Le Sénégal court un gros danger et serait même dans la zone très rouge des cyberattaques. La révélation a été faite par Babacar Charles Ndoye. Dans un entretien exclusif avec socialnetlink.org, le spécialiste en Gouvernance de Sécurité pour les Systèmes d’information avec une expérience de 20 ans dans les Systèmes d’informations pour les multinationales à l’international, revient sur plusieurs sujets relatifs à la sécurité informatique dans notre pays.

Au Sénégal , pensez-vous que nos entreprises sont assez protégées ?
Je vais répondre à cette question en une question. Comment expliquer que des multinationales avec beaucoup plus de moyens et des budgets spécialement dégagés à hauteur de millions d’euros se font attaquer ?

La réponse est simple : les Outils de protection qui sont excessivement chers ne garantissent pas la sécurité escomptée et ne le garantiront jamais.

C’est pourquoi, il est important d’avoir une politique de gouvernance de Sécurité en Entreprise, c’est moins coûteux et c’est plus efficace, cependant il faut une expertise dans ce domaine.

Maintenant se faire attaquer est une histoire, mais assurer sa business continuty et la disaster recovery est une autre histoire. Et ces deux aspects font partie de la politique de gouvernance de Sécurité de l’entreprise.

Nous sommes dans une zone plus que Rouge. Nous n’avons pas une Agence nationale de la sécurité des Systèmes d’information. En France, c’est cette même agence qui est venue prêter main forte à M6 lors de son attaque avec leur cellule de crise.

Pour rappel, en 2019 on a vu de très grandes compagnies se faire attaquer et heureusement qu’elles ont une politique de gouvernance pour faire face aux attaques, malgré que cela ait eu des impacts sur le fonctionnement de leur business :

Altran – Janvier 2019

En début d’année, le géant français du Conseil en technologie a été victime d’une cyberattaque qui a temporairement interrompu son activité en Europe. A l’aide d’un virus cryptolocker, le hacker a réussi à pénétrer dans le système informatique de l’entreprise et à chiffrer un à un ses fichiers. Pour limiter la propagation du virus, le groupe a dû déconnecter son système informatique et mettre en place un protocole de restauration inédit pour que l’activité reprenne son cours. Les perturbations se sont prolongées jusqu’en février, soit plus d’un mois après le début de l’attaque, et l’entreprise a notamment payé une rançon de 300 bitcoins, soit 1 million d’euros, sans avoir jamais reçu la clé de décryptage. Le coût financier de cette cyberattaque est estimé à 20 millions d’euros.

Airbus – Janvier 2019

Après Altran, c’est à Airbus, le groupe d’aéronautique, d’être la cible des hackers. Si l’attaque n’a pas eu de conséquences sur les opérations commerciales, des données personnelles ont toutefois été consultées par les pirates (coordonnées professionnelles, identité de collaborateurs…).

ICANN – Février 2019

L’annuaire central de l’internet, l’ICANN, situé en Californie, a été victime d’une cyberattaque inédite à la fois par sa taille et son mode opératoire : un piratage à grande échelle qui consistait à modifier les adresses de sites internet pour donner aux utilisateurs l’illusion d’être sur un site sécurisé et récupérer leurs données personnelles (mots de passe, identifiants, adresses email, …).

Baltimore (USA) – Mai 2019

Des hackers ont infiltré le réseau informatique de la ville de Baltimore et neutralisé les données de 10 000 ordinateurs municipaux pendant plus de trois semaines. Selon les dernières évaluations, le préjudice financier pour la mairie s’élève à 16 millions d’euros : 9 millions d’euros pour la remise en état du système informatique (dont le rachat de milliers d’ordinateurs), et 7, 1 millions d’euros de perte de revenus. S’y ajoute, bien sûr, le préjudice subi par les citoyens de Baltimore dont les données personnelles, notamment bancaires, ont été dérobées.

Eurofins – Juin 2019

Au mois de Juin dernier, Eurofins, leader mondial de l’analyse biologique, a été victime d’un ransomware qui a perturbé ses systèmes informatiques et exposé les données de santé de centaines de milliers de Français. La répercussion de cette attaque informatique a été considérable, puisque la perte est estimée à 35% sur les bénéfices semestriels du groupe.

M6 – Octobre 2019

Le groupe de médias français a été victime d’une attaque informatique, a priori via un rançongiciel. Si le groupe a pu continuer à assurer la bonne diffusion des programmes sur l’ensemble des antennes TV et radio, cette attaque rappelle la grande vulnérabilité des médias aux risques cyber..

EDENRED – Novembre 2019

Edenred, leader mondial des solutions de paiement dans le monde du travail a été ciblé par un virus, heureusement rapidement identifié, ce qui a permis de limiter sa propagation.

A se demander est-ce que les compagnies africaines subissent des attaques : Bien sûr que Oui .. et pourquoi on en parle pas plus qu’autre atlantique ?

La réponse est qu’il existe la RGPD qui est le règlement sur la protection des données et la loi stipule que si vous êtes victimes d’une attaque et que des données personnelles soient concernées, vous devez faire une communication officielle de cette attaque pour vous protéger d’une potentielle poursuite judiciaire concernant la perte des données .

On pourrait y passer des années à lister les failles de sécurité des entreprises et de nos institutions bancaires qui souvent cachent les attaques dont elles sont victimes pour une image de marque et une réputation à sauvegarder.

Pourquoi elles ne donnent pas trop d’importance à la sécurité ?

A mon avis, il y’a une ignorance totale des risques et aussi une considération archaïque de la fonction de l’informatique qui est juste considérée comme un métier de support. Or, dans les grandes entreprises européennes et américaines , l’informatique est une partie intégrante du business. Sinon comment assurer la gestion de crises en cas d’attaques

Justement risque-t-on une attaque ?

Des entreprises se font attaquées tous les jours, mais pour garder leur réputation, cela ne se crie pas haut… La question à se poser, à mon avis, c’est pas de dire si on subira une grosse attaque très sévère ou pas, mais surtout se demander : avons- nous les ressources et les compétences pour gérer la remise d’une activité après une attaque ?

D’ailleurs pourquoi jusqu’à présent on a pas encore vu au Sénégal une attaque informatique digne de ce nom ?

Les grands pêcheurs attendent toujours les gros poissons. Les sommes dérobées dans les banques à hauteur de 200 millions de francs CFA, on les laisse aux amateurs.. On a le 7ème gisement de gaz le plus important au monde. Rien que pour ça, une vigilance s’impose. Le pire dans ces affaires c’est que dès qu’une zone est ciblée c’est le désastre.

Quelles solutions dans ce domaine pour sensibiliser ?

Il faut conscientiser les entreprises sur l’importance des données et la catastrophe que cela pourrait engendrer en cas de perte. Cela ne se fera pas sans une réelle expertise dans le domaine..

Les compagnies doivent commencer à adopter la culture d’audit systèmes , des tests de pénétration de leur environnement et des simulations de crises (comment monter une cellule de crise ? comment communiquer en période de crise ?) Il faut savoir une stratégie de réponse d’attaque

(Source : Social Net Link, 15 mars 2020)