Interview avec Marc Ruef

swissVR Monitor : Vous êtes un expert reconnu en cybersécurité. À votre avis, comment la cyber-résilience des entreprises a-t-elle évolué ces dernières années ?

Marc Ruef : La cyber-résilience s’est globalement améliorée. De nombreuses entreprises considèrent désormais la cybersécurité comme un élément important du risque d’entreprise. Les membres de la direction se préoccupent aujourd’hui beaucoup plus des risques et des exigences réglementaires dans le domaine numérique. Parallèlement, la cybercriminalité s’est elle aussi professionnalisée. Les groupes de ransomware opèrent aujourd’hui comme des prestataires de services industriels, avec des rôles spécifiques, une répartition des tâches et des modèles économiques bien définis. Ainsi, la course entre attaquants et défenseurs se poursuit.

swissVR Monitor : Selon notre enquête menée auprès des members de conseils d’administration, plus d’un tiers des entreprises ont été victimes à ce jour d’une cyberattaque préjudiciable. Selon vous, quelles sont les principales vulnérabilités et pistes d’amélioration des entreprises ?

Marc Ruef : Le vol d’identifiants reste le risque le plus important. Les attaques réussies par phishing, via des infostealers ou des comptes compromis peuvent avoir des conséquences dévastatrices. Ce qui est relativement nouveau, c’est la prise de conscience croissante des risques liés aux prestataires tiers et aux chaînes d’approvisionnement. La complexité croissante des systèmes modernes entraîne des risques qui, à première vue, passent inaperçus et sont donc souvent négligés.

swissVR Monitor : Il y a trois ans, dans le cadre de la même enquête, la proportion d’entreprises ayant été victimes d’une cyberattaque s’élevait encore à environ un quart. Comment expliquez-vous cette hausse dans un contexte où les entreprises accordent une attention accrue aux cyberattaques ?

Marc Ruef : Cette augmentation n’est pas en contradiction avec une meilleure compréhension des cyber-risques. Mais fondamentalement, la complexité des systèmes – et donc leur surface d’attaque – s’est accrue. Les protéger n’est donc pas devenu plus facile. De plus, la cybercriminalité s’est transformée en un véritable modèle économique qui s’est systématiquement développé et perfectionné. Nous observons actuellement les premiers effets, déjà très concrets, de l’IA dans le domaine de la cybersécurité. Tant les défenseurs que les attaquants tirent profit de ces nouvelles possibilités.

swissVR Monitor : Selon vous, quelles sont les mesures les plus efficaces pour préparer les collaborateurs à faire face aux cyberattaques ?

Marc Ruef : La mise en oeuvre réussie de la cybersécurité ne commence pas par l’acquisition de technologies coûteuses. C’est avant tout la culture de sécurité de l’entreprise qui dicte les possibilités et les modalités en la matière. La formation du personnel est un élément essentiel pour réduire le degré de vulnérabilité aux attaques. Et diverses mesures techniques, qui ont fait leurs preuves au fil des décennies, peuvent être mises en oeuvre et optimisées en permanence. Il s’agit notamment de mécanismes classiques tels que les pare-feux, la segmentation des réseaux, les solutions antivirus et l’installation de mises à jour.

swissVR Monitor : Selon notre dernière enquête, plus de la moitié des entreprises ne sont pas en mesure de garantir que leurs processus informatiques essentiels pourront être rétablis en cas de cyberattaque sans entraîner de coûts ou de dommages inacceptables. À quoi devraient concrètement ressembler les plans prévus pour un tel scénario et comment devraient-ils être testés ?

Marc Ruef : Le sang-froid et la discipline sont des conditions essentielles à la sécurité d’une entreprise. Il faut absolument prendre le temps et garder son calme afin de se préparer à une situation de crise. Il faut identifier les processus clés, déterminer les risques qui les menacent et élaborer des mesures visant à limiter les répercussions ou à assurer la reprise des activités. Ne pas s’y atteler suffisamment tôt est désastreux, car lorsque la crise survient, on se bat alors, selon les cas, pour sa survie même et on n’a alors plus le temps de prendre les bonnes décisions avec discernement, et encore moins de planifier quoi que ce soit.