Kilian, quand vous regardez l’état des infrastructures numériques du pays (réseaux, télécoms, systèmes métiers), parlez-nous de ce qui vous rassure le plus aujourd’hui, et quels sont vos motifs d’inquiétude ?
Il est difficile de tirer des conclusions générales. Toutefois, il est réjouissant de constater que la prise de conscience des cyberrisques s’est nettement accrue dans le monde économique et que ce sujet suscite un intérêt croissant de la part des entreprises et de la population en général. Malgré cette évolution positive, de nombreuses entreprises demeurent insuffisamment préparées. Nous observons encore fréquemment des systèmes informatiques obsolètes, des sauvegardes inexistantes ou insuffisamment protégées, l’absence de solutions d’authentification multifactorielle (MFA), le manque de plans d’urgence ainsi qu’une formation insuffisante des employés en matière de cybersécurité. Les PME et les communes, en particulier, ne sont souvent que partiellement préparées aux cyberattaques, faute de connaissances spécialisées et de ressources suffisantes.
Si vous deviez citer une décision stratégique que les dirigeants d’entreprises suisses devraient prendre maintenant pour se préparer aux cinq prochaines années de risques numériques, laquelle serait-ce, et pourquoi ?
La Direction est responsable de la sécurité numérique de l’entreprise. Il est donc essentiel d’intégrer cette question dans les décisions stratégiques. La mise en place d’une cybersécurité efficace ne sera pas parfaite dès le départ, mais il s’agit d’un processus continu qu’il est important d’initier le plus tôt possible. La bonne nouvelle, c’est que les mesures de protection les plus efficaces sont plus faciles à mettre en œuvre que beaucoup ne le pensent. Grâce à des mesures de protection de base ciblées, il n’est pas difficile de considérablement améliorer le niveau de sécurité de l’entreprise, et cela à moindre coût. Par exemple, en activant l’authentification multifactorielle (MFA). En effet, un mot de passe seul n’offre plus une protection fiable aujourd’hui. Cette seule mesure permet d’empêcher une grande partie des accès non autorisés aux systèmes et données. Il est conseillé de procéder régulièrement à des sauvegardes, car la perte de données due à des ransomwares ou à des pannes techniques est l’une des causes de dommages les plus fréquentes. Il faut impérativement sauvegarder les données sur un support externe ou dans un cloud sécurisé : la sauvegarde ne doit pas être connectée en permanence à l’environnement de travail.
Les mises à jour de sécurité doivent être systématiques. Les logiciels obsolètes constituent l’une des principales portes d’entrée pour les pirates, d’où l’importance cruciale d’effectuer régulièrement et rapidement les mises à jour pour les systèmes d’exploitation, les appareils mobiles et les navigateurs, de préférence automatiquement. Il faut également se méfier des courriels inattendus ! Le phishing reste l’une des méthodes d’attaque les plus courantes. Ne jamais ouvrir sans réfléchir les pièces jointes ou les liens contenus dans des courriels inattendus. En cas de doute, mieux vaut vérifier une fois de trop par téléphone.
Pour conclure, la sensibilisation des collaborateurs est importante. La technologie seule ne suffit pas. L’être humain reste une porte d’entrée, mais constitue en même temps un niveau de protection supplémentaire. La sensibilisation régulière des collaborateurs n’est pas une mesure ponctuelle, mais un processus continu qui porte ses fruits sur le long terme.
Les entreprises sont de plus en plus dépendantes de leurs réseaux et de leurs outils de communication pour simplement pouvoir travailler. Comment cette dépendance change-t-elle la nature des risques cyber que vous observez sur le terrain ?
La dépendance aux réseaux et aux moyens de communication numériques ne modifie pas en premier lieu la nature des attaques, mais leurs conséquences. Ce qui était autrefois un problème isolé peut aujourd’hui paralyser toute une entreprise. C’est pourquoi l’OFCS met l’accent sur la cybersécurité dans la chaîne d’approvisionnement dans le cadre de ses actions de sensibilisation.
En effet, la chaîne d’approvisionnement est une porte d’entrée sous-estimée. Plus les entreprises travaillent en réseau, plus leur surface d’attaque, souvent négligée, s’agrandit. Une attaque réussie contre un prestataire informatique ou un fournisseur de logiciels peut avoir un effet domino sur tous les clients de ce prestataire, sans que ceux-ci aient été directement attaqués. Chaque nouvelle application, chaque nouvel appareil et chaque nouvelle interface augmente le nombre de vulnérabilités potentielles. Les failles de sécurité connues restent trop longtemps ouvertes et les attaquants en profitent.
