La numérisation des documents et l’essor des communications en ligne accroissent le risque de pertes de données pour les entreprises.
1,9 million d’euros par an : le coût provoqué par la perte de données au sein des entreprises françaises semble à première vue particulièrement faible, mais recèle des conséquences importantes pour les firmes concernées. Une étude menée sur 17 entreprises (15 privées et deux publiques), sur un volume allant jusqu’à plus de 57.000 dossiers pour certaines structures, met en exergue les conséquences d’une violation ou destruction d’informations, un enjeu amené à s’amplifier compte tenu de la dématérialisation de plus en plus poussée des documents.
Parmi les résultats de cette enquête, menée par Ponemon Institute pour PGP Corporation, figurent les principales causes de la soustraction de données : des attaques malveillantes ou criminelles à hauteur de 35% des cas, la négligence des salariés dans la même proportion, ou une défaillance du système informatique (29%).
L’usage d’ordinateurs zombies et de programmes destinés à pénétrer dans un système d’information ainsi que les erreurs causées par des tiers (services d’externalisation des données ou d’infogérance) sont incriminés. Si le fonctionnement des machines est notamment en cause, celui des applications est aussi en question : des logiciels endommagés ou fonctionnant mal peuvent engendrer l’illisibilité des fichiers ou affecter leur intégrité.
Au transfert des dossiers dans un environnement numérique correspond donc des risques, d’où l’indispensable travail de sensibilisation et de prévention devant être mené dans les entreprises. 95% des pertes de données ne seraient pas intentionnelles, selon l’éditeur de solutions de sécurité Sophos, qui met notamment en avant l’usage abusif de la messagerie, permettant la diffusion des mots de passe ou de dossiers confidentiels par le biais d’un simple clic. L’usage de sites destinés à héberger des fichiers (Scribd pour les rapports, SlideShare pour les présentations…), s’il est mal effectué, constitue une aubaine pour tout lecteur désireux d’en connaître un peu (trop) sur une entreprise.
Un danger amplifié par internet
Au-delà de ces utilisations quotidiennes du Net, auxquelles s’adjoignent également les conversations sur les réseaux sociaux, l’usage de périphériques de stockage amovibles est répréhensible : une batterie de logins et d’authentification par adresse IP pourra être mise en place, mais rien n’empêchera un salarié de stocker des fichiers sur un support transportable, à l’instar d’un disque dur. Du matériel dont la fiabilité peut parfois laisser songeur. « Les mauvais garçons ne sont plus des brutes qui fracassent une vitre d’auto pour la voler. Ils ont appris à en faire le tour discrètement jusqu’à ce qu’ils découvrent une portière non verrouillée », illustrait récemment le PDG de Symantec, Enrique Salem, qui rappelle que son entreprise n’est pas non plus à l’abri !
Trois phases d’incursion dans les systèmes d’information ont été identifiées par l’éditeur du célèbre antivirus Norton : d’une part, l’incursion, d’autre part, la découverte, et enfin la capture et la fuite. L’ère des classiques virus – type I love you – ou chevaux de Troie fait progressivement place à celle d’attaques beaucoup plus ciblées, la soustraction de données débutant par le recueil des informations disséminées sur la Toile. Profils en ligne et autres sites internet sont scrutés afin de recueillir un maximum de renseignements. Dans un second temps, des programmes espions scrutent – l’éditeur a volontairement poussé le scénario jusqu’au bout – les agissements de l’utilisateur-cible, opération précédant le recueil des données concernées… puis leur rapatriement chez le pirate.
Le développement de ces risques élargit l’horizon des sociétés spécialisées dans la récupération de données, parmi lesquelles Ontrack Data Recovery. Elle estime à 2,8 millions de dollars par heure le coût d’une perte de données dans le secteur de l’énergie (temps d’immobilisation des ordinateurs compris), ou 1,3 million de dollars dans les technologies de l’information. Un défi majeur pour les prestataires de services tablant sur l’essor du cloud computing, qui risque de se heurter à un manque de confiance majeur.
« Ils font tout pour éviter de perdre les données de leurs clients, en appliquant des mesures de sécurité bien supérieures à celles mises en place dans les grands comptes », tempère toutefois dans Industrie & Technologies Gérôme Billois, consultant au cabinet de conseil Solucom.