Cybersécurité sans stress, des gestes simples pour protéger vos données

BPCE Assurances vous présente « ça nous rassure », l’audiomag pour vivre mieux protégé.

Bonjour, je suis Paul-Emmanuel Géry, bienvenue dans ce nouvel épisode de « ça nous rassure », le podcast qui vous fait découvrir des solutions simples et efficaces, mais aussi des innovations qui contribuent à vous protéger dans votre vie quotidienne. Aujourd’hui, on s’intéresse à un enjeu devenu central, la cybersécurité et la protection des données. Télétravail, smartphones, documents dématérialisés, outils collaboratifs, le numérique est désormais au cœur de notre quotidien professionnel et cette dépendance aux outils digitaux expose les entreprises à de nouveaux risques. Hameçonnage, usurpation d’identité, faux SMS, deepfakes ou encore détournements de virements. Ces attaques sont de plus en plus difficiles à repérer, notamment parce que les fraudeurs s’appuient désormais sur des technologies capables de rendre leurs messages et leurs scénarios extrêmement crédibles. Alors, très concrètement… Comment protéger les données sensibles de son entreprise ? Comment repérer des tentatives de fraude de plus en plus sophistiquées ? Et comment éviter qu’une cyberattaque ne paralyse totalement son activité ? Pour y répondre, dans cet épisode, Magued Rabia nous donnera des conseils simples et concrets pour adopter les bons réflexes au quotidien. Avec Othmane Amarouch, responsable sécurité et système d’information de BPCE Assurances IARD, nous ferons le point sur les bonnes pratiques mises en place au sein du groupe et sur les dispositifs de cyberassurance qui accompagnent les professionnels. Mais avant cela, Céline Da Costa, vous êtes allée rencontrer l’expert en cybersécurité Nicolas Arpagian afin de comprendre quels sont précisément les nouveaux risques et puis pourquoi les petites structures sont aujourd’hui en première ligne.

Céline Da Costa

Oui, bonjour Paul-Emmanuel et bonjour Nicolas Arpagian.

Nicolas Arpagian

Bonjour Céline.

Céline Da Costa

Alors, comme Paul-Emmanuel l’a dit, vous êtes spécialiste en cybersécurité et directeur de la stratégie chez Jizo AI, plateforme qui détecte les cyberattaques en temps réel grâce à l’intelligence artificielle. Alors Nicolas, est-ce que ces cyberattaques aujourd’hui, elles concernent tout le monde ?

Nicolas Arpagian

Elles concernent tout le monde parce que dans nos vies personnelles, quotidiennes, nous avons des activités numérisées et interconnectées. Numérisées, ça veut dire qu’elles ont besoin des technologies numériques pour fonctionner, pour commercer, fabriquer. communiquer, nous éduquer et évidemment communiquer. Et nous sommes d’autant plus efficaces quand nous pouvons interagir, nous interconnecter avec les autres. Et donc, les pirates vont essayer d’attenter à ces deux activités, la numérisation des activités de manière à les intercepter, les dégrader, voire les mettre hors d’état de fonctionner. Et également, vont essayer de s’insérer dans nos communications pour usurper des identités, capter des messages. Et ce sont ces deux volets qui vont être mobilisés dans la cybersécurité avec une dimension supplémentaire qui va être cette fois-ci les contenus, l’information, la production d’informations à des fins d’influence, de déstabilisation, éventuellement à des fins politiques, idéologiques ou strictement crapuleuses. On a bien donc les tuyaux, les infrastructures et les contenus avec ce qu’on va appeler désormais la guerre informationnelle, amplifiée par le recours à l’intelligence artificielle.

Céline Da Costa

En quoi une attaque visant une personne peut-elle aussi fragiliser une entreprise ou une organisation ?

