Cyberdélinquance : comment réagir à une violation de données

• Les incidents cyber constituent le premier risque pour les entreprises dans le monde, selon le Baromètre des risques d’Allianz 2023. Les violations de données représentent la cybermenace la plus préoccupante.
• Les autorités font pression pour que les entreprises renforcent la protection des données, en sanctionnant les mauvaises pratiques par de fortes amendes, voire des peines d’emprisonnement.
• Les entreprises doivent élaborer, tester et mettre en place des plans d’intervention en cas d’incident cyber, notamment en s’adressant à des experts externes.
• La communication de crise doit être prévue dans cette préparation, afin de pouvoir informer en temps utile les parties prenantes et les autorités.

À la suite d’une cyberattaque, il existe un délai critique, de quelques minutes à une ou deux heures maximum, pendant lequel les décisions prises auront une influence déterminante sur la suite. Pour que l’incident soit le moins préjudiciable possible, il est essentiel de bien comprendre les conséquences et les enjeux.

C’est ce qu’explique Robin Kroha, responsable de la sécurité de l’information et directeur de la protection et de la résilience chez Allianz Services. Une entreprise doit se préparer minutieusement à une violation de données grave, en mettant en place un dispositif et un plan d’intervention. Il convient notamment de tester à l’avance différents scénarios critiques et de former une équipe dont les fonctions seront clairement définies.

Pour Robin Kroha, « les plans sont importants, mais les exercices sont essentiels. Les meilleurs plans ne remplacent pas le travail de préparation d’une équipe. Ils doivent être mis en pratique pour que leur efficacité en cas d’incident réel puisse être vérifiée. »

L’augmentation des incidents cyber reste la principale préoccupation des entreprises pour la deuxième année consécutive, selon le Baromètre des risques d`Allianz . « Dans l’enquête 2023, 34 % des réponses fournies par plus de 2 700 experts dans le monde ont placé les incidents cyber au premier rang des risques qui menacent les entreprises[1], indique Michael Daum, directeur mondial des sinistres cyber chez Allianz Global Corporate & Specialty (AGCS). Nous constatons, en particulier, de plus en plus de violations de données, commises par ransomware ou isolément. »

Selon les répondants du Baromètre des risques d´Allianz, la violation de données est le risque qui inquiète le plus les entreprises (53 %). La confidentialité des données est exposée à un risque majeur qui ne cesse de s’accentuer. D’après le rapport sur le coût des violations de données, publié par IBM, le coût moyen de ces incidents a atteint un record en 2022, avec 4,35 millions de dollars, et devrait dépasser les 5 millions de dollars en 2023.[2]

Les autorités sont de plus en plus sévères avec les entreprises dont les mesures de sécurité sont insuffisantes pour protéger les données. En 2019, au Royaume-Uni, British Airways a été sanctionnée d’une amende de 183 millions de livres (202 millions d’euros) par l’ICO (Information Commissioner’s Office), après le piratage des données de 500 000 passagers. En 2020, l’amende a été réduite en appel à 20 millions de livres[1].

L’année dernière, aux États-Unis, deux affaires judiciaires ont servi d’avertissement aux dirigeants et mandataires sociaux qui ne traitent pas les cyberintrusions de manière appropriée. En octobre, un ancien responsable de la sécurité d’une entreprise de mobilité a été reconnu coupable d’avoir tenté de passer sous silence un incident cyber[2]. Ce serait la première fois qu’un dirigeant d’une entreprise américaine fait l’objet de poursuites pénales après une cyberattaque. Il est passible d’une peine d’emprisonnement allant jusqu’à huit ans pour obstruction à la justice et dissimulation volontaire d’une infraction grave.

Toujours en octobre, la FTC (Federal Trade Commission) a annoncé l’ouverture d’une procédure contre le directeur général d’une entreprise de livraison de boissons en ligne, pour des défaillances de sécurité ayant conduit à une violation de données personnelles de 2,5 millions de clients.[3]

Face à la sévérité accrue des régulateurs et des juges, les grandes entreprises investissent davantage dans la cybersécurité. Ces mesures conduisent les hackers à frapper les petites et moyennes entreprises, dont les contrôles moins rigoureux peuvent en faire des cibles plus faciles.

Lorsqu’une violation de données à caractère personnel se produit, le compte à rebours s’enclenche. L’entreprise doit la notifier 72 heures au plus tard après en avoir pris connaissance, en application du Règlement général sur la protection des données (RGPD). Au Royaume-Uni, l’ICO impose le même délai.

