Un article du journal Les Affaires a récemment attiré mon attention. Dans le cadre de mon travail avec MGP Conseils, j’assiste des PME avec des besoins technologiques stratégiques, mais quand même majoritairement opérationnels. La maîtrise du « terrain » est importante, mais il est bon parfois de prendre un peu d’altitude pour avoir une vue macro sur le sujet. Cet article est très intéressant à cet effet.

Les cyberattaques contribuent de plus en plus à la montée des conflits mondiaux comme moyen de guerre sans déclaration formelle. Le caractère intangible et souvent caché rend difficile les interceptions et les recours vers les fautifs.

Plusieurs pays, dont le Canada, renforcent leurs capacités de cyberdéfense, tandis que les objectifs des cyberopérations varient, englobant l’espionnage, l’économie, le sabotage et le financement. Le contexte entraîne des changements législatifs, comme les certificationspour les fournisseurs de services travaillant avec des gouvernements (ISACA, CerNexus, CWNP, etc.), et des lois sur la protection des cybersystèmes essentiels.

Sur le plan technologique, l’évolution de l’intelligence artificielle et son utilisation potentielle par les criminels, change complètement le paysage. La puissance, la rapidité et la portée des attaques sont multipliées exponentiellement et elles fragilisent des systèmes qu’on croyait solides telles que la blockchain et les cryptages de haut niveau.

En termes de tendances, l’article met en avant quatre points clés :

Tendance 1 – Les techniques de cyberguerre

Les cyberattaques deviennent accessibles aux criminels locaux, comme illustré par l’histoire de NotPetya. La cyberassurance va donc passer d’une dépense secondaire à une dépense essentielle pour les entreprises.

Tendance 2 – Cybercrime « as a service »

Le cybercrime devient un processus de chaîne, impliquant divers rôles, permettant aux amateurs de participer à des attaques complexes, compliquant ainsi les poursuites judiciaires. Une forme de démocratisation des cyberattaques où, selon l’expression anglaise « honor among thieves », il existe une certaine déontologie. Comme le montre l’attaque par rançongiciel d’un hôpital pour enfant en décembre 2022 où LockBit, le franchiseur des attaquants, a immédiatement remis les clés de décryptage à l’institution et banni leur partenaire, car cela enfreignait leurs règles.

Tendance 3 – Cryptage, extorsion et législation

Les criminels menacent de publier des données plutôt que de simplement les chiffrer, incitant les entreprises à être vigilantes et à ne pas céder aux propositions d’ententes à l’amiable. On voit trop souvent dans les films d’action le policier qui accepte de poser son arme devant un malfaiteur et son otage. Dans la réalité, jamais cela ne se produit, car vous devenez vous-mêmes vulnérables et perdez votre levier dans la situation. En tant que PME, il faut donc être préparé à ce genre d’événement et avoir des contingences en cas d’attaques, car une très grande partie des victimes ne reçoivent jamais leurs données après avoir payé la rançon…

Tendance 4 – La protection de la vie privée, un différentiateur important

La sensibilisation à la vie privée augmente, avec une demande croissante de transparence quant à l’utilisation des données. Les entreprises non transparentes risquent des sanctions et des actions collectives. La loi 25 qui arrive à sa dernière échéance en septembre 2024 et le plus sévère Règlement général sur la protection des données (RGPD) de l’Union européenne en sont de bons exemples. Je vois malheureusement beaucoup d’entreprises qui font encore l’autruche malgré les nombreuses ressources…

Tendance 5 – Tout le monde vend de la cybersécurité

En raison du risque généralisé de cyberattaques, la cybersécurité devient essentielle pour toutes les entreprises, conduisant à une prolifération d’offres; il faut être vigilant dans le choix des partenaires de cybersécurité.

L’ensemble de ces tendances reflète un paysage complexe où la sécurité numérique, les implications légales et la protection de la vie privée deviennent des préoccupations cruciales pour les individus et les entreprises. Le gouvernement a sa part du gâteau dans tout ça, mais les PME également. Elles doivent prendre des mesures concrètes et rester un minimum à l’affût des changements géopolitiques qui pourraient l’impacter.

Comment ces tendances pourraient-elles influencer les politiques gouvernementales en matière de cybersécurité?

L’incident de cybersécurité qui a touché Météomédia en septembre dernier illustre comment même les organisations a priori non-intéressantes pour des malfaiteurs peuvent être la proie de cyberattaques. Voici quelques points à considérer :

1. Conséquences inattendues : Les organisations, y compris celles qui fournissent des services de prévisions météorologiques, peuvent être victimes de cyberattaques. Même si ces organisations ne traitent pas directement des données financières ou sensibles, la perturbation de leurs services peut avoir un impact sur de nombreux utilisateurs. Dans le cas de Météomédia, la panne a affecté la capacité des Canadiens à accéder à des informations météorologiques cruciales.
2. Fournisseurs tiers : L’incident a été attribué à un « tiers prestataire de logiciels ». Cela met en lumière le fait que les organisations peuvent être vulnérables aux actions de leurs partenaires ou fournisseurs, même si elles prennent des mesures de sécurité adéquates en interne. Cela souligne l’importance de surveiller attentivement les relations avec les tiers et de s’assurer qu’ils respectent également des normes de cybersécurité élevées.
3. Impact sur la confiance : Météomédia a dû s’excuser pour les inconvénients causés par l’incident. Les perturbations des services, même temporaires, peuvent ébranler la confiance des clients et des utilisateurs. Cela montre que la réputation des entreprises peut être sérieusement affectée par les cyberattaques, même si elles ne semblent pas être des cibles de choix pour les criminels.

Il est important de noter que les PME du Québec sont souvent plus vulnérables que les grandes entreprises en raison de ressources limitées en matière de cybersécurité. Elles peuvent être des cibles plus faciles pour les malfaiteurs, car elles ont souvent moins de défenses en place. Les PME devraient donc être conscientes de leur vulnérabilité et prendre des mesures pour renforcer leur cybersécurité, car elles peuvent être des cibles attrayantes pour des cybercriminels opportunistes.