L’épidémie du coronavirus et le développement massif du télétravail ont mis en lumière les failles de sécurité informatique dans les entreprises. La protection des données personnelles et du secret des affaires revient alors sur le tapis.
Vol de données : les directions juridiques en première ligne
Les pirates de l’informatique ont tenté de profiter de la crise du coronavirus pour récupérer des données ou exiger des rançons. Si les particuliers font l’objet de tentatives d’hameçonnage liées à la vente de gel hydro-alcoolique ou de masques, ce sont le plus souvent les grandes entreprises qui sont visées. Parmi elles, on peut compter les laboratoires pharmaceutiques, les hôpitaux ou encore les sociétés de l’agroalimentaire. Sont concernées par ces vols les données sensibles qu’elles soient financières, bancaires, de production ou encore les données personnelles des usagers ou patients. Ainsi, le 22 mars dernier, une partie des serveurs de l’Assistance publique-Hôpitaux de Paris (AP-HP) a été bloquée à la suite d’une attaque par déni de services consistant à adresser des requêtes inutiles rendant inaccessibles les serveurs.
Une augmentation de 20% à 25% des attaques en ligne
Le recours massif au télétravail n’est pas étranger au pic des cyber-attaques. Ainsi, entre le 1er et le 23 mars dernier, Barracuda Networks a enregistré un bond de 667 % des tentatives d’hameçonnage surfant sur le coronavirus. Ce chiffre soulève la problématique du matériel dont disposent les entreprises pour assurer la sécurité de leurs données, quelle que soit leur nature. En théorie, l’employeur doit s’assurer que ses salariés disposent d’ordinateurs professionnels et d’outils informatiques qui garantissent la protection de leurs documents et de leurs échanges. Pourtant, Orange Cyberdéfense relève une augmentation de 20 % à 25 % des attaques en ligne.
Les directions juridiques, toujours très vigilantes, sont sensibles au sujet. "Nous avons veillé à ce que les consignes en matière de cyber-sécurité très strictes soient respectées : pas d’impression, pas de transfert en dehors du réseau informatique sauf accord ou procédure spéciale", confie Dominique Bourrinet, directeur des affaires juridiques de la Société générale. Ici, tout était rodé en amont de la survenance de la crise sanitaire. Mais, tout au début de la période de confinement, certaines entreprises ont été contraintes d’organiser dans l’urgence le travail à distance d’une partie de leurs salariés. Elles ont donc fait des concessions sur la sécurité et ont permis, dans certains cas, l’utilisation d’équipements personnels, non sans conséquences sur les données personnelles et celles de l’entreprise. Lorsque le télétravail a été mis en place de façon hâtive, aucune planification adéquate ni de bons outils de sécurité des systèmes et des réseaux n’ont été mis en place. Par exemple, les procédures pour signaler une éventuelle violation ou perte des données ou encore les politiques de travail à distance ont pu manquer. Les dirigeants de l’entreprise ne se sont pas non plus toujours assurés que le système de sécurité des ordinateurs privés des collaborateurs a été mis à jour. Il en est de même pour le secret des affaires. En effet, les collaborateurs ne sont souvent pas au fait de la manière dont les données doivent être protégées à domicile grâce à des mesures de chiffrement notamment.
Mettre à profit le confinement
Cet encadrement sera assuré par le juriste spécialiste des technologies de l’information et de la communication qui voit sa fonction valorisée durant cette crise. Selon une enquête menée par Data Legal Drive, près de 40 % des DPO et juristes interrogés disent avoir mis à profit le confinement pour traiter les sujets de fond de la mise en conformité du règlement général pour la protection des données (RGPD) de leur entreprise et, en particulier, la mise à jour du registre des traitements. Celui-ci a un rôle capital à jouer en matière de cyber-sécurité et dans l’implémentation du RGPD.
Quant aux données relatives au secret médical, les entreprises ont dû se conformer à la réglementation européenne sur les données. Face à l’obligation de confidentialité, il a été difficile d’alerter l’ensemble des salariés des cas d’infection sans entraîner un vent de panique. Et ce, d’autant plus que les collaborateurs placés en situation à risques sont particulièrement sujets aux dangers psycho-sociaux. Le développement de l’application StopCovid a d’ailleurs mis en lumière aux yeux de tous les difficultés à rendre anonymes les données personnelles des individus touchés par le virus.
