Les attaques informatiques coûtent cher, mais il faut aussi se protéger contre les erreurs internes

Les attaques informatiques coûtent cher aux entreprises mais il ne faut pas négliger les défaillances internes, tant informatiques que les erreurs humaines. Tout cela nécessite de former absolument les équipes de l’entreprise. C’est le constat de l’assureur Allianz.

Se protéger contre les pertes dues aux attaques informatiques

« Les pertes dues aux attaques en ‘déni de service distribué’ (DDoS), aux campagnes de phishing ou de ransomware représentent une grande part du montant des sinistres cyber » présente Catharina Richter, directrice du Centre de compétences cyber d’Allianz, au sein d’AGCS (Allianz Global Corporate & Specialty). AGCS vient de publier un rapport de synthèse sur le coût des attaques et des erreurs humaines en informatique.  AGCS est un assureur mondial des grands risques industriels et l’une des principales entités du groupe Allianz.

« Les incidents quotidiens liés aux défaillances informatiques, aux pannes de systèmes ou aux erreurs humaines peuvent aussi poser des problèmes aux entreprises, avec un impact financier moyen moins élevé » ajoute-t-elle. Conséquence, « les entreprises et leurs personnels doivent travailler ensemble pour améliorer la sensibilisation et la résilience dans ce domaine » conseille la responsable.

Toujours selon Allianz, les pertes causées par les attaques externes représentent l’essentiel du montant financier des sinistres analysés (85%). Quant aux accidents internes, ils sont assez fréquents puisqu’ils représentent la moitié des sinistres cyber analysés (54%). Il s’agit des erreurs humaines pendant le travail, des pannes de systèmes ou de plateformes, des problèmes de migration informatique ou de la perte de données. Leur impact financier est généralement limité par rapport à la cyber-délinquance. Les pertes peuvent néanmoins augmenter rapidement en cas d’incidents plus graves. Les actions internes malveillantes pour leur part sont peu fréquentes (9%), mais souvent coûteuses.

L’interruption d’activité est le coût principal

Le coût principal d’un sinistre cyber provient d’abord de l’interruption d’activité en incluant les coûts d’atténuation et de responsabilité civile. En ce qui concerne le coût, l’interruption d’activité vient avant les violations de données car elle représente environ 60% du montant total des sinistres analysés. L’analyse d’Allianz porte sur 1 736 sinistres cyber, d’un montant total de 660 millions d’euros, déclarés auprès d’AGCS (Allianz Global Corporate & Specialty) et d’autres assureurs entre 2015 et 2020.

Le nombre de sinistres cyber déclarés à AGCS est en constante progression. Il est passé de 77 en 2016, lorsque l’assurance contre les risques cyber était relativement nouvelle, à 809 en 2019. Sur les 9 premiers mois de 2020, AGCS a déjà enregistré 770 demandes d’indemnisation. Cette augmentation continue est en partie due à la croissance du marché mondial de l’assurance cyber, actuellement estimé à 7 milliards de dollars, selon Munich Re.

AGCS a commencé à proposer une assurance cyber en 2013 et a émis 100 millions d’euros de primes brutes sur ce segment en 2019. Le rapport d’Allianz montre également une hausse de 70% du coût moyen de la cyber-délinquance pour les entreprises sur les 5 dernières années, atteignant aujourd’hui 13 millions de dollars, et une augmentation de 60% du nombre moyen de violations de sécurité.

Les attaques par ransomware exploitent le télétravail

Par ailleurs, Allianz considère qu’il est encore impossible de dire si la pandémie Covid-19 est la cause directe de certains sinistres cyber. AGCS a déjà enregistré quelques sinistres qui pourraient être attribués indirectement au Covid-19, notamment des attaques par ransomware profitant de la mise en place du télétravail. Il est cependant trop tôt pour constater l’existence d’une tendance plus large.

Autre point, « les outils de piratage haut de gamme sont plus facilement disponibles » relève Marek Stanislawski, directeur mondial du risque cyber chez AGCS. Résultat, « de plus en plus souvent, les hackers vendent des logiciels malveillants à d’autres hackers, qui attaquent ensuite les entreprises pour exiger une rançon » décrit-il. Le problème vient alors à la fois de la demande de rançon et de l’interruption de l’activité voire de la détérioration des données. « Les tentatives d’extorsion ne sont pas le seul aspect du problème. Les interruptions d’activité, de plus en plus longues, peuvent entraîner des pertes bien plus importantes, et les coûts de restauration des systèmes et des données peuvent vite s’envoler » prévient l’expert.

La participation croissante d’États dans les cyber-attaques est une autre source de préoccupation croissante. Allianz souligne que Google a annoncé qu’il avait dû contrer plus de 11 000 tentatives d’attaques financées par des États, au cours de chaque trimestre de 2020.  Allianz considère que les personnels doivent être préparés et formés afin de réduire considérablement les conséquences des incidents cyber, notamment du phishing et de la compromission d’e-mails, impliquant souvent une erreur humaine. Cela peut aussi atténuer les attaques par ransomware.

Faire des sauvegardes des ses données est la bouée de sauvetage

« Mais ce sont surtout les sauvegardes de sécurité qui permettent de limiter les dommages » martèle Allianz. L’assureur cite également l’initiative de coopération inter-entreprises, comme la Charter of Trust pour déjouer la cyber-délinquance commercialement organisée, grâce à l’élaboration de normes de sécurité communes ou l’amélioration de la cyber-résilience. Enfin, Allianz insiste sur le fait que la crise sanitaire soulève de nouveaux défis. Avec le développement du télétravail, la sécurité des points d’accès et d’authentification est capitale.