TLPL
-
Aucune entreprise n’est trop petite pour être la cible de cybercrimes. De nombreuses attaques sont automatisées, ce qui permet aux criminels de ratisser large et de cibler des milliers d’entreprises à la fois.
-
La plupart des incidents découlent de lacunes courantes : erreur humaine, logiciels désuets, mots de passe simples et connexions à distance non sécurisées.
-
Le fait d’avoir un plan d’intervention en cas d’incident peut empêcher les perturbations de se transformer en crises.
-
Même s’il peut être tentant de gérer discrètement les cyberattaques, leur signalement aide à réduire le plus possible les dommages et à protéger les autres.
Votre entreprise a-t-elle été la cible de cybercrimes ? Il y a de fortes chances qu’elle ait fait l’objet d’au moins une tentative de fraude, que ce soit un simple courriel hameçon ou une arnaque sophistiquée par courriel d’entreprise.
Pourquoi les petites entreprises sont-elles vulnérables aux cybercrimes ?
Les organisations de plus petite taille sont des cibles attrayantes pour les cybercriminels, car elles sont faciles à atteindre au moyen de la technologie automatisée. Un même courriel hameçon, mot de passe volé ou bogue logiciel peut être utilisé contre plusieurs entreprises à la fois, et les organisations de plus petite envergure ont tendance à avoir moins de couches de sécurité pour se défendre.
Beaucoup de petites entreprises font face à des conditions semblables :
-
Faible budget pour la sécurité : La sécurité entre en concurrence avec bien d’autres éléments ; par exemple, il pourrait falloir choisir entre l’embauche d’un nouvel employé, l’achat de nouvel équipement ou une mise à niveau de la sécurité.
-
Utilisation d’outils de qualité grand public pour des tâches professionnelles : Dans de nombreuses petites entreprises, les gens utilisent les mêmes logiciels antivirus et les mêmes habitudes en matière de mots de passe au travail qu’à la maison. Bien que ces solutions puissent suffire pour une utilisation personnelle, elles risquent de s’avérer insuffisantes pour les organisations devant gérer la rémunération du personnel, les dossiers des clients et les paiements des fournisseurs.
-
Manque de formation du personnel : Les employés constituent la première ligne de défense contre de nombreux types de fraudes, mais s’ils ne savent pas comment repérer une facture falsifiée ou un faux courriel de fournisseur, ils peuvent être facilement dupés.
-
Conviction que qui dit « petit » dit « sécuritaire » : Aux actualités, on ne mentionne habituellement que les cyberattaques visant de grandes entreprises ; de nombreux entrepreneurs croient donc que plus une entreprise est grande, plus elle est susceptible d’être victime de piratage. En réalité, il peut être plus facile de dérober de petites sommes d’argent à de nombreuses entreprises que de s’attaquer à une grande entreprise ayant les ressources nécessaires pour se défendre.
Où les cybercriminels cherchent-ils à s’infiltrer ?
Les cybercriminels ont tendance à rechercher les mêmes failles :
| Point faible | Menace qu’il représente | À quoi cela peut ressembler |
| Erreurs humaines | Hameçonnage et piratage psychologique, y compris la compromission par intrusion dans un courriel d’entreprise, l’usurpation d’identité bancaire et les escroqueries liées aux placements | Vous or un employé cliquez sur une pièce jointe ou un lien malveillant dans un courriel qui semble provenir de votre banque, d’un fournisseur ou d’un collègue occupant un poste plus élevé dans la hiérarchie de l’entreprise et qui demande un transfert urgent, un identifiant ou un code d’accès à usage unique. |
| Logiciels désuets | Vulnérabilités logicielles non corrigées | Un fraudeur exploite une faille documentée dans un programme que votre entreprise n’a pas mis à jour. |
| Mots de passe simples ou déjà utilisés | Usurpation de compte ; peut être suivie d’une attaque par rançongiciel | Les identifiants de connexion sont compromis et utilisés pour l’ouverture de session dans vos systèmes ; les fraudeurs peuvent ensuite chiffrer des fichiers et demander des paiements. |
| Connexions à distance non sécurisées | Attaques par rançongiciel et vols de données | Vous ou un employé travaillez à partir d’un appareil personnel ou d’un réseau public, ce qui donne à un pirate informatique un accès non surveillé à vos systèmes |
| Confiance accordée aux personnes-ressources que l’on connaît | Risques liés aux tiers et à la chaîne logistique | Un message provenant de l’adresse courriel d’un fournisseur vous informe d’un changement des renseignements de paiement pour une facture que vous attendiez. |
Comment votre entreprise peut-elle se préparer en vue des cyberincidents ?
Comme la plupart des entreprises finissent par être touchées d’une manière ou d’une autre par un cyberincident, il est important de mettre en place un plan d’intervention. La préparation peut faire la différence entre un incident gérable et une crise perturbant les activités pendant une période prolongée.
Vous n’avez pas besoin d’une équipe de sécurité pour vous préparer. Les étapes ci-dessous sont très simples et contribueront à réduire les risques et les dommages :
-
Attribuez des rôles clairs. Définissez les responsabilités dès le départ, même si vous êtes seul à la barre ou si vous n’avez que quelques employés. Vous devrez penser à la manière de gérer les TI, les affaires juridiques, les opérations et les communications.
-
Planifiez les scénarios les plus courants. Analysez les menaces potentielles, comme les rançongiciels, l’hameçonnage ou les violations de données, et consignez par écrit les mesures à prendre étape par étape pour chaque scénario. Cet exercice de simulation permet de limiter l’effet de panique en cas d’incident réel.
