Une cyber-attaque coûte 1,2% du chiffre d’affaires

La cybercriminalité est-elle un sujet de préoccupation majeure pour toutes les entreprises ? Si ce n’est pas encore le cas, il est urgent de se pencher sur la question, a rappelé Grant Thornton lors d’une matinale d’IMA France.

Face à une attaque informatique, «la pire réaction serait l’immobilisme», souligne Jocelyn Grignon, associé IT Risk Services Grant Thornton. Trop souvent l’entreprise sous-estime la valeur de ses actifs qui justifierait une cyber-attaque. En revanche, l’assaillant détecte les faiblesses du système et s’attaque au maillon faible. Organisé, le cyber-attaquant dispose des ressources et des compétences pour agir. Ses motivations peuvent être de divers ordres : gain financier (avec notamment les attaques au virement du président), propriété intellectuelle (espionnage), propagande ou croisade morale. Généralement les attaques en provenance de Russie visent les informations financières personnelles, tandis que celles émanant de Chine ciblent la propriété intellectuelle, explique Lionel Benao, manager IT Risk Services Grant Thornton. Environ 61% des attaques relèvent du cyber-crime, 27% des «hacktivistes» et 7% de l’espionnage.

Un coût de 300 milliards de dollars

Sur les douze derniers mois, plus de 15% des entreprises dans le monde ont subi une cyber-attaque, pour un coût total de 300 milliards de dollars. En moyenne, Grant Thornton estime que se remettre d’une cyber-attaque coûte environ 1,2% du chiffre d’affaires, dont 31% en pertes de clients et 31% en investigation et expertise informatique.

La défense s’appuie sur trois piliers : les individus, les processus et la technologie. La société doit sensibiliser les utilisateurs finaux, former les professionnels de sécurité, mettre en place des pare-feu, protéger le réseau bureautique, mais surtout elle doit identifier ses données les plus critiques et les protéger. Avec la multiplication des cyber-attaques et le développement du cloud, une vraie réflexion doit être menée sur la politique que veut mettre en œuvre la société. Les organisations doivent adopter une attitude proactive, et surveiller le cyber espace sur ce qui se dit sur elle (sites professionnels, réseaux sociaux, sites underground…), mais aussi apprendre à gérer la crise quand elle arrive. Notamment avec la montée en puissance des «rançongiciels», pour récupérer des données volées. Sans oublier la démarche assurancielle à inscrire dans l’ADN de la gestion du cyber-risque.