En même temps, les ransomwares restent un phénomène important. Le ransomware Akira en est un exemple actuel. Ce groupe de hackers a attaqué environ 200 entreprises suisses au cours des derniers mois seulement. Aujourd’hui, lorsqu’une entreprise est paralysée par un ransomware, ce n’est souvent pas seulement son système informatique qui est à l’arrêt, mais dans le pire des cas, l’ensemble de ses activités. Pour cette raison, il est également nécessaire de préparer des plans d’urgence et de continuité pour permettre à l’entreprise de reprendre rapidement ses activités et garantir sa survie en cas de paralysie générale due à une cyberattaque.
L’IA va-t-elle devenir un complice de la cybercriminalité ?
L’intelligence artificielle (IA) joue un rôle croissant dans la cybercriminalité. Les pirates expérimentent de plus en plus l’automatisation de leurs attaques afin de minimiser leurs efforts et de maximiser leurs gains. Les cybercriminels utilisent l’IA pour rendre leurs tentatives de fraude plus crédibles. Que ce soit par le biais de deepfakes audios ou vidéos, qui trompent les victimes potentielles, ou de courriels de phishing générés automatiquement dans un français irréprochable. Ce qui était auparavant facilement identifiable comme une fraude en raison d’erreurs linguistiques semble aujourd’hui bien réel. C’est pourquoi la sensibilisation est plus importante que jamais. L’IA permet également aux cybercriminels d’optimiser la recherche de vulnérabilités sur les réseaux exposés sur Internet. Le temps de détection ainsi que la préparation d’une attaque ciblée sont fortement réduits. Il est donc essentiel de ne pas attendre pour mettre à jour les actifs matériels et logiciels, car ce temps est devenu encore plus précieux face à l’automatisation toujours plus rapide des cybercriminels.
Les outils utilisés au travail et à la maison (cloud, messageries, objets connectés) se mélangent de plus en plus. Comment cette porosité entre vie privée et vie professionnelle complique-t-elle la sensibilisation à la cybersécurité ?
En tant qu’expert en sensibilisation, je constate avec satisfaction que le thème de la cybersécurité occupe une place de plus en plus importante dans la vie quotidienne des usagers. Il ne s’agit plus d’un sujet informatique abstrait, mais d’une question dont ils parlent et pour laquelle ils cherchent activement des réponses. Les gens apprécient les informations claires et compréhensibles ainsi que les orientations concrètes. Ils ne veulent pas être submergés de termes techniques, mais comprendre ce qu’ils peuvent faire eux-mêmes. C’est précisément là le cœur d’un bon travail de sensibilisation, et c’est exactement là que nous intervenons.
L’interconnexion croissante entre la vie professionnelle et la vie privée dans le domaine numérique est particulièrement intéressante. Ceux qui apprennent au bureau à se méfier des courriels suspects transposent automatiquement cette prise de conscience à la maison, et inversement. Il s’agit là d’une dynamique précieuse pour le travail de sensibilisation, que nous devons exploiter de manière ciblée. Cependant, cette interconnexion présente des risques. Un incident survenu au sein de l’entreprise peut entraîner des répercussions sur la vie privée, et inversement, si la segmentation n’est pas réalisée correctement. Pour réduire le risque, il est conseillé de ne pas mélanger la vie privée et la vie professionnelle au niveau numérique (par exemple, éviter d’utiliser son adresse électronique professionnelle à des fins privées).
Si vous deviez imaginer la Suisse numérique dans dix ans — en particulier la manière dont les citoyens, les entreprises et les prestataires travailleront ensemble autour de la sécurité — À quoi ressemblerait, pour vous, un écosystème réussi ?
La cybersécurité est et reste une tâche commune. La stratégie nationale de cybersécurité suit ce principe : l’État, l’économie et la société civile travaillent main dans la main, font avancer ensemble la stratégie et renforcent ainsi durablement la cyberrésilience de notre pays. Cette approche doit rester la norme dans dix ans et ouvrir la voie à un avenir numérique sûr.
Au-delà des pertes financières, quels sont les impacts structurels les plus sous-estimés de la cybercriminalité sur nos sociétés ? Et comment devrait-on les aborder politiquement et culturellement ?
Outre les pertes financières directes, les répercussions plus larges des cyberincidents sont souvent sous-estimées. On peut citer notamment la perte de confiance des clients et des partenaires, l’atteinte à la réputation des institutions publiques, l’interruption des chaînes d’approvisionnement, ainsi que les répercussions psychologiques équivalentes à un stress post-traumatique que l’on peut ressentir après un cambriolage, par exemple, chez les personnes ayant subi une fraude ou une perte financière majeure. Dans ce contexte, la stratégie nationale de cybersécurité met l’accent sur la formation et la sensibilisation, la promotion des compétences numériques au sein de la société, ainsi que sur une coopération étroite entre l’État et les institutions de formation.
