La cybersécurité dans les cabinets comptables

Les cybercriminels ne prennent pas de repos ! En 2021, selon l'ANSSI (Agence nationale de la sécurité des systèmes d'information),  69% des cyberattaques ont visé les entreprises. Sur cette seule année, selon certains experts en cybercriminalité, plus de 35 milliards de mots de passe et adresses email auraient été piratés ou perdus !

Les pratiques de "phishing" et les attaques par "ransomware" ont connu une explosion ces dernières années et figurent aujourd'hui parmi les premières menaces pour les entreprises avec des conséquences qui peuvent être dramatiques pour l'activité voire même pour la survie de l'entreprise.

La nature même de l'activité des cabinets comptables les conduit à traiter des données confidentielles et sensibles pour leurs clients (données sociales, RH, données fiscales et patrimoniales) très appréciées des pirates informatiques ce qui les exposent peut-être plus que d'autres aux cyberattaques.

La sécurité informatique a longtemps été négligée dans les entreprises même si les risques liés à la cybersécurité sont aujourd'hui beaucoup mieux pris en compte. Toutefois, rares sont les clients qui auditent ou qui épluchent scrupuleusement la politique de sécurité de leur futur prestataire ou de leur cabinet comptable avant de valider la lettre de mission qui leur est proposée. Le client a naturellement confiance en son prestataire ou son cabinet comptable pour lui confier ses données car c'est un expert des chiffres qui applique indubitablement toute la sécurité requise pour ses clients.

La mise en application du RGPD depuis mai 2018 a accéléré la prise de conscience des risques liés à la sécurité informatique par les entreprises et en premier lieu l'exigence de protection des données personnelles. Au plan légal, selon le type de mission réalisée pour son client, le cabinet se positionne comme responsable des données, co-traitant ou même sous-traitant (en matière de paie notamment).
Rappelons à toutes fins utiles une des obligations du RGPD:  Toute entreprise victime d'une violation de données est légalement obligée de notifier le sinistre à la CNIL dans les 72 h ainsi qu'à toutes les personnes victimes (clients) si l'incident constitue un risque élevé (violation de mot de passe, de données personnelles sensibles...).

La sécurisation du système d'information et des données gérées par les cabinets comptables doivent donc constituer une priorité pour leurs dirigeants. Les vulnérabilités sont nombreuses: manque de vigilance humaine face à une attaque par phishing, défaut d'application des mises à jour de sécurité fournies par les éditeurs partenaires du cabinet, mot de passe trop simple ou compromis ...

L'adhésion de plus en plus forte des entreprises aux services "cloud" (logiciels en Saas, applications full Web en cloud ...) peut laisser penser que ces solutions technologiques protègent intégralement l'entreprise de toutes les