Aux États-Unis, la situation est moins claire, compte tenu du nombre de juridictions différentes. Dans certains cas, les violations de données peuvent être notifiées dans les 60 jours. Toutefois, l’année dernière, le président Joe Biden a promulgué une nouvelle législation fédérale sur la notification des violations de données[1]. Celle-ci prévoirait l’obligation de notifier ces incidents au ministère de la Sécurité intérieure dans les 72 heures suivant leur survenue.

La FTC américaine, comme l’ICO britannique, donne des recommandations sur les mesures essentielles que les entreprises doivent prendre lorsqu’elles découvrent une violation de données. L’Union européenne publie des lignes directrices sur les délais et les destinataires des notifications, tels que les autres entreprises et personnes physiques concernées.

Toutefois, les mesures à prendre sont nombreuses et complexes. La première consiste à déclencher le plan d’intervention. « Une crise cyber constitue l’un des incidents les plus difficiles à gérer, explique Michael Daum. Ce n’est pas la même chose qu’une catastrophe naturelle ou un incendie d’usine. Si vous êtes victime d’une attaque par ransomware avec chiffrement de vos données, vous pouvez subir une interruption d’activité à l’échelle mondiale. Et vous avez affaire à des délinquants dont le comportement est difficile à prévoir. »

« Le développement des pratiques de double extorsion ajoute à la complexité, signale Michael Daum. La double extorsion combine le chiffrement des données, des systèmes ou des sauvegardes avec la menace d’une divulgation des données sensibles. »

Selon Robin Kroha, l’un des moyens d’action les plus efficaces est de recourir à un expert, avant et après une éventuelle attaque cyber.

« Il est de plus en plus difficile pour les entreprises de disposer en interne de l’expertise nécessaire pour gérer une crise cyber, précise-t-il. Compte tenu des diverses formes de cyberdélinquance, il peut être difficile de suivre l’évolution des risques. Si les grandes et moyennes entreprises sont souvent bien préparées aux scénarios classiques, certaines n’ont jamais travaillé à un plan de gestion des crises cyber. »

Dans le cas d’une violation grave, l’entreprise souhaitera mettre en jeu son assurance cyber. Il est donc important que les interlocuteurs de la compagnie d’assurances soient informés le plus tôt possible. Les experts externes pourront ainsi fournir leur assistance en fonction de la nature de l’incident. AGCS dispose d’un réseau mondial de partenaires qui apportent leur aide aux assurés lors d’un incident cyber. Ces services portent notamment sur l’investigation numérique, l’expertise comptable, les relations publiques, la communication de crise et la protection contre la cyberextorsion. Ils peuvent aussi comprendre un accompagnement ou un conseil juridique, généralement assurés par un juriste spécialisé dans la confidentialité des données et la cybersécurité. Ce consultant peut aider les entreprises, souvent dépassées par la situation, à organiser la gestion de crise afin de limiter les dommages.

Rishi Baviskar, directeur mondial du conseil en risques cyber chez AGCS explique : « Chaque cyberattaque est un cas d’espèce ». L’équipe de crise doit avant tout vérifier que le plan de communication est bien détaillé et s’adresse à tous les publics concernés : salariés, clients, investisseurs, partenaires commerciaux et autres parties prenantes [voir encadré]. Ce plan doit anticiper les questions qui seront posées par ces personnes.

« Une mauvaise communication à la suite d’une cyberattaque peut porter gravement atteinte à la réputation et, en conséquence, au cours de Bourse », signale Rishi Baviskar.

Norsk Hydro, l’un des plus grands producteurs d’aluminium au monde, a subi une cyberattaque en mars 2019, avec le chiffrement de tous ses fichiers par un rançongiciel. Les pirates ont exigé une somme en bitcoins pour débloquer l’accès aux données. Malgré la gravité de l’incident, l’action Norsk Hydro s’est redressée dans les semaines qui ont suivi, parce que l’entreprise s’était battue pour réparer les dommages.

« Norsk Hydro a refusé de payer, explique Rishi Baviskar. Le marché a apprécié la transparence et la franchise avec lesquelles l’entreprise a géré la crise. Ce comportement contrastait avec la politique du secret adoptée par de nombreuses entreprises à la suite d’un piratage. La confiance a été préservée et le cours de l’action est remonté après l’incident. »