Chapitre 2 – Les risques liés à la gestion numérique des informations

2.1 – Les cybermenaces courantes : phishing, ransomware, malware, ingénierie sociale

Les cybermenaces ne sont plus l'affaire des seules grandes multinationales : elles s'invitent quotidiennement dans les boîtes mail des PME, des mairies et des associations. Comprendre les principales attaques, c'est se donner les moyens de les repérer avant qu'elles ne causent des dommages irréversibles. Le phishing, ou hameçonnage, est l'attaque la plus fréquente : un courriel ou un SMS imite l'identité d'un tiers de confiance (banque, fournisseur, direction, administration) et incite la victime à cliquer sur un lien piégé pour révéler ses identifiants ou télécharger un fichier malveillant. La fraude au président, variante perfectionnée, vise spécifiquement l'assistant ou le comptable pour obtenir un virement urgent et confidentiel.

Le ransomware (ou rançongiciel) constitue la menace la plus médiatisée de ces dernières années. Un programme malveillant pénètre le système, chiffre l'ensemble des fichiers professionnels et exige une rançon en cryptomonnaie pour fournir la clé de déchiffrement. L'hôpital de Corbeil-Essonnes, plusieurs collectivités françaises et de nombreuses PME ont vu leur activité paralysée pendant des semaines. Au-delà du ransomware, on trouve toute une famille de malware : virus, chevaux de Troie, spyware, keyloggers qui enregistrent les frappes au clavier, adware envahissants. Chacun a ses portes d'entrée et ses dégâts, mais tous reposent souvent sur une même erreur initiale : un clic imprudent.

L'ingénierie sociale, enfin, est probablement la technique la plus difficile à combattre car elle joue sur le facteur humain et non sur la machine. Un attaquant se fait passer pour un technicien informatique au téléphone, demande de l'aide à un assistant en prétextant un problème urgent, ou laisse traîner une clé USB infectée dans le hall de l'entreprise. Inès, secrétaire d'une école privée, peut être appelée par un faux « inspecteur académique » qui réclame d'urgence la liste des élèves boursiers : la curiosité, la politesse ou la pression d'autorité peuvent faire basculer la victime. Connaître ces mécanismes, c'est ressentir une saine méfiance face à tout ce qui semble « presque normal mais un peu bizarre ».

Les 4 grandes familles de cybermenaces

2.2 – Les risques internes : erreurs humaines, mauvaise gestion des accès, shadow IT

Toutes les menaces ne viennent pas de l'extérieur : les statistiques de l'ANSSI le rappellent chaque année, près de 60 % des incidents de sécurité ont une cause interne. La première cause, et de loin, est l'erreur humaine. Un assistant qui envoie par mégarde un fichier d'adhérents en pièce jointe à un destinataire externe, une assistante qui répond à tous au lieu de répondre à l'expéditeur, un employé qui perd un ordinateur portable non chiffré dans un train : ces gestes banals peuvent provoquer des fuites massives. Lucas, secrétaire de mairie, peut ainsi exposer la liste complète des bénéficiaires d'une aide sociale en envoyant un tableur sans masquer les onglets cachés.

La mauvaise gestion des accès est un risque majeur, souvent invisible. Quand un salarié change de poste mais conserve ses anciennes habilitations, quand un stagiaire reste autorisé sur le CRM six mois après son départ, quand un mot de passe partagé continue de circuler entre collègues, l'organisation s'expose. Le principe du moindre privilège, qui veut que chaque collaborateur ait seulement les droits strictement nécessaires à sa mission, est rarement respecté en l'absence de procédure formelle. Anaïs, assistante dans une PME industrielle de 30 personnes, peut ainsi se retrouver à manipuler le module RH alors qu'elle n'a aucune mission de paie : la faille ne sera révélée qu'en cas d'audit ou de fuite.

