Télétravail : comment protéger votre PME des risques informatiques ?

Le télétravail : un facteur de risque pour la cyber-sécurité

Les chiffres parlent d’eux-mêmes : 50% des petites et moyennes entreprises françaises ont été la cible d'une cyberattaque en 2020⁽¹⁾. Pourtant, seules 39% des entreprises disposent d’une triple protection : antivirus, pare-feu et anti-spam⁽²⁾. L’expansion massive du télétravail a révélé les failles de sécurité de nombreuses entreprises et a provoqué une forte hausse des actes malveillants.

Lorsque les salariés travaillent de la maison, ils changent d'environnement et ils changent aussi de réflexes. Ils peuvent se connecter depuis un ordinateur personnel mal protégé ou via une tablette familiale qui passe de main en main au sein du foyer, exposant ainsi des données confidentielles à des personnes non autorisées. Sans compter que les logiciels tiers sont nombreux à être utilisés pour des visioconférences ou échanger des messages instantanés. Et ceux-ci peuvent aussi représenter une source de danger.

Le premier des risques liés au télétravail tient à la perméabilité entre les terminaux numériques personnels et professionnels, mais on peut aussi citer les échanges d'informations non autorisés, et un réseau Wi-fi pas ou mal sécurisé. Sans compter qu'un VPN installé sur un ordinateur donne parfois un faux sentiment de sécurité, conduisant ainsi à réduire la vigilance des utilisateurs.

Les cyber-risques pour les PME

Il n'est jamais agréable de parler de menaces, mais les connaître est la première étape pour mieux les combattre.

Le ransomware (ou rançongiciel)

C'est un logiciel qui chiffre les fichiers d’un ordinateur et qui nécessite le paiement d’une rançon (généralement via une cryptomonnaie comme le bitcoin) pour le déverrouillage. Un simple clic sur un lien vérolé ou un fichier infecté reçu par mail peut mener à l’installation du ransomware à l’insu de l’utilisateur. Une fois installé et déployé, il peut même contaminer toutes les machines connectées au réseau voire remonter jusqu’au site central de l’entreprise. Résultat : impossible de se servir de son ordinateur, d’accéder à son fichier client, ses applications ou ses documents. 

Le vol de données

Votre PME gère beaucoup de données personnelles. C'est le cas de celles de vos employés, de vos fournisseurs, vos données bancaires, votre fichier de prospects, votre CRM, les communications de votre comité de direction, etc. Or, ces données intéressent les pirates informatiques qui peuvent ensuite les revendre en ligne. Une activité lucrative, particulièrement lorsque ces dernières sont mal protégées et facilement accessibles. 

L'Advanced Persistent Threat

L’Advanced Persistent Threat (APT - ou « menace persistante avancée ») est une approche qui implique des infiltrations longues et discrètes visant à récupérer des documents ou des données confidentielles ciblées. L’APT peut cibler des PME, en particulier si celles-ci sont des sous-traitantes ou partenaires de groupes ayant une importance stratégique, ou si elles sont détentrices d’un savoir-faire, d’un brevet ou d’une technologie en particulier.

Le phishing

Le phishing (ou hameçonnage en français) reste une menace courante. Vous recevez un e-mail qui semble venir d’une banque, d’une application Cloud ou de votre fournisseur d’accès internet, vous demandant de vous identifier pour régler un problème urgent. Le lien renvoie vers un site en tout point semblable au site officiel, mais appartenant au pirate qui récupère alors vos identifiants. 

Que faire pour limiter les risques cyber liés au télétravail ?

La plupart des attaques numériques nécessitent l'intervention d'un utilisateur. C'est ce fameux clic sur un lien corrompu qui peut alors mener à la propagation d'un virus sur l'ordinateur ou le réseau. Peu d'employés sont réellement experts en cybersécurité, et une erreur humaine peut avoir des conséquences importantes pour une PME. Pendant le premier confinement au printemps 2020, plus de la moitié des employés en télétravail ont utilisé leurs appareils personnels, et la même proportion n’a reçu aucune formation en matière de cybermenaces ⁽³⁾. Responsabiliser et former ses collaborateurs est indispensable pour protéger ses communications et prévenir de nombreux incidents. Exemples d'actions à mettre en place :

1 - L'identification des emails de type phishing  

Apprendre à vérifier la provenance du message, ne jamais cliquer sur un lien pour se connecter à un organisme connu sans passer par le site officiel, et toujours prendre l'initiative de contacter le destinataire au téléphone si une demande semble étrange ou pressée. Des simulations d’envoi de vagues de faux mails de phishing permettent de sensibiliser efficacement les collaborateurs par la pratique.

2 - L'installation d'applications mobiles 

Connaître les risques pour ne jamais télécharger des applications mobiles en dehors des marketplaces officielles (App Store pour iOS et Google Play pour Android) : même sur ces sites officiels, toutes les applications ne sont pas bonnes à télécharger et un outil de MDM (Mobile Device Management) peut vous être d'une grande aide pour les identifier et les bloquer à distance sur tout type d’appareil mobile.

3 - Une connexion Wi-Fi 

S'assurer de ne jamais se connecter à un réseau public, quel que soit l'endroit. C'est le meilleur moyen pour qu'un pirate accède aux données de votre PME, incluant coordonnées bancaires, mots de passe et fichiers présents sur votre téléphone ou tablette. Une connexion 3G/4G sera beaucoup plus sécurisée et difficile à pirater ou l’utilisation de connexion VPN de confiance maitrisés par l’entreprise.

Le sujet de la cybersécurité est crucial. Il est donc très important pour les PME de se faire accompagner par des professionnels. Ces derniers peuvent agir sur plusieurs grands leviers : la sécurité de votre infrastructure technique, la formation et sensibilisation de vos équipes, et la mise en place d'outils pour sécuriser vos données et vos communications. Dans un monde où le numérique est devenu incontournable, la sécurité informatique de votre PME l’est tout autant.