Petites ou grandes entreprises, vos données personnelles intéressent les pirates informatiques !

Les cyberattaques et les violations de données s’intensifient toujours. Le piratage du système informatique des impôts a été largement commenté cet été. Contrairement à ce que pensent beaucoup d’entrepreneurs, les petites entreprises sont concernées au même titre que les grandes organisations. Elles disposent souvent d’outils de défense limités, de budgets restreints et d’une moindre sensibilisation aux risques, mais les données qu’elles détiennent intéressent fortement les pirates informatiques. Les conséquences pour l’entreprise peuvent être conséquentes : imaginez-vous plusieurs jours sans messagerie électronique ou sans logiciel de caisse ou de facturation.

La sécurisation des outils est indispensable, mais le mauvais usage qui en est fait est souvent la première cause de la défaillance. Quelques minutes d’inattention suffisent parfois à compromettre la sécurité du système ou à divulguer des informations à un escroc. Le risque dépasse donc la solidité du logiciel : il dépend aussi des personnes autorisées à y entrer et des informations auxquelles elles peuvent accéder. Dans les TPE, par simplicité, combien de salariés utilisent le compte du dirigeant pour se connecter au site des impôts, à celui de l’URSSAF ou d’un autre organisme ?

Ces piratages ont un coût énorme pour les entreprises qui les subissent. Aux frais directs liés à la résolution des problèmes techniques, viennent s’ajouter les coûts indirects liés à l’arrêt de l’activité et à la dégradation de l’image de marque de l’entreprise.

Pour les experts-comptables du réseau TYLS, sensibiliser nos clients à ces risques fait partie de notre rôle de conseil.

Un site internet dédié au suivi et à la documentation des fuites de données

FrenchBreaches est la référence en France pour suivre les fuites de données et les cyberattaques. Le site analyse les incidents, centralise les données compromises et informe sur les risques et les bonnes pratiques.

Vous pouvez également trouver sur ce site un générateur gratuit de demandes d’effacement de vos données personnelles sur des sites que vous n’utilisez plus. En effet, le RGPD permet de demander l’effacement des données personnelles dans certaines situations, notamment lorsqu’elles ne sont plus nécessaires. Ce droit concerne uniquement les personnes physiques, donc pas les personnes morales. Toutefois, il redevient applicable dès lors qu’une personne physique est identifiée ou identifiable à travers les données de la personne morale. L’outil prépare une demande : il ne supprime pas lui-même les données détenues par les organismes. Cette démarche permet toutefois de réduire progressivement votre empreinte numérique, sans remplacer la sécurisation des comptes encore utilisés.

Réagir rapidement en cas d’incident

Bien évidemment une demande de suppression postérieure à une fuite de données ne concerne pas les copies volées.

Un salarié doit donc savoir à qui signaler un doute. Il faut absolument l’encourager à effectuer un signalement aussitôt après un clic malheureux, car un collaborateur qui tarde à effectuer un signalement par crainte de reproches peut laisser l’incident s’étendre.

Si un appareil semble compromis, déconnectez-le du réseau et du Wi-Fi si cela peut se faire sans danger, préservez les preuves et appelez votre prestataire depuis un moyen fiable. Ne réinitialisez pas la machine et ne supprimez pas les messages ou les traces, car certaines preuves peuvent disparaître.

Pour une fraude au paiement, contactez immédiatement votre banque par son numéro d’appel habituel et demandez la mise en œuvre de la procédure de rappel des fonds.

Une violation de données personnelles peut concerner leur divulgation, mais aussi leur perte, leur modification ou leur indisponibilité. Documentez alors l’incident et évaluez la notification à la CNIL, dans les meilleurs délais, et si possible sous 72 heures après en avoir pris connaissance.

Contactez votre assureur selon les conditions du contrat et déposez plainte lorsque l’incident relève d’une infraction. Le site internet du service public 17Cyber.gouv.fr propose une assistance en ligne accessible 24 heures sur 24 et 7 jours sur 7, avec une orientation adaptée au problème.

Ne reconnectez-pas les équipements et sauvegardes sans avoir vérifié que le point d’entrée a été traité. Faites tester le plan de continuité et de reprise par votre prestataire informatique.

Votre expert-comptable du réseau TYLS peut vous aider à identifier les flux comptables et sociaux, à formaliser les contrôles de paiement, à apprécier l’impact financier d’un arrêt de votre activité et à hiérarchiser un plan d’action. Il peut également contribuer à organiser les échanges documentaires avec le cabinet et à vous orienter vers les compétences nécessaires.