Une étude récente de la société Symantec révélait que la France faisait partie des pays les plus touchés par la cybercriminalité.
Alors qu’un nouveau règlement européen sur la protection des données est en train d’être mis en place, ce pays doit encore combler certaines lacunes dans ce secteur ultrasensible.
Si l’on fait une moyenne, chaque Français pourrait donc, en théorie, avoir été victime de la cybercriminalité au moins une fois durant ce laps de temps. Mais comme toutes les victimes ne portent pas plainte, loin de là, ces chiffres sont certainement très loin de la réalité. Cette progression continue de la criminalité à distance se manifeste en particulier par la recrudescence des « malwares », ces logiciels malveillants qui accèdent à l’appareil d’un utilisateur à son insu pour lui dérober des données. S’y ajoutent désormais les « ransomwares », ou rançongiciels, des virus qui permettent aux malfaiteurs de prendre la main sur l’ordinateur de leurs victimes et de leur demander de payer une rançon pour débloquer l’appareil. En France, un courriel sur 312 serait infecté par un malware et une adresse mail sur 2 644 serait victime d’une tentative de vol de données. Le pire, c’est qu’il est de plus en plus facile pour un individu lambda de se procurer des logiciels nuisibles assortis d’un tutoriel, soit gratuitement sur internet, soit en payant sur le Dark web.
Des failles qui coûtent très cher
Si les particuliers sont touchés, les entreprises ne sont pas épargnées. Elles constituent même les cibles privilégiées des cybercriminels. En 2016, les entreprises françaises ont vu leur perte financière liée aux cyberattaques augmenter de 50 % selon une étude publiée début novembre par le cabinet de conseil PwC et réalisée auprès de 9 500 dirigeants et responsables informatiques de 122 pays à travers le monde. Cette étude recensait 4 550 incidents en un an pour un coût moyen de 2,25 millions d’euros de pertes pour chaque société touchée. Dans certains secteurs, les médias par exemple, certaines entreprises subissent des dizaines de milliers d’attaques par jour. La plupart sont inoffensives (script kiddie, hameçonnage, mail-bombing …) mais celles qui sont ciblées peuvent faire de gros dégâts.
La question est tellement sensible que les pays de l’Union européenne ont voté en mai 2016 un règlement général sur la protection des données, également connu sous le nom de GDPR, qui va officiellement entrer en vigueur le 25 mai 2018 et profondément changer leurs habitudes en la matière. Ce nouveau règlement, qui comporte 99 articles de loi, prévoit notamment de très lourdes sanctions (jusqu’à 4% du chiffre d’affaires annuel en amendes) envers les entreprises qui ne respecteraient pas les règles de précaution. Celles-ci les obligent par exemple à communiquer dans les 72 heures auprès de l’autorité de tutelle (la CNIL en France) en cas de failles informatiques, un net progrès lorsqu’on sait qu’aux États-Unis par exemple, certaines sociétés comme Uber ou Yahoo, pour ne citer que les cas les plus spectaculaires, ont mis des années avant de faire savoir qu’elles avaient été piratées.
Un retard à combler
Reste qu’un pays comme la France est très en retard dans ce domaine de la cybersécurité, notamment dans la formation comme le fait observer Nadjim Yala, le RSSI (Responsable de la sécurité des systèmes d’information) de France Médias Monde, la société qui regroupe RFI, France 24 et MC Doualiya. « En France, dit-il, on a un vrai problème sur le cursus scolaire, même spécialisé. Les jeunes qui arrivent aujourd’hui sur le marché de l’emploi ne sont pas du tout experts en matière de cybersécurité alors que dans des pays comme Singapour ou Israël, on l’enseigne dès le collège. En France c’est un marché très très tendu. Aujourd’hui, il faut deux à trois ans pour trouver un RSSI sur le marché de l’emploi. Même l’ANSSI[Agence nationale de la sécurité des systèmes d’information ; ndlr] a du mal à recruter. Ce sont des gens très recherchés parce qu’il faut qu’ils aient à la fois une expérience technique de la cybersécurité, une expérience juridique et qu’ils connaissent bien la stratégie de l’entreprise ».
Ces lacunes, le gouvernement les a néanmoins en tête comme en atteste le discours très volontariste tenu par Gérard Collomb lors du dernier salon Milipol qui s’est tenu à Villepinte, près de Paris, du 21 au 24 novembre. « Il me semble indispensable de développer en France nos propres savoir-faire, en particulier sur des segments aussi stratégiques que le renseignement, la protection des données sensibles ou la lutte contre la cybercriminalité », a déclaré le ministre de l’Intérieur. Il a par ailleurs indiqué qu’il souhaitait que le chiffre d’affaires des entreprises de sécurité soit doublé d’ici 2025 avec à la clef la création de 75 000 nouveaux emplois qualifiés alors que des événements comme la Coupe du monde de rugby 2023 et les Jeux olympiques 2024 mettront encore un peu plus la France sur le devant de la scène. D’ici là, la réserve citoyenne de cyberdéfense, une force créée en 2014 et constituée de bénévoles prêts à intervenir en cas de crise majeure, aura été renforcée pour compter 4 440 personnes dans ses rangs dès 2019. Cette initiative qui remonte au gouvernement précédent va dans le sens de l’implication de chacun.