Le Cluster Maritime luxembourgeois, en collaboration avec Vanbreda & Lang a organisé ce jeudi 19 novembre 2015 une soirée d’information qui s’articulait autour de 3 axes:  l’importance de la prévention, la responsabilité des dirigeants d’entreprises et la gestion globale des cyber risques.

Pascal Steichen, directeur de Securitymadein.lu a développé le 1^er axe au travers d’une simulation d’attaque sur un site web. Le réalisme du scénario et l’exposé en détail des techniques utilisées par les criminels pour pirater un site et extorquer de l’argent à ses utilisateurs a captivé l’assistance. Après cette démonstration, Pascal Steichen a dressé un panorama de la menace issu des investigations menées par CIRCL. Les attaques sur les centraux téléphoniques (VoiP), les arnaques au président et les ransomwares figurent en haut du classement. Comment s’en prémunir ? Par la prévention d’abord (diagnostic, formation, protection…), mais cela n’est pas suffisant. Beaucoup d’entreprises sont déjà compromises sans le savoir. Il vaut mieux être proactif et préparer un plan de réponse sur incident afin de limiter les dégâts en cas de problème. La conclusion de Pascal Steichen : “Ne souffrez pas en silence”. Les services CASES sont à la disposition des entreprises qui désirent renforcer leur protection. Et CIRCL les aide à détecter les dangers et et à réagir en cas d’incident.

Zones d’ombres…

Me Cyril Pierre Beausse, avocat spécialisé IT et protection des données a ensuite pris la parole pour confirmer le panorama des cyber risques dressé par Pascal Steichen. Il a également indiqué qu’il y avait un grand décalage entre les incident détectés et les plaintes enregistrées. De fait, beaucoup d’entreprises hésitent à porter plainte pour éviter la mauvaise publicité que cela pourrait engendrer…

Cette frilosité pose problème car cela crée un sentiment d’impunité du côté des criminels. En outre, le cas Hashley Madison montre à quel point un incident dans une entreprise peut tuer tout le marché, y compris la concurrence. « Les moutons blancs peuvent souffrir des moutons noirs », conclut Me Pierre Beausse. A méditer certainement, pour promouvoir plus de transparence…

Me Pierre Beausse a également levé le voile sur une réalité peu reluisante : les attaques internes qui s’apparentent parfois à des petites organisations quasi-mafieuses au sein d’une entreprise.

Luxembourg, safe zone ? Pas si sûr, car il est surtout perçu comme prospère donc attractif pour les criminels et le suivi des plaintes n’est pas forcément le plus percutant. « En clair, pour un cybercriminel, il vaut mieux être poursuivi par la police Grand-Ducale que par le FBI ».

…et lueur d’espoir

Le tableau dressé par l’avocat est fort sombre, avec toutefois une petite lueur d’espoir: la coopération internationale s’améliore nettement ces dernières années.

M. Beguin (Vanbreda & Lang) a ensuite embrayé sur la nécessité de gérer les cyber risques et de couvrir le risque résiduel par une assurance. Il a plaidé pour une analyse en profondeur des besoins et des risques à couvrir qui peuvent être très différents d’une entreprise à l’autre. Une évaluation correcte des impacts est également nécessaire. D’après une étude récente, le coût moyen d’une cyber attaque serait de 242.000 euros. Un prix impayable pour de nombreuses PME… D’où l’utilité de mutualiser le risque en contractant une assurance, tout comme on peut mutualiser l’analyse des risques optimisée avec MONARC.