Nicolas Arpagian

Un attaquant n’est pas là pour faire de l’innovation technologique, il est là pour faire de l’efficacité. En clair, s’il s’aperçoit qu’il peut plus facilement rentrer dans les systèmes d’information d’une entreprise en utilisant les données concernant un individu, un responsable, un dirigeant, voire un simple collaborateur, en fait, qu’est-ce qu’il va faire ? Il va… collecter des données sur cette personne. C’est facile avec les réseaux sociaux. Céline, je vais connaître vos centres d’intérêt, vos lieux de vacances, ce qui vous motive dans l’existence parce que vous publiez des informations à ce sujet sur les plateformes sociales. Et ensuite, sur votre mail professionnel, je vais vous adresser des messages qui vont s’inspirer de ces centres d’intérêt pour vous inciter à cliquer sur un lien, télécharger une pièce jointe. Là, en clair, j’aurai utilisé l’information disponible concernant votre vie privée à des fins d’intrusion dans une sphère professionnelle et en cliquant dessus, je vais obtenir le moyen de… contaminé, d’infecter le système d’information de votre employeur.

Céline Da Costa

Donc Nicolas, quelles sont les principales attaques que subissent les entreprises ?

Nicolas Arpagian

Une des attaques visibles, c’est ce qu’on appelle le déni de service. En fait, lorsqu’un site internet principalement va être saturé par un grand nombre de connexions simultanées. Un site internet est fait généralement pour avoir une acceptation des utilisateurs qui vont se connecter, en grand nombre parfois, mais en tout cas le site est capable de répondre. Le pirate va démultiplier les connexions de manière à le rendre inaccessible et va faire du chantage au propriétaire du site internet en lui disant « Si vous ne payez pas une rançon, je vais continuer ainsi à parasiter votre activité et votre site internet ne sera plus accessible. » Quelquefois c’est très visible comme attaque. Ce n’est pas très complexe à mettre en œuvre. Il existe des moyens de détourner ce type de flux illégitime, mais… en tout cas, c’est une des attaques qu’on voit. Autre type d’attaque, les attaques contre ce qu’on appelle la supply chain, c’est-à-dire des chaînes de production au sein des entreprises. Souvent, il y a des automates qui vont servir à la fabrication de produits, à la livraison, à toute l’ingénierie au sein d’une entreprise. Ce sont des équipements qui, souvent, n’étaient pas très protégés. Pourquoi ? Parce qu’ils n’étaient pas… connectés vers l’extérieur. En clair, c’est un peu comme un enfant qui ne serait pas scolarisé. Il n’a pas de maladie infantile. Pourquoi ? Parce qu’il ne fréquente pas d’autres enfants. Le jour où vous le mettez en collectivité, il attrape toutes les maladies. Et c’est vrai, donc, les attaques contre la supply chain, contre les chaînes de production, contre les chaînes de distribution au sein des organisations sont exposées. Pourquoi ? Parce que pendant très longtemps, elles n’étaient connectées à rien à l’extérieur. À partir du moment où on a mis des capteurs, des sondes, on les a pilotées par des ordinateurs, il est évident que ça les expose d’autant plus à ce type de menaces.

Céline Da Costa

Alors, on va parler dans quelques instants, dans la suite de notre audiomag, avec Magued des réflexes à adopter pour éviter de tomber dans les pièges de ces cyberattaques. Mais est-ce que vous pouvez, vous Nicolas Arpagian, nous donner un premier conseil ?

Nicolas Arpagian

Alors déjà, être vigilant dans les informations qu’on partage. Donc, c’est beaucoup l’esprit critique, le raisonnement, je vais dire, le plus apaisé possible d’avoir un temps d’analyse et de réflexion, de manière à ne pas être dans l’impulsion et dans l’immédiat. Ce qui est certain, c’est que si on est victime, il n’y a pas de fatalité à la victime. On a des droits, il y a des moyens qui peuvent être mis en œuvre. On ne peut que recommander la fréquentation, même à titre préventif, d’un site qui s’appelle cybermalveillance.gouv.fr parce qu’effectivement, nous sommes réellement tous concernés.

Céline Da Costa

Merci Nicolas Arpagian.

Nicolas Arpagian

Merci Céline.

