Experts-comptables : comment accompagner vos clients vers la cybersécurité ?

L’innovation digitale et la cybersécurité sont des facteurs de performance, voire de stabilité en cette période de crise, pour vos clients. À condition qu’elle soit bien cadrée pour n’en garder que les bénéfices. En tant qu’expert-comptable, vous êtes le partenaire idéal pour les aider à optimiser cette transformation digitale en toute sécurité ! Vous pouvez à la fois les aider à mieux comprendre d’où viennent les risques et les guider dans la mise en place de bonnes pratiques de cybersécurité.

Aider vos clients : cybersécurité

Selon une étude Opinionway réalisée pour Sage/CPME en août 2019, 48 % des TPE sondées ne se sentent pas concernées par les cyber-risques, alors que seulement 14 % se disent suffisamment protégées contre ces aléas. À l’inverse, la quasi-totalité des experts-comptables interrogés jugent que la cybersécurité est un enjeu important. Un décalage qui illustre parfaitement le rôle important d’informateur et de sensibilisateur que vous pouvez jouer auprès de vos clients. Votre devoir de mise en garde doit même vous inciter à les alerter sur les cyber risques qu’ils encourent et qui peuvent avoir des conséquences dramatiques pour leur entreprise : perte financière, interruption des activités, atteinte à la réputation… D’autant que vos clients ne savent peut-être pas comment mettre en place une politique de prévention des cyber-attaques et se retrouveront désemparés si une offensive survient.

Quels sont les cyber risques pour une petite entreprise ?

Les entreprises, quels que soient leur taille et leur secteur d’activité, peuvent être confrontées principalement à 3 grands types de cyber risques :

• la cybercriminalité, qui vise à obtenir des informations personnelles, comme des données bancaires ou des identifiants de connexion, afin de les exploiter ou de les revendre. On parle d’hameçonnage (phishing) ou de « rançongiciel » (ransomware) ;
• l’espionnage, notamment les attaque par point d’eau (watering hole) pour infiltrer les ordinateurs de personnels ou le hameçonnage ciblé (spearphishing) pour usurper l’identité de l’expéditeur ;
• le sabotage qui rend inopérant tout ou partie d’un système d’information voire entraîne la destruction des systèmes informatiques.

Attention, la porte d’entrée pour un pirate est presque toujours un collaborateur ou un fournisseur qui, par maladresse bien plus souvent que par malveillance, lui donnera accès au système d’information de l’entreprise. D’où l’importance de la sensibilisation autour des bonnes pratiques.

Auditer la cybersécurité des entreprises

La première action à mettre en place une fois vos clients bien informés et convaincus de l’intérêt de se protéger : faire auditer leur système d’information, tant du point de vue infrastructure physique, que du système, du réseau et de l’organisation. L’objectif est de s’assurer de l’intégrité des données et de comprendre les potentielles vulnérabilités du système.

Concrètement, il s’agit d’analyser l’existant :

• comment s’opèrent les mises à jour ?
• quels sont les accès aux données, comment sont gérées les sauvegardes ?
• comment sont configurés les réseaux (Firewall, routeurs, Reverse-proxy…) ?

Des tests grandeur nature peuvent être réalisés à cette occasion pour vérifier le dispositif. On parle alors de test de pénétration ou pen test. Cet audit permettra de mettre en place un système de protection et de sécurité adapté au fonctionnement propre de l’entreprise et à son système d’information.

Les bonnes pratiques de l’entreprise cyber résiliente

En tant que partie prenante des échanges de données avec les entreprises, vous connaissez les process et êtes capable de porter un premier diagnostic des zones de risque. N’hésitez donc pas à proposer vos services pour accompagner l’entreprise dans l’amélioration de la sécurisation de ces échanges. Vous pourrez par exemple revoir avec elle les procédures existantes, notamment celles d’accès aux données ou lors des départs des collaborateurs… Vous pouvez aussi l’assister dans ses choix de dispositifs de sécurité, par exemple pour la mise en place d’antivirus. Pensez à responsabiliser l’ensemble des collaborateurs en proposant des formations sur les risques encourus et comment s’en prémunir. Voire à conseiller une veille sécuritaire pour s’assurer régulièrement que le dispositif est opérationnel. Votre champ de compétences s’élargira, pour faire de la cybersécurité l’une des priorités de vos clients !