Sécurité des entreprises
De nombreuses petites organisations se tournent vers l’assurance contre les cyber-risques, à la fois pour se protéger contre le coût d’un cyber-incident et pour utiliser les nombreux services post-incident proposés par les assureurs.
31 juil. 2024
•
,
4 minutes. lire
Si nous devions arrêter les gens dans la rue et leur demander des mots pour décrire les personnes impliquées dans le monde du cyber, de nombreux mots seraient sans aucun doute utilisés. Je suis convaincu qu’il s’agirait d’innovateurs, d’entrepreneurs, de millionnaires, de geeks – et de criminels. Bien entendu, cette dernière ne fait pas référence aux acteurs du cybermonde légitime, mais aux escrocs et aux fraudeurs que nous qualifions souvent de cybercriminels.
Malheureusement, de nombreux cybercriminels correspondent à tous les mots ci-dessus : innovateurs, entrepreneurs, millionnaires (peut-être), geeks et, bien sûr, criminels. Pour commencer, ils possèdent une incroyable capacité à se concentrer sur un sujet d’actualité et à adapter leurs campagnes pour qu’elles soient diffusées dans les boîtes de réception en quelques heures, ce qu’une entreprise typique met des jours ou des semaines à réaliser.
D’une certaine manière, ce sont également des innovateurs agiles, qui modifient leur mode de fonctionnement rapidement et efficacement lorsque les bénéfices diminuent. L’évolution des ransomwares en est un excellent exemple : de l’extorsion de consommateurs individuels ou d’appareils uniques à la perturbation d’entreprises entières, en passant par l’exfiltration de données et la menace de les vendre ou de les exposer, jusqu’à signaler une entreprise à un régulateur financier pour ne pas avoir divulgué un cyberincident alors que ils ont refusé de payer une demande d’extorsion. Les cybercriminels, ou du moins certains d’entre eux, sont innovants dans leur réflexion et entreprenants dans leur passion de gagner de l’argent.
Voici quelques chiffres pour illustrer ce propos : la cybercriminalité devrait coûter aux entreprises 10 500 milliards de dollars en 2025. Ce chiffre astronomique inclut les profits réalisés par les cybercriminels par divers moyens, que ce soit en escroquant un consommateur ou en rançonnant un hôpital après avoir perturbé leur activité. état opérationnel. La menace qui pèse sur les entreprises est réelle et fait de plus en plus la une des journaux – un exemple en est la récente attaque de ransomware contre Change Healthcare qui a amené leur société mère à déclarer que l’incident leur avait coûté 900 millions de dollars, et qu’elle s’attend à ce que ce montant atteigne potentiellement 1,6 milliard de dollars.
Ces chiffres sont effrayants et, même si les entreprises sont capables d’absorber ces coûts, les petites entreprises pourraient se retrouver dans une situation difficile et ne pas survivre financièrement. Les petites organisations ne sont en aucun cas à l’abri des cyberattaques ; par exemple, l’école Finham Park située à Coventry, au Royaume-Uni, qui compte 1 500 élèves, a été touchée à trois reprises par des cyberattaquants.
Ce blog est le deuxième d’une série consacrée à la cyberassurance et à sa pertinence dans cette ère de plus en plus numérique. Le blog d’ouverture est disponible ici. Apprenez-en davantage sur la manière dont les organisations peuvent améliorer leur assurabilité dans notre dernier livre blanc, Prévenir, Protéger. Assurer.
Le comportement humain est un facteur majeur dans les cyberattaques, la plupart des attaques réussies commençant par une forme d’ingénierie sociale. Depuis 15 ans, le message « utilisez des mots de passe forts et ne cliquez pas sur les liens » est promu par les organisations nationales de cyberprotection du monde entier, avec un succès limité. Les cybercriminels continuent de perfectionner l’art de la tromperie et parviennent à duper leurs victimes pour qu’elles abandonnent leurs informations d’identification, transfèrent des fonds ou exécutent des logiciels malveillants joints à un e-mail. Les formations de sensibilisation à la cybersécurité rappellent certes aux collaborateurs les dangers, mais tout changement majeur de comportement nécessitera probablement une nouvelle génération d’employés sensibilisés aux cybermenaces et aux bonnes pratiques pour les éviter.
Un autre problème majeur pour de nombreuses équipes informatiques et de cybersécurité est le déluge incessant de divulgations de vulnérabilités. Chaque appareil et instance de logiciel nécessite des correctifs réguliers, et parfois dans la précipitation en raison de la divulgation d’une vulnérabilité activement exploitée. La base de données CVE des vulnérabilités connues continue de croître d’année en année et, couplée au fait que toutes les organisations utilisent davantage d’appareils et de logiciels, cela fait de la gestion des correctifs un défi important. L’automatisation de la gestion des correctifs atténue le problème dans une certaine mesure, mais chaque organisation dispose probablement d’un appareil inconnu et non corrigé connecté quelque part, et le cybercriminel n’a qu’à le trouver pour l’exploiter.
Le paysage devient plus complexe à mesure que les défenseurs et les attaquants se tournent vers les outils d’automatisation et d’IA pour améliorer leur efficacité. Les défenseurs utilisent l’IA depuis un certain temps, par exemple pour passer au crible de grandes quantités de données, identifier les anomalies, hiérarchiser les alertes et automatiser les réponses. Pendant ce temps, les attaquants bénéficient d’outils de développement pour créer et masquer des logiciels malveillants, de la création de contenu pour des campagnes de phishing, etc. Bien qu’aucun exemple spécifique d’attaque générée par l’IA (c’est-à-dire où l’IA mène de manière autonome toutes les étapes d’une attaque sans intervention humaine) n’ait été publié, il est raisonnable de dire que les cyberattaques sont assistées par l’IA.
C’est pourquoi de nombreuses petites entreprises et organisations se tournent vers l’assurance contre les cyber-risques, à la fois pour se protéger contre le coût d’un cyber-incident et pour utiliser les nombreux services post-incident proposés par les assureurs. À mesure que l’adoption de la cyberassurance se développe, elle est susceptible d’être perçue de la même manière que n’importe quelle menace inattendue, comme l’incendie et le vol. Les exigences accrues en matière de cybersécurité exigées par les assureurs pourraient conduire à des améliorations significatives de la posture de cybersécurité. Cependant, la cyberassurance peut également signaler aux cybercriminels que l’organisation est prête à payer des rançons, car ce n’est pas à leurs propres frais.
Mon associé, Peter Warren, journaliste d’investigation, écrivain et animateur primé, a mené un certain nombre d’entretiens sur le thème des futures cybermenaces auxquelles les entreprises pourraient être confrontées, en particulier sur la manière dont l’IA pourrait changer le paysage des menaces. Le podcast est à retrouver ci-dessous…
Découvrez comment l’assurance contre les cyber-risques et la couverture contre les cyber-risques, combinées à des solutions avancées de cybersécurité, peuvent améliorer vos chances de survie si ou quand une cyberattaque se produit. Téléchargez notre livre blanc gratuit : Prévenir. Protéger Assurer, ici.