Céline Da Costa

Voilà Paul-Emmanuel, avec l’intelligence artificielle, vous l’avez entendu, les cyberattaques évoluent, elles se perfectionnent. Mais il n’y a pas de fatalité, comme nous l’a dit Nicolas. La meilleure protection reste humaine, prendre le temps de vérifier, rester attentif et ne jamais agir dans la précipitation.

Paul Emmanuel Géry

Merci Céline pour ces conseils. Bonjour Othmane Amarouch. Bonjour. Vous êtes le responsable de sécurité et système informatique de BPCE Assurances IARD. Une réaction à ce reportage ?

Othmane Amarouch

Il est certain que la digitalisation accrue et les nouveaux usages autour de l’intelligence artificielle vont entraîner de nouveaux défis, que ce soit pour la protection de nos données ou pour la sécurité de nos systèmes d’information de manière générale. On constate que les menaces qui ont été évoquées, tels que le phishing ou les attaques par déni de service, sont effectivement de plus en plus sophistiquées. Et d’ailleurs, un point essentiel, c’est qu’elles touchent toutes les entreprises, quelle que soit leur taille, petite ou grande. Alors nous, en tant que compagnie d’assurance, nous avons bien évidemment à cœur de protéger les données de nos clients, mais nous avons aussi un rôle important qui est un rôle important. éducatif. Il s’agit de sensibiliser nos partenaires, nos collaborateurs ainsi que nos clients autour des enjeux justement de cybersécurité et aussi aux bonnes pratiques en matière d’hygiène informatique. La formation est fondamentale, tout comme la mise en place de protocoles de sécurité robustes.

Paul Emmanuel Géry

Oui, il n’y a pas que la technologie qui compte en matière de cybersécurité.

Othmane Amarouch

Tout à fait. La résilience numérique n’est pas uniquement une affaire de technologie. Il faut vraiment introduire cette culture de vigilance auprès de nos collaborateurs. Le maillon humain est vraiment au cœur de nos dispositifs de sécurité.

Paul Emmanuel Géry

Et oui, la première ligne de défense, ce sont les femmes et les hommes dans l’entreprise. C’est nous. Et pour comprendre comment se protéger au quotidien, on fait le point avec vous, Magued Rabia. Bonjour.

Magued Rabia

Bonjour.

Paul Emmanuel Géry

On a parfois l’impression que la cybersécurité, c’est réservé aux grands groupes. Mais en réalité, tout le monde est concerné.

Magued Rabia

Oui, absolument. Aujourd’hui, n’importe quelle entreprise peut être attaquée, n’importe quel indépendant ou petite structure. Souvent parce que c’est plus simple. Moins de protection, moins de procédures, moins de temps pour vérifier. Mais la bonne nouvelle, c’est qu’il existe des réflexes simples qui permettent déjà d’éviter la majorité des fraudes.

Paul Emmanuel Géry

Alors justement, quels sont les premiers signaux d’alerte ?

Magued Rabia

Alors le premier réflexe, c’est de vérifier l’origine des messages que vous recevez par SMS, e-mail ou par téléphone. Aujourd’hui, les tentatives de fraude sont extrêmement crédibles. Faux conseillers bancaires, faux prestataires, faux services fiscaux et même faux s’offrent d’investissement. Ils imitent parfaitement le ton d’un dirigeant ou d’un partenaire et surtout, ils créent un sentiment d’urgence. Vous allez perdre votre compte, il faut valider ce virement tout de suite.

Paul Emmanuel Géry

Alors si on reçoit ce type de message, qu’est-ce qu’on fait ?

Magued Rabia

On ne clique pas. On n’utilise jamais les coordonnées du message. On appelle son vrai conseiller, une vraie personne, son assureur, son contact habituel.

Paul Emmanuel Géry

Et vous avez des conseils aussi sur les données personnelles ?

Magued Rabia

Oui absolument. Alors c’est une règle simple. Aucune banque, aucun assureur ne vous demandera vos codes ou mots de passe. Si quelqu’un vous les réclame, c’est une fraude. La bonne réaction, vous coupez la communication et vous contactez votre établissement.

