Impact des cyberattaques sur les PME et l'offre de protection numérique de Generali

Les TPE et PME sous-estiment leur exposition au risque numérique : elles ne sont qu'un tiers à être conscientes d'y être exposées.

Toutes les assureurs lorgnent le marché, encore naissant, du cyber-risque alors qu'une réglementation européenne imposera de nouvelles obligations aux entreprises sur la protection des données qu'elles gèrent.

Pourquoi les PME sont particulièrement vulnérables

Disposant de systèmes informatiques moins bien protégés et d’une plus faible connaissance des risques cyber que les grandes entreprises, les petites entreprises sont visées en priorité par des hackers opportunistes.

Les criminels peuvent cibler aussi bien les sites web que les serveurs internes, causant d'importantes pertes financières.

Les attaques prennent diverses formes : vol de données sensibles, blocage des systèmes contre rançon, ou encore déni de service qui paralyse complètement l'infrastructure numérique.

Les pirates informatiques exploitent les failles de sécurité pour s'introduire dans les réseaux d'entreprises, quels que soient leur secteur d'activité ou leur taille.

Les 4 principaux cyber-risques pour l’entreprise incluent notamment les rançongiciels ou ransomware, le vol de données, le piratage de comptes et les fraudes via faux ordres de virement.

Parmi les cybercrimes les plus courants figurent : le piratage de compte (23,5 % des attaques selon Cybermalveillance.gouv.fr) ; le hameçonnage ou phishing (21,2 %) ; le rançongiciel ou ransomware (16,6 %) ; l'usurpation d'identité ; les violations de données et leur revente ; la fraude par courrier électronique.

Statuts et tendances : chiffres clés

Seule une entreprise sur trois se dit consciente d'être exposée au risque numérique, selon une enquête qu'il a commanditée à l'IFOP en 2016 auprès de 410 TPE et PME de moins de 250 salariés.
En France, en 2022, les principales victimes de ces cyberattaques sont les PME (330 000 attaques).
Ainsi, 43 % des organisations françaises ont subi au moins une cyberattaque réussie en 2023.
Selon le rapport annuel de Sophos, 74 % des entreprises françaises interrogées déclarent avoir été touchées par une attaque de rançongiciel en 2024.
La France est le 4ème pays le plus touché au monde par des cyberattaques, après les États-Unis, la Chine et l’Allemagne.

Conséquences économiques et opérationnelles pour les PME

Une cyberattaque peut paralyser votre entreprise. Elles peuvent entraîner le blocage ou la suppression définitive de données, la destruction de votre site web ou l’impossibilité d’honorer les commandes des clients.

Si votre activité est ralentie ou à l’arrêt, cela entraîne une baisse de votre chiffre d’affaire ainsi que des pertes financières qui peuvent conduire à la fermeture de votre entreprise si la situation n’est pas rapidement rétablie.

La perte de réputation est également significative : la confiance des clients est vitale, et celle-ci peut être fortement mise à mal suite à un vol de données ou à un site web défaillant.

En France, le coût des cyberattaques réussies pour les entreprises et les organisations publiques est estimé à 2 milliards d'euros en 2022.

Un quart des entreprises françaises victimes de cyberattaque a déjà vu sa solvabilité menacée. 24 % des entreprises françaises ayant subi une cyberattaque en 2022 déclarent avoir vu sa solvabilité menacée à la suite de l'incident.

Obligations réglementaires : le RGPD et la notification des incidents

Un règlement européen applicable en 2018 va aussi bouleverser la donne. Il imposera de nouvelles obligations à toute entreprise lorsque celle-ci est victime d'un piratage informatique affectant les données qu'elle gère.

Adopté en 2016, ce texte européen, applicable en mai 2018 dans tous les pays de l'Union, obligera les entreprises à signaler à leur régulateurs (la CNIL en France) les cyber-incidents dans les 72 heures sous peine de risquer jusqu'à 20 millions d'euros d'amende ou 4% de leur chiffre d'affaires.

Seules 17% des entreprises sondées par l'IFOP seraient au courant du futur règlement général sur la protection de données (RGPD).

Les entreprises victimes d'un vol de données personnelles devront avertir toutes les personnes concernées, salariés ou clients, avec un risque non-négligeable de litige ou de poursuite.

