Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407 - 390

des technologies sont les plus
touchés, avec un coût par employé
plus élevé pour les organismes de
petite taille : 2 834 €, contre 324 €
pour les autres. Les cyberattaques 32
représentent plus de 45% des coûts
de la cybercriminalité. Le temps
moyen de maîtrise d'une attaque
est de 43 jours, pour un coût moyen
de 561 533 € ; chiffre en croissance
de 200% par rapport à l'édition
2013 du rapport.
L'attaque par rançongiciel33 est en
seconde place, parmi les attaques
les plus répandues en France.
La victime n'a pas d'autre moyen
que de payer la rançon pour
retrouver ses données décryptées,
tandis que ce paiement ne fait
quencourager les affaires de
cybercriminels et le financement
de R&D pour développer des
programmes
malveillants
de
plus en plus sophistiqués et les
offrir sur les marchés criminels.
Elle prend également de risque
de payer, sans avoir l'assurance
de recouvrer ses données, et ainsi
d'être une seconde fois victime.
Les faux ordres de virement
international34 représentent un
montant supérieur à 300 M€ pour
700 tentatives, avec des pertes
allant de 72 000 € à 17 M€, au vu
des plaintes déposées en France
sur 4 ans. A titre d'exemple, sur un
total de 2,6 M€ de tentatives, plus
de 650 000 € ont été réalisés, en
8 jours seulement avec 12 actions
menées par le même individu.
Pour une TPE, une telle atteinte à
la trésorerie pourrait être fatale.
Sur les conséquences négatives
des cyberattaques
Si les victimes de cyberattaques
n'ont pas toujours la capacité d'en
supporter les coûts directs, ils ont
également à faire face à d'autres
conséquences négatives liées à
la remise en ordre de la situation.
Il s'agit de surcoûts en rapport
avec les personnels et heures
supplémentaires, les experts et
consultants externes à engager,
les mesures techniques de sécurité
à mettre en place dans l'urgence,
après l'attaque.

390

A ceci, viennent s'ajouter les
changements organisationnels, la
réparation des dommages causés
aux
systèmes,
infrastructures,
logiciels et données, la perte
de revenus et de clientèle, et
en complément, les efforts pour
maintenir la relation avec la
clientèle.
D'autres conséquences sont en
rapport avec la responsabilité
pour les montants ou les données
volées lors de l'attaque, et pour
les dommages causés à des tiers,
notamment
pour
non-respect
des
obligations
légales
ou
contractuelles. L'ensemble peut
conduire à des litiges portés
en
justice
et
compromettre
la réputation et l'image de
l'organisme,
et
entamer
la
confiance des clients comme des
partenaires.
Enfin, au vu des options possibles
et de la diversité des résultats
produits, les techniques et outils
avancés d'attaque peuvent engendrer un conflit avec d'autres
parties en délivrant des leurres.

CONCLUSION ET
PERSPECTIVE
Non seulement les cyberattaques
sont à éviter35 et à combattre, mais
elles doivent être étudiées pour
en connaître les caractéristiques
essentielles. La question relève
aussi des possibilités de réaction et
de la crise sous-jacente à laquelle
elles conduisent. Il reste que les
organismes ont des difficultés à
appréhender de telles attaques,
malgré les efforts consentis, le plus
souvent en corrigeant des symptômes et en se limitant au plan
technique.
Il existe des déficits chroniques et
des causes plus profondes. Leur
caractère pathologique est en
rapport avec la faiblesse intrinsèque des systèmes et des objets
connectés et la résilience des organismes pour assurer la continuité
des activités en cas de sinistre ou
de crise, suite à une cyberattaque.
Leur caractère éthologique relève

EXPERTISES NOVEMBRE 2015

de comportements qui peuvent
être observés comme prompts aux
cyberattaques.
A l'évidence, la sécurité est insuffisante tandis qu'une cyberattaque
est quasi-certaine pour tous, sans
savoir ni où elle se portera, ni
quand elle aura lieu. Le pire, c'est
lorsqu'elle a lieu à l'insu de l'entreprise, elle est alors discrète et
souvent persistante.
On peut seulement imaginer pourquoi, lorsqu'elle vise les actifs
vitaux et sensibles : finances, informations, savoir-faire, ressources,
etc. Comment ?
C'est ce qui a été présenté en
caractérisant pleinement les cyberattaques, selon un catalogue
structuré et la dynamique de leur
processus par étapes, formant un
modèle utile à la compréhension
des entreprises, des spécialistes
de la sécurité comme des enquêteurs, notamment pour la détection
précoce d'indices pour stopper
l'attaque et entamer une action
judiciaire.
Au contraire des propos d'André
Gide 36 : « Qu'est-ce que vous allez
chercher là-bas ? J'attends d'être
là-bas pour le savoir », les organismes devraient d'ores et déjà
s'inquiéter de ce phénomène, pour
l'éviter par des mesures en profondeur de sensibilisation, de prévention et de détection, et d'autres, de
protection pour résister à la crise
et s'assurer du retour à une situation normale, en s'appuyant sur un
plan de reprise d'activité (PRA). Il
reste pour chacun d'être vigilant
et de suivre les procédures indiquées dans le guide des bonnes
pratiques de sécurité adopté par
les personnels.
Au-delà, en considérant l'évolution
de la sophistication et des divers
impacts, malgré l'absence de
statistiques fiables, il faut observer
que la lutte contre la cybercriminalité en général et contre les cyberattaques en particulier, est fortement
attendue au niveau international et
européen, tout en développant une
politique nationale volontariste

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407