Paul Emmanuel Géry

Il y a aussi la question des accès des mots de passe.

Magued Rabia

Alors ça, c’est la base Paul-Emmanuel. Un mot de passe fort, différent pour chaque service et la double authentification dès qu’elle est proposée. Beaucoup d’attaques commencent simplement par une boîte mail piratée.

Paul Emmanuel Géry

Et côté matériel ?

Magued Rabia

Antivirus, pare-feu, mise à jour régulière et surtout, sauvegarde. Avoir une sauvegarde externe ou dans un espace sécurisé, c’est ce qui vous permettra de redémarrer votre activité en cas de cyberattaque, de piratage ou de perte de données.

Paul Emmanuel Géry

Et même l’IA peut poser problème.

Magued Rabia

Exactement. Certaines plateformes conservent les données. donc on évite d’y déposer des contrats, des données clients ou des éléments financiers.

Paul Emmanuel Géry

Et donc, en résumé, quels conseils ?

Magued Rabia

La cybersécurité, c’est comme une ceinture de sécurité. On espère ne jamais en avoir besoin, mais quand ça arrive, elle sauve tout. Alors, vérifiez, protégez, sauvegardez et surtout, sensibilisez vos équipes parce qu’en matière de cybersécurité, la prévention fait toute la différence.

Paul Emmanuel Géry

Merci Magued ! Alors, Othmane Amarouch, on vient de l’entendre, les attaques numériques se multiplient, elles touchent de plus en plus de petites entreprises. D’après vous, quel est aujourd’hui le premier enjeu en matière de cybersécurité ?

Othmane Amarouch

Oui, l’expert le disait, l’un des principaux enjeux, c’est clairement la protection des données. Les fichiers clients, les coordonnées bancaires, les contrats, tout ça représente des actifs très convoités par les cybercriminels. En effet, les cybercriminels vont venir s’en servir pour élaborer des attaques plus crédibles. Alors néanmoins, il y a aussi le sujet de la résilience numérique. En effet, une destruction de données ou encore une simple indisponibilité peut réellement paralyser une entreprise et toute son activité. Et encore une fois, ce constat vaut pour tout le monde. Grandes organisations, TPE, mais également les indépendants.

Paul Emmanuel Géry

Concrètement, comment est-ce que BPCE Assurances IARD protège-t-elle ses propres systèmes et les données de ses clients ?

Othmane Amarouch

Nous avons mis en place une approche structurée et intégrée. Et cela va reposer à la fois sur des mesures organisationnelles et techniques. Il faut le souligner, et dans un premier temps, nos politiques et procédures de sécurité sont alignées avec les meilleurs standards du marché. BPCE Assurances IARD, en tant qu’acteur de l’assurance, est soumis aux réglementations les plus strictes en la matière. Deuxièmement, on adopte également une approche proactive, puisqu’on va venir tester très régulièrement l’intégrité de nos infrastructures, et cela au travers d’audits réguliers. Mais également, on va mettre en place une surveillance en continu, afin de détecter tout comportement anormal pouvant affecter nos systèmes d’information.

Paul Emmanuel Géry

Vous en parliez tout à l’heure, le facteur humain est un élément clé de votre sécurité.

Othmane Amarouch

Tout à fait, d’où les formations et sensibilisations de nos collaborateurs pour qu’ils adoptent des comportements responsables en matière d’hygiène informatique. Vraiment, nos collaborateurs jouent un rôle crucial dans la protection de nos systèmes d’information et il faut le dire, la cybersécurité est vraiment devenue un réflexe collectif au sein de l’entreprise. Un réflexe qu’il faut d’ailleurs savoir entretenir dans la durée.

Paul Emmanuel Géry

Alors j’imagine qu’en matière de cybersécurité, vous utilisez l’intelligence artificielle ?