Que faire en cas de cyberattaque : étapes prioritaires

Face à une cyberattaque, vous devez agir dans les plus brefs délais pour en minimiser les impacts sur votre matériel et vos activités.

Mettre en quarantaine les équipements concernés en les déconnectant du réseau et en coupant les liens avec le reste du parc informatique. Par contre, ne coupez pas l’alimentation. L’équipement doit rester accessible.
Protéger le reste de vos actifs informatiques en les isolant. Débrancher l’ensemble des câbles réseau.
Conserver les preuves de l’attaque : message piégé, copies physiques des serveurs touchés, fichiers chiffrés, etc., pour documenter votre dossier.
Passer au crible les journaux de connexions pour déceler toute anomalie.
Consigner dans un registre la chronologie et le détail des événements, les actions menées après l’attaque, l’étendue des dommages.

Selon le type d’attaque qui a eu lieu sur votre entreprise, d’autres actions peuvent être prises pour en limiter les conséquences : appeler vos prestataires spécialisés en cybersécurité, faire une copie des équipements touchés, effectuer un scan antivirus complet des appareils ciblés, réinstaller le système à partir d’une sauvegarde récente, changer tous les mots de passe, mettre à jour l’ensemble des équipements, prévenir les personnes dont les données personnelles ont été divulguées.

Tester votre réaction à un incident | Cybersécurité PME (Épisode 8/10)

Préparation, sauvegarde et résilience : bonnes pratiques

La planification de sauvegardes régulières du réseau informatique de l’entreprise, notamment des données personnelles et sensibles, est indispensable.

La sauvegarde peut se faire sur vos serveurs, ou sur le cloud. D’ailleurs, en passant par un cloud, vous bénéficiez des protections mises en place par le fournisseur.

Le principe est de ne pas tout sauvegarder au même endroit, car une cyberattaque peut aussi cibler vos sauvegardes. Prévoyez de copier vos données sur une source non connectée au réseau local.

En matière de sauvegarde, on parle souvent de la règle 3-2-1, soit 3 copies des données, sur 2 supports distincts, dont 1 support non connecté.

La vigilance et le respect des bons usages des réseaux digitaux constituent la meilleure des protections.

8 bonnes pratiques pour limiter les cyber-risques

Vous impliquer et montrer l’exemple : le dirigeant doit briefer et sensibiliser les collaborateurs.
Bien équiper ses télétravailleurs avec des moyens sécurisés fournis par l’entreprise.
Sécurisez vos accès extérieurs : VPN, authentification multifactorielle.
Supervisez l’activité de vos accès externes et de vos systèmes sensibles ; cloisonnez les systèmes.
Mettez à jour systèmes, logiciels, applications et antivirus régulièrement.
Renforcez votre politique de gestion des mots de passe : complexité, unicité, MFA.
Durcissez votre politique de sauvegarde : réaliser et tester des sauvegardes régulières.
Préparez-vous : plans de crise, communication, assistance et assurance.

L'offre Generali Protection Numérique pour les TPE/PME

Précédé par plusieurs de ses rivaux (Axa, Allianz, GAN,...) sur la protection du cyber-risque, Generali se distingue par une offre en association avec Europe Assistance pour la gestion de crise et Engie Ineo pour l'intervention technique sur les systèmes d'entreprise infectés ou bloqués.

La nouvelle offre d'assurance contre les cyber-risques pour PME et TPE associe les plateformes de prise d'appels en 24/7 d'Europ Assistance en y ajoutant un volet gestion de crise et les experts sécurité d'Engie Ineo.

Ses techniciens sont censés télé-intervenir à distance dans l'heure qui suit le signalement par l'entreprise de la cyber-intrusion dont elle a été victime. La garantie temps d’intervention (GTI) pour prendre en charge techniquement le dossier est d’une heure.

Les conséquences pécuniaires de l'incident sont aussi prises en charge, moyennant une prime annuelle d'environ 1000 euros, jusqu'à leur impact économique sur l'activité de l'entreprise.

Generali Protection Numérique assure la prise en charge des frais engagés par des experts en sécurité informatique pour déterminer l'origine et l'étendue des incidents et procéder à la reconstitution des données perdues.

Generali prend en charge les dommages et pertes subis, notamment les frais d’expertise et de remédiation, les coûts liés à la reconstitution des données et aux notifications règlementaires mais aussi les pertes d’exploitation et les frais supplémentaires engendrés par l’incident.

L’entreprise couverte bénéficie des services coordonnés de Generali, d’Europ Assistance et d’ENGIE Ineo afin de rétablir son activité. Interlocuteur principal de l’entreprise, Europ Assistance prend en charge le dossier et accompagne le client tout au long de la gestion du sinistre.

La réparation et la sécurisation du système informatique sont confiées à ENGIE Ineo, Generali indemnisant les conséquences matérielles du dommage (équipements, perte d’exploitation, …) ainsi que la responsabilité civile (une sécurité supplémentaire quand les incidents impactent des tiers, des clients et des fournisseurs par exemple).

Services complémentaires et prévention

Un programme de prévention complet : modules d'e-learning, analyse de votre exposition au risque, tarifs préférentiels sur des outils techniques... Autant de services mis à votre disposition pour vous permettre de sensibiliser vos collaborateurs, mesurer votre exposition et la réduire.

Une assistance 24h /24 et 7j /7 : en cas d'incident, notre prestataire informatique partenaire vous accompagne, vous ou votre fournisseur de services, tout au long de la gestion de l’incident afin d’en limiter les effets et conséquences sur votre activité.

La souscription est simplifiée : un formulaire d’une dizaine de questions permet de définir le niveau d’exposition de l’entreprise et d’apprécier les moyens de protection mis en place.

Communication et gestion de crise

La communication de crise est importante pendant une attaque numérique. En interne et en externe, vous devez prévoir diverses actions pour rassurer vos équipes, vos clients et vos partenaires.

Alerter les équipes compétentes en cas de cyberattaque, communiquer avec les parties touchées avec transparence, alerter le prestataire de service concerné par l’attaque pour qu’il intervienne dans les plus brefs délais.

Déposer une plainte auprès d’un service de police ou de gendarmerie, notamment en cas de fuite de données importantes. Signaler l'événement dans les plus brefs délais (moins de 72 h) à la CNIL, si vous pensez qu’une fuite de données sensibles est en cours.

Composer une équipe de gestion de crise (si ce n’est pas déjà prévu dans votre stratégie de cybersécurité). Cela vous permettra de déployer un plan d’action, d’informer les équipes et de reprendre les activités au plus vite.

Après l'attaque : reprise, autopsie et amélioration continue

Une fois l’attaque contenue, vous devez planifier la reprise d'activité : réanimer les systèmes étape par étape, faire les corrections nécessaires pour remettre sur pied le système infecté, mettre en place une surveillance pour identifier toute menace potentielle.

Faire l’autopsie du cyber-incident : en organisant un post-mortem, vous pourrez faire le point sur la situation et mettre en place un plan d’action préventif pour éviter que cela ne se reproduise.

La veille proactive des nouvelles menaces et la formation régulière des équipes restent indispensables : l’erreur humaine est en cause ? Peut-être que votre plan de formation en cybersécurité n’est pas au point.

Pour vous y aider, l’Agence nationale de la sécurité des systèmes d'information partage des informations sur les piliers de la cybersécurité : gouvernance, protection, défense, résilience.

Pourquoi souscrire une assurance cyber ?

En tant que professionnel, vous n’avez ni les capacités ni le temps d’assurer à votre entreprise une protection totalement efficace en cas de cyberattaque.

Une assurance cyber-responsabilité intervient pour couvrir les frais de défense, les dommages et intérêts réclamés par les victimes, ainsi que les amendes administratives. Elle accompagne également l'entreprise dans la gestion de crise et la restauration de son image auprès des parties prenantes.

Les garanties couvrent les dommages et pertes liés aux incidents numériques subis et leurs conséquences sur votre activité (frais d'expertise informatique, pertes d'exploitation, etc.), la responsabilité civile pour les conséquences sur des tiers, et des options fraude pour couvrir les pertes suite à une fraude informatique ou téléphonique.

Services essentiels à rechercher dans une cyberassurance pour PME

Assistance immédiate 24/7 et coordination d'experts.
Prise en charge des frais d'expertise et de reconstitution des données.
Indemnisation des pertes d'exploitation et des frais complémentaires.
Couverture de la responsabilité civile et des notifications réglementaires (RGPD).
Programmes de prévention et de sensibilisation pour les collaborateurs.

Generali Protection Numérique inclut des services dédiés à la résolution des incidents, complétés d’une sécurité financière adaptée à la taille de l’entreprise.

balises: #Pme