-
Gardez vos listes de contacts à jour. Tenez à jour une liste de vos contacts essentiels, y compris vos clients, vos partenaires, les organismes de réglementation, votre fournisseur de services TI et votre institution financière. Savoir exactement qui joindre et de quelle manière vous permettra de réagir de façon rapide et transparente.
-
Testez et réévaluez votre plan. Les cybermenaces évoluent, et votre plan doit s’adapter en conséquence. Pensez à réviser votre plan une fois par année afin de vous assurer qu’il demeure pertinent et facile à appliquer.
Quelles mesures de prévention devriez-vous mettre en place ?
Un plan d’intervention vous indique la marche à suivre lorsqu’un incident survient. Pour réduire les risques à la source, misez d’abord sur de solides habitudes de sécurité.
-
Installez des outils de sécurité et tenez vos logiciels à jour. Les bons outils antivirus et antilogiciels malveillants peuvent contribuer à vous protéger contre les attaques malveillantes. L’application régulière des mises à jour et des correctifs permet de combler les failles de sécurité et d’améliorer la résilience du système.
-
Créez des mots de passe sûrs et uniques pour tous vos justifications d’ouverture de sessions. Si l’un de vos mots de passe est volé ou compromis, le fait d’utiliser mots de passe uniques empêche les escrocs d’accéder à tous vos comptes.
-
Effectuez régulièrement des copies de sauvegarde de vos fichiers (idéalement dans l’infonuagique et hors ligne). Vous pourrez ainsi récupérer l’information sensible si votre entreprise est la cible d’une attaque par logiciel de rançon ou logiciel malveillant.
-
Installez un pare-feu de système de noms par domaine (DNS). Les logiciels pare-feu peuvent protéger votre réseau d’entreprise contre le trafic Internet malveillant en analysant le trafic du réseau et en empêchant tout trafic indésirable d’atteindre votre réseau.
Que faire après un cyberincident
Votre réaction au cours des premières heures peut déterminer les coûts associés aux incidents.
Si votre entreprise est victime d’une cyberattaque, les mesures suivantes pourraient vous aider à en limiter l’incidence.
-
Avisez votre banque. Les comptes et les cartes d’entreprise touchés peuvent être verrouillés, surveillés et remplacés rapidement, et des spécialistes de la fraude peuvent vous guider dans la suite des choses. Les clients peuvent appeler RBC, se rendre dans une succursale ou joindre directement leur succursale ou leur directeur de comptes.
-
Alertez les agences d’évaluation du crédit. Communiquez avec Equifax et TransUnion : comme elles exercent leurs activités de manière indépendante et n’échangent pas nécessairement les renseignements qu’elles recueillent, il est important de les aviser toutes les deux. Une alerte de fraude à votre dossier compliquera l’ouverture de compte au nom de votre entreprise, et il est utile de demander votre rapport de solvabilité afin de vérifier s’il présente toute activité inhabituelle.
-
Communiquez avec les forces de l’ordre et les agences de lutte contre la fraude. Le signalement d’une cyberattaque aux autorités peut vous aider à obtenir le soutien dont votre entreprise a besoin pour réagir. Les forces de l’ordre locales ou fédérales peuvent coordonner une intervention et recueillir des preuves.
Les cybermenaces sont une réalité pour les entreprises de toutes tailles, mais elles n’ont pas à devenir des crises. En comblant les lacunes importantes et en établissant un plan d’intervention, vous pourrez mettre votre entreprise en position plus sûre.
Pour obtenir une liste de vérification complète sur la protection des entreprises, des renseignements détaillés sur les escroqueries et un répertoire complet des organismes de signalement au Canada, aux États-Unis et au Royaume-Uni, téléchargez le livret Sécurité numérique et escroqueries : Entreprise.
FAQ
Communiquez avec votre banque immédiatement afin que les comptes et les cartes d’entreprise touchés soient verrouillés, surveillés et remplacés. Ensuite, avisez les deux agences d’évaluation du crédit afin qu’elles placent une alerte à la fraude au dossier de votre entreprise et signalent l’incident aux agences de lutte antifraude et aux forces de l’ordre locales. La consignation préalable des personnes-ressources permet d’obtenir une réponse rapide.
Dans de nombreux cas, oui. En vertu des lois fédérales sur la protection des renseignements personnels, les organisations sont tenues de signaler les violations qui présentent un risque réel de préjudice grave et d’en aviser les personnes touchées. En outre, les entreprises sont tenues de consigner toutes les violations de données, qu’elles atteignent ou non le seuil de signalement. Des règles internationales et des obligations sectorielles peuvent aussi s’appliquer, et il est donc utile de confirmer tout ce que doit respecter votre entreprise avant qu’un incident survienne.
Il faut remettre en question les demandes de modification de la date de paiement, des renseignements de paiement, etc., en particulier lorsqu’elles sont formulées de manière urgente ou accompagnées d’une demande de confidentialité. Il est préférable de vérifier la demande au moyen d’un mode de communication existant, comme un numéro de contact que vous avez déjà utilisé, et non celui qui est indiqué dans le message. La meilleure pratique consiste à mettre en place une règle permanente selon laquelle chaque modification des directives de paiement doit être confirmée par téléphone.
Le présent article vise à offrir des renseignements généraux seulement et n’a pas pour objet de fournir des conseils juridiques ou financiers, ni d’autres conseils professionnels. Veuillez consulter un conseiller professionnel en ce qui concerne votre situation particulière. Les renseignements présentés sont réputés être factuels et à jour, mais nous ne garantissons pas leur exactitude et ils ne doivent pas être considérés comme une analyse exhaustive des sujets abordés. Les opinions exprimées reflètent le jugement des auteurs à la date de publication et peuvent changer. La Banque Royale du Canada et ses entités ne font pas la promotion, ni explicitement ni implicitement, des conseils, des avis, des renseignements, des produits ou des services de tiers.