Othmane Amarouch

Oui, le groupe BPCE a initié une réflexion approfondie sur l’intégration de l’intelligence artificielle dans ces outils et solutions de sécurité informatique. Le groupe BPCE explore par exemple des outils d’IA ou des modèles prédictifs pour être en capacité de détecter rapidement tout comportement ou toute menace pouvant laisser entendre qu’une compromission de nos systèmes d’information est en cours. Toutes ces solutions innovantes, bien évidemment, ont vocation à renforcer la résilience numérique des entreprises.

Paul Emmanuel Géry

L’IA peut également être utile pour détecter les fraudes à l’assurance ?

Othmane Amarouch

Ah oui, tout à fait. La fraude touche tous les secteurs et l’assurance en particulier. On peut donner des exemples assez simples. La déclaration des faux sinistres, l’exagération de l’ampleur des sinistres ou encore les fausses déclarations à la souscription sont des exemples assez classiques. Alors à ce titre, BPCE Assurances IARD s’est doté d’un dispositif de détection qui, on va dire, s’articule sur une forme de complémentarité entre des systèmes informatiques qui d’ailleurs déploient de plus en plus l’intelligence artificielle mais également une expertise humaine pour qualifier et traiter ces alertes… un traitement des alertes qui est d’ailleurs fait au sein de notre département anti-fraude et investigation.

Paul Emmanuel Géry

D’une manière générale, au-delà de la cybersécurité, l’IA joue un rôle de plus en plus important dans votre secteur ?

Othmane Amarouch

Oui, tout à fait. Nos métiers s’inscrivent réellement dans une démarche active d’exploration et de déploiement de l’intelligence artificielle. Et le meilleur exemple pour cela est l’outil d’intelligence artificielle, donc un outil d’IA génératif qui s’appelle MAiA et qui permet par exemple de réaliser des résumés d’appels clients, de reformuler des emails ou encore de structurer des communications. Tout cela permet non seulement de libérer du temps pour nos collaborateurs, de les rendre plus efficaces, mais évidemment de gagner en qualité de service.

Paul Emmanuel Géry

Mais vous utilisez toujours l’IA dans un cadre éthique, sécurisé ?

Othmane Amarouch

Oui, tout à fait. D’ailleurs, si je reviens sur MAiA, le déploiement de cet outil a été pensé comme un voyage progressif et structuré. Vraiment, l’objectif phare de l’entreprise est de transformer nos collaborateurs en véritables pionniers du prompting. Pour cela, des formations spécifiques ont été mises en place afin de les acculturer et de leur enseigner la manière d’interagir efficacement avec les outils d’IA. On a également mis à leur disposition une sorte de boîte à outils qui est en réalité une bibliothèque de promptes, d’ailleurs une bibliothèque qui s’alimente par les propres contributions des collaborateurs. Et je peux aussi rajouter qu’il y a un accompagnement de proximité qui a été mis en place au travers de modules de e-learning, d’ateliers lunch and learn, mais également avec la mise en place de relais au sein de chaque direction afin, encore une fois, d’acculturer et de sensibiliser les collègues dans cette adoption de bonnes pratiques.

Paul Emmanuel Géry

En conclusion, si vous deviez donner un seul conseil à nos auditeurs, ça serait lequel ?

Othmane Amarouch

Je dirais oser l’innovation, mais ne négliger à aucun moment la protection. Digitalisez-vous, adoptez l’IA, expérimentez, testez, mais surtout, entourez-vous d’experts capables de vous accompagner face à ces nouveaux risques numériques. Et à ce titre, je tiens à préciser, la direction conformité de BPCE Assurances IARD et ses experts sont bien sûr là pour vous accompagner dans cette démarche.

Paul Emmanuel Géry

Merci beaucoup, Othmane Amarouch, pour cet échange très instructif. C’est la fin de cet épisode, merci de l’avoir suivi. Pour aller plus loin, retrouvez sur le site de BPCE Assurances des conseils pratiques et des solutions pour protéger vos données et votre activité. A bientôt.

BPCE Assurances vous a présenté « Ça nous rassure » , l’audiomag pour vivre mieux protégé.