Le shadow IT, troisième risque interne, désigne l'usage par les salariés d'outils numériques non validés par la direction informatique. Stockage personnel sur Dropbox, conversations professionnelles sur WhatsApp ou Discord, partage de documents via WeTransfer non sécurisé, applications de notes installées sur le smartphone personnel : ces pratiques échappent au contrôle et accumulent les données sensibles dans des silos invisibles. Karim, chargé d'accueil dans une mutuelle, peut ainsi conserver des fichiers patients sur son cloud personnel par confort, sans réaliser qu'il sort les données du périmètre sécurisé. Lutter contre le shadow IT suppose de proposer des outils validés et ergonomiques, autant que d'interdire les autres.

Les risques qui viennent de l'intérieur

2.3 – Les risques liés aux réseaux : WiFi public, messagerie non sécurisée, BYOD

Le travail à distance, généralisé après la crise sanitaire, a multiplié les points de fragilité du réseau professionnel. Le WiFi public, en particulier, est un piège bien connu. Dans un café, une gare ou un aéroport, n'importe quel attaquant connecté au même réseau peut intercepter le trafic non chiffré, capturer des mots de passe transmis en clair, lancer des attaques dites « man in the middle » qui s'intercalent entre l'utilisateur et le service auquel il croit se connecter. Pour Sophie, qui consulte la messagerie professionnelle de son cabinet d'avocats depuis le wifi d'une terrasse, le risque d'exposition de dossiers clients est concret. La parade s'appelle VPN (Virtual Private Network), qui crée un tunnel chiffré entre l'appareil et le réseau de l'organisation.

La messagerie non sécurisée est un autre point faible. Beaucoup d'organisations utilisent encore des protocoles anciens (POP/IMAP non chiffrés, SMTP en clair) qui exposent le contenu des messages et leurs pièces jointes à toute interception. Les services de messagerie modernes (Outlook 365, Google Workspace, Zimbra…) imposent désormais le chiffrement TLS, mais cela ne protège pas du contenu en lui-même : un courriel reste lisible par tout administrateur ayant accès aux serveurs. Pour les échanges hautement confidentiels, le chiffrement de bout en bout via des solutions comme ProtonMail, ou la signature et le chiffrement S/MIME, devient nécessaire. Quentin, dans une mutuelle, n'enverra jamais un dossier d'assuré contenant des données médicales par simple courriel sans chiffrement.

Le BYOD (Bring Your Own Device), enfin, traduit le brouillage croissant entre vie personnelle et vie professionnelle. Les collaborateurs lisent leurs courriels sur leur smartphone personnel, consultent le CRM depuis leur tablette familiale, prennent des photos de documents avec leur téléphone. L'organisation perd toute maîtrise des terminaux d'accès, qui peuvent être volés, piratés ou cédés à un proche. La sécurisation passe alors par des solutions de MDM (Mobile Device Management) qui imposent un code de verrouillage, le chiffrement et la possibilité d'effacement à distance, ou par une politique stricte qui réserve l'accès aux ressources critiques aux seuls appareils fournis par l'employeur. La règle d'or reste de ne jamais mélanger les espaces sans précaution technique adaptée.

Les 3 risques réseau du télétravail

2.4 – La cartographie des risques d'une organisation : méthode d'identification et de hiérarchisation

Avant de protéger, il faut connaître ce que l'on protège et identifier ce qui menace ces actifs. C'est l'objet de la cartographie des risques, exercice méthodique que toute organisation devrait conduire au moins une fois par an. La démarche se décompose en quatre étapes claires. La première étape consiste à inventorier les actifs critiques : quelles sont les données les plus sensibles ? quels sont les outils sans lesquels l'activité s'arrête ? quels sont les processus métiers essentiels ? Pour un cabinet dentaire dirigé par le docteur Bernard, l'inventaire incluera le logiciel de gestion patients, les radiographies numériques, la téléphonie, le terminal de paiement, les dossiers comptables, le fichier RH.

