2016 Copyright emoveo. Tous droits réservés

La protection des informations sensibles de

l’entreprise : Arrêtez le serpent de mer et passez à

l’action ! Août 2016

2016 Copyright emoveo. Tous droits réservés

Les informations sensibles de l’entreprise sont au cœur d’un véritable trafic destiné à de l’espionnage industriel, à une attaque informationnelle1 ou une opération d’extorsion de fonds.

Même si la plupart des entreprises ont déjà investi dans de nombreuses solutions de sécurité de leur système d’information (contrôle des accès, surveillance de réseaux, sécurité applicative, technologies ad hoc, cryptographie) pour accompagner la digitalisation massive des données, même les plus sensibles. Il semble pour autant évident que leurs informations ne sont pas aussi bien protégées que les décideurs de l’entreprise l’imaginent.

Chaque jour les menaces augmentent et deviennent de plus sophistiquées.

La fuite d'informations sensibles dont a été victime le constructeur naval français DCNS en ce mois d’août 2016, illustre s’il était encore possible d’en douter, que ce type de situation est en mesure de fragiliser une entreprise.

Quand cela se produit, les résultats peuvent être catastrophiques pour la réputation et la crédibilité de l’entreprise.

C’est la raison pour laquelle, nous souhaitions avancer quelques recommandations pour mettre en œuvre des actions concrètes.

Traitez l’organisationnel, le technique et l’humain

Vouloir acquérir une nouvelle solution pour sécuriser ne suffit pas, il convient de traiter la protection des informations les plus sensibles en adressant 3 domaines : l’organisationnel, le technique et l’humain.

2016 Copyright emoveo. Tous droits réservés

Sur le plan organisationnel

Il convient de procéder à une classification d’informations sensibles de l’entreprise en fonction de leur importance.

Toutes les informations de l’entreprise doivent être passées en revue : celles concernant la technique, le commerce, le marketing, l’économique, le financier, les ressources humaines, le système d’information, le juridique, le stratégique, l’organisation.

Toutes ne sont pas sensibles. C’est la raison pour laquelle il convient d’analyser les risques attachés aux données identifiées.

Cette première analyse doit être poursuivie en identifiant les personnes habilitées à y accéder.

Ce travail d’analyse sur le plan organisationnel peut s’appuyer sur différentes méthodologies.

Mais au-delà de la méthode, c’est l’implication des principaux décideurs (PDG et N-1) pour procéder aux arbitrages et acter les résultats qui constitue le facteur de succès de cette démarche.

Sur le plan technique

Il est essentiel de chiffrer les informations les plus sensibles. Ces dernières devront également être stockées sur des serveurs sécurisés.

Il vous appartient également de « prévenir plutôt que guérir ». Vous pouvez donc choisir certaines solutions vous permettant aujourd’hui d’être alerté en cas de consultation non autorisée des données sensibles ou dans certaines situations (Temps de consultation élevé, tentative de sorties des données selon les fonctionnalités des applications choisies).

Afin de prévenir toute résistance au changement, cette sécurisation peut-être perçue par les utilisateurs comme complexe et contraignante. Pour un résultat optimal, les solutions techniques sélectionnées devront s’intégrer facilement dans leur environnement de travail.

Point de vigilance : Si vos informations sensibles sont hébergées chez un prestataire de services. À l’occasion de la contractualisation, il est nécessaire de s’assurer des solutions de sécurisation mises en place. Tout au long du contrat, il vous appartient également de vérifier au travers d’audits réguliers de leur mise en place effective.

Sur le plan humain

Souvent mis de côté, l’aspect humain est un facteur à risque pour l’entreprise.

Transfert de données vers une adresse email personnelle ou un ordinateur non sécurisé, erreurs involontaires, extorsion d’information sont autant d’exemples de situations dans lesquelles est impliqué le facteur humain.

C’est la raison pour laquelle, il est important d’instaurer une culture de sécurité par le biais d’actions de sensibilisation et de formations des responsables accédant aux informations sensibles.

2016 Copyright emoveo. Tous droits réservés

Cela peut passer par des exercices de mise en situation, le témoignage au sein de l’entreprise de référents des forces de l’ordre ou de témoins clés d’entreprises d’un secteur d’activité différent du vôtre.

Ces différentes actions devront porter sur les risques comme sur les bonnes pratiques pouvant être appliquées par chaque utilisateur.

Passez à l’action

Nous l’avons vu précédemment, la protection des informations sensibles de l’entreprise ne peut se résumer à la mise en place uniquement de solutions techniques.

Mais sur les autres aspects, elle est encore trop souvent considérée dans l’entreprise comme un serpent de mer.

C’est la raison pour laquelle il est important d’associer les décideurs, dans un temps fort et très court, afin d’acter les solutions à mettre en place et s’engager sur des actions.

Exemple de l’implication des décideurs sur un temps fort et très court.

Comme nous l’avons réalisé au sein deux entreprises multinationales depuis le début de cette année 2016, il est important que cette implication des décideurs débute par un exercice de mise en situation afin de favoriser le partage d’une même vision sur les enjeux et leur engagement dans l’action.

2016 Copyright emoveo. Tous droits réservés

1 Attaque informationnelle : Action délibérée et limitée dans le temps visant à utiliser la connaissance

contre un adversaire choisi. C’est un phénomène rumoral visant à nuire intentionnellement à une

entité identifiable (personne physique ou morale, marque, technologie, etc.), ou à ses intérêts.

(Source : Portail de l’IE)

Pour plus d’informations, contactez : Jean-Marc Sépio Associé emoveo Crises & Transformations jmsepio@emoveo.fr

À propos d’emoveo : Cabinet de conseil en Stratégie et Transformation d’entreprises et d’organisations fondé en 2008 par des associés ayant 20 ans d’expérience dans le conseil et l’opérationnel, emoveo aide ses clients à construire leur vision stratégique, à mener leurs projets de transformation, à améliorer la performance opérationnelle de leur entreprise, à conduire efficacement les changements. emoveo revendique un style de travail qui lui est propre, le « Side Management ® », qui repose sur un engagement fort et place le capital humain au cœur de la création de valeur. emoveo accompagne ses clients en France et à l’International depuis 3 bureaux : Paris, Lyon, Toulouse (siège social).