Les commissaires aux comptes appelés à devenir des acteurs de la cybersécurité

Le 30 juin, les professions comptables se sont donné rendez-vous lors des Rendez-vous du chiffre, à Paris, pour une journée de conférences et de rencontres sur le thème de l'évolution de leurs métiers. L’une des tables rondes proposait ainsi de découvrir une nouvelle facette des commissaires aux comptes, « en première ligne » pour sensibiliser les entreprises au premier des risques auxquels elles font face aujourd’hui : la cyberattaque. 

Si la cybersécurité faisait peu parler d’elle jusqu’à présent en-dehors des sphères spécialisées, depuis quelques années, encore plus ces derniers mois, le sujet sort de l’ombre.

En effet, les politiques prennent peu à peu conscience de l’impact d’un piratage, d’où la nécessité que l’économie hexagonale soit davantage cyber-résiliente, « pour détecter les attaques, les contrer quand elles arrivent, et être en capacité de repartir », souligne, en introduction de la table ronde, Nathalie Malicet. L’actualité récente a d’ailleurs démontré nos lacunes en la matière, pointe cette commissaire aux comptes originaire du sud de la France : durant la crise sanitaire, « certains intérêts vitaux ont été attaqués », rappelle-t-elle, en écho aux cyberattaques perpétrées contre un certain nombre d’hôpitaux. « Les Français ont été heurtés de voir qu’alors que les soignants se débattaient pour sauver des vies, des pirates se permettent d’attaquer des systèmes d’information, empêchant les hôpitaux de réaliser leur mission. » 

Les attaques ne sont pas l'apanage des grandes entreprises

Les hôpitaux représentent ainsi à eux seuls plus de 10 % des cyber-attaques recensées en France en 2020. Ils sont cependant loin d’être les seules structures touchées. Nathalie Malicet prévient : le piratage peut être dirigé contre tous types d’entreprises, quelle que soit leur taille, « sans discrimination ». « Il faut bien comprendre que les attaques ne sont pas réservées aux très grandes sociétés », martèle-t-elle. 

Mais globalement, pour l’heure, le risque cyber est trop souvent sous-estimé. Nathalie Malicet évoque un de ses clients à la tête d’une entreprise de menuiserie-charpente. Le dirigeant, qui a démarré son activité avec un seul apprenti, embauche désormais une cinquantaine de salariés, et la société s’est lancée dans des processus semi-industriels, avec des machines à commandes semi-numériques, connectées sous le système d'exploitation XP. « Ce chef d’entreprise ne comprenait pas où était le danger. Pourtant, le risque était assez simple : quelqu’un pouvait s’introduire dans le système et bloquer les machines, stoppant la production. Imaginez une entreprise qui travaille pour les plus grands châteaux du Médoc, qui, soudain, ne peut plus fournir de charpente dans les délais, et se voit infliger des pénalités ! »

Les dirigeants ont également tendance à sous-évaluer les dégâts de l’attaque quand celle-ci se produit, remarque Nathalie Malicet. Elle prend l’exemple classique d’un cryptolocker (logiciel rançonneur) : un salarié reçoit un mail avec une pièce contaminée, dont l’ouverture déclenche un malware (logiciel malveillant), tout le système d’information de l’entreprise est alors instantanément crypté, pendant qu’une boîte de dialogue s’ouvre et réclame une rançon. « Le problème, c’est que des entreprises se disent “même pas mal, je remonte une sauvegarde et c’est terminé, je ne paierai pas de rançon”. Mais ce n’est pas toujours aussi simple. Les sauvegardes, parfois, sont elles-mêmes contaminées, ou ne vont servir à rien, car l’entreprise n’aura pas traité le mal. C’est comme si elle mettait un pansement sur une plaie sans l’avoir nettoyée : elle va s’infecter et se propager dans l'ensemble du système. » 

Président du cabinet de conseil Zalis, expert en stratégie d’entreprise, Daniel Cohen ajoute qu’une cyberattaque a environ l’impact d’un incendie sur une entreprise. Mais à la différence d’un incendie, ces attaques sont amenées à survenir de plus en plus fréquemment. Selon lui, elles vont même « prendre une ampleur inimaginable ». « Il y a tellement d’argent à gagner – des centaines de milliers de milliards de dollars – que les pirates vont se jeter dessus », augure-t-il. À n’en pas douter, le risque cyber est donc en train de devenir le risque « le plus élevé » qui pèse « sur toutes les entreprises ».