La deuxième étape consiste à identifier les menaces qui pèsent sur chacun de ces actifs : cyberattaque externe, panne matérielle, sinistre (incendie, dégât des eaux), erreur humaine, vol physique, départ d'un salarié malveillant. À chaque menace correspondent une ou plusieurs vulnérabilités, c'est-à-dire des faiblesses exploitables : mots de passe faibles, absence de sauvegarde, locaux mal sécurisés, sensibilisation insuffisante. La troisième étape, l'évaluation, croise la probabilité d'occurrence et la gravité des conséquences pour produire un niveau de risque. Une matrice à quatre niveaux (faible, modéré, élevé, critique) est généralement utilisée, dans la lignée de la méthode EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité) promue par l'ANSSI.

La quatrième étape est la hiérarchisation et le traitement. Les risques critiques exigent un plan d'action immédiat ; les risques élevés une planification rigoureuse ; les risques modérés une surveillance ; les risques faibles peuvent être acceptés. Le traitement peut prendre quatre formes principales : éviter (renoncer à l'activité ou au système concerné), réduire (mettre en place des mesures de protection), transférer (par exemple via une assurance cyber) ou accepter (consciemment, après évaluation). Théo, DPO d'une association, formalisera l'ensemble dans un document partagé avec la direction, sera révisé chaque année et lors de tout changement structurel. Cette cartographie est l'arme la plus puissante pour orienter les investissements sécurité au bon endroit.

Cartographie des risques en 4 étapes

2.5 – Les conséquences d'une violation de données : impacts juridiques, financiers et réputationnels

Une violation de données ne se limite jamais à un simple incident informatique : elle entraîne une cascade de conséquences qui peuvent menacer l'existence même de l'organisation. Sur le plan juridique, la première conséquence est l'enclenchement des obligations RGPD : notification à la CNIL sous 72 heures, information directe des personnes concernées en cas de risque élevé, documentation détaillée de l'incident dans le registre des violations. Si l'enquête révèle un manquement aux mesures de sécurité, la CNIL peut prononcer des sanctions allant de l'avertissement à l'amende administrative jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. À cela s'ajoutent les actions civiles individuelles ou en action de groupe, et le risque pénal pour collecte ou divulgation illicite.

Sur le plan financier, le coût immédiat d'une cyberattaque dépasse largement le seul versement éventuel d'une rançon. Le rapport annuel d'IBM Cost of a Data Breach évalue le coût moyen d'une violation à plusieurs millions d'euros pour les grandes structures et à plusieurs centaines de milliers pour les PME. Ce coût agrège : interventions d'urgence d'experts en cybersécurité, restauration des systèmes et des sauvegardes, équipement de remplacement, indemnisation des victimes, frais d'avocats, amendes éventuelles, perte d'activité pendant les jours ou semaines d'arrêt. Une PME industrielle dont la production est paralysée perd à la fois son chiffre d'affaires, ses délais clients et parfois des contrats fournisseurs. Pour Anaïs, assistante administrative, observer la facture d'un sinistre informatique dans sa propre entreprise reste une expérience marquante.

L'impact réputationnel, enfin, est souvent le plus durable. La confiance, qui s'est construite sur des années, peut se déliter en quelques jours médiatiques. Un cabinet comptable victime d'une fuite de données fiscales voit fuir une partie de sa clientèle dans les six mois suivants. Une école privée qui annonce la publication accidentelle des notes ou des dossiers médicaux scolaires devra rassurer les familles pendant des trimestres entiers. Une association sportive dont la liste d'adhérents fuite peut subir une démission massive. À ces trois impacts s'ajoutent des conséquences humaines parfois lourdes : stress des équipes, perte de motivation, démissions, accusations internes. Comprendre ces conséquences, c'est mesurer l'importance d'un investissement sérieux dans la prévention, qui coûte toujours moins cher qu'une réparation.

Les 3 impacts d'une violation de données