiffre d’affaires élevées.
Une cyberattaque occasionne également la plupart du temps des coûts, non planifiés, de gestion de la crise en matière de communication auprès de la clientèle, des fournisseurs et des équipes, ainsi que des coûts de prestation informatique pour mettre fin à la cyberattaque et effectuer la remise en service.
Comme nous l’avons vu ci-dessus, les TPE et PME sont également plus susceptibles de payer un rançon en cas en cas d’attaque de type ransomware. Le montant de ces rançons peut s’avérer particulièrement élevé.
En outre, les cyberattaques vont porter atteinte à la réputation de l’entreprise et peuvent occasionner une perte de confiance de la clientèle, des partenaires, des fournisseurs et des équipes. Les entreprises peuvent aussi s’exposer à des risques judiciaires si des obligations de sécurité à laquelle elles étaient soumises n’ont pas été respectées.
Les cyberattaques peuvent aussi impacter le patrimoine des TPE et des PME et occasionnant une diffusion ou un vol d’un savoir-faire, d’une base de données clients, des fichiers de travail, des contrats, des fichiers de facturation et comptabilité ou encore une perte d’avantage concurrentiel…
Ces conséquences peut s’avérer particulièrement dramatiques pour une TPE ou PME, qui sont souvent plus fragiles sur le plan financier. Ces cyberattaques peuvent ainsi occasionner une fermeture de l’entreprise dans les mois qui suivent une cyberattaque. Il est donc plus que nécessaire que les TPE et les PME s’emparent des questions relatives à la cybersécurité et investissent dans leur sécurité numérique.
6. Mon aide cyber : un outil au service de la cybersécurité des petites et moyennes entreprise
Mon aide cyber est un dispositif créé et encadré à par l’ANSSI qui permet aux entreprises qui le souhaitent de bénéficier gratuitement d’un diagnostic cyber de premier niveau d’1h30 réalisé par un réseau d’aidants formés par l’ANSSI.
Le diagnostic réalisé est neutre et sans démarche commercial de la part de l’aidant.
A l’issue du diagnostic, l’entreprise bénéficie d’une proposition de six mesures de sécurité à mener en priorité sur les 6 prochains mois et elle peut également bénéficier d’un suivi à 6 mois avec des conseils complémentaires.
L’objectif est de rendre la cybersécurité accessible à toutes les structures et de permettre aux structures les moins matures sur le plan de la sécurité numérique d’identifier quelles sont les mesures à mettre en œuvre en priorité pour se protéger contre les cyberattaques de masse et en particulier contre les rançongiciels.
