Il y a quelques mois, le bureau d’étude américain Gartner indiquait que 33% des entreprises à l’échelle mondiale avaient besoin d’une période allant jusqu’à deux ans pour découvrir une tentative d’attaque sur leurs systèmes. 55% d’entre elles ne parviendraient jamais à en identifier la cause.

Sur le thème «Cybersecurity for CEO’s», Telindus organisait chez Kneip, son futur voisin, une après-midi dédiée à la sécurité informatique comme préoccupation stratégique.

Si les hackers sont créatifs, nous devons l’être aussi.

Bob Kneip, Kneip

Jean-Luc Brach

Le fil rouge de la rencontre: apprendre les uns des autres et faire évoluer la maturité du marché. «Nous partageons tous les mêmes craintes. Le partage de données est sans cesse plus important, avec ses clients, partenaires ou en interne. Si les hackers sont créatifs, nous devons l’être aussi. Certaines solutions doivent se trouver ensemble», introduit Bob Kneip, CEO et fondateur de Kneip. «La question n’est plus s’il y aura une attaque mais quand et comment, et avec quelles conséquences», partage Jean-Luc Brach, CIO de Kneip, dont l’équipe IT a récemment participé à un test de cybersécurité à grande échelle ayant réuni 300 entreprises sous l’égide de la Commission européenne.  

Se tester et s’entraider

Dans un contexte fait d’outils connectés et de systèmes de plus en plus ouverts, le sujet réclame la coopération de tous les départements, de la finance au marketing. Chaque employé, porte d’entrée potentielle pour les cybercriminels, est concerné. Twitter, e-mails, compte Facebook, appels, pièces jointes à télécharger ou fils vidéo font partie des voies d’accès pour les cybercriminels, de mieux en mieux préparés et organisés.  

Nous sommes tous des cibles potentielles.

Gérard Hoffmann, Telindus

«Nous sommes tous des cibles potentielles, qu’il s’agisse d’usurpation de compte Linkedin, de malware ou de piratage de Dropbox», poursuit Gérard Hoffmann, CEO de Telindus, devant un parterre de 80 pairs. «Même la Nasa s’est fait hackée. Aucune organisation n’est à l’abri. Luxembourg ne fait pas exception. S’il n’y a pas de risque zéro ni de garantie de protection à 100%, ce qu’on doit faire, c’est viser le maximum, préparer nos équipes et s’entraider.»

Pascal Steichen

Pour Pascal Steichen, CEO de la plateforme publique Securitymadein.lu, l’apprentissage le plus important se fait dans la pratique, en testant ses systèmes et en mettant en place des scénarios de «disaster recovery». Seule, la prévention ne suffit pas.

Rien ne remplace le test en conditions réelles.

Pascal Steichen

«Très visibles à l’extérieur et visage de leurs organisations, les CEO délèguent beaucoup et sont au courant de tout, ce qui en fait des victimes toutes trouvées. Les vulnérabilités peuvent à la fois être techniques, humaines et organisationnelles. C’est toute une éducation qui doit se construire pour être prêts et bien réagir. Rien ne remplace le test en conditions réelles», explique-t-il. En 2016 (jusqu’au 1^er novembre), son organisation a traité 890 crises, dont 50% avaient des motifs financiers, 40% étaient liées à l’espionnage et 10% à un risque de réputation.

Le cybercrime est un business comme un autre. 

Philippe Roggeband, Cisco

Évolutives dans certains cas et s’organisant en coulisse sur de longs mois dans d’autres, par exemple dans le cas des fraudes au président, les menaces font appel à des techniques déjà bien rodées. «Les ficelles sont souvent les mêmes. Les attaquants changent simplement de cibles et répètent leur modus operandi. Le cybercrime est un business comme un autre. Face à lui, il y a une hygiène et des réflexes à mettre en place», soutient Philippe Roggeband, cybersecurity business development manager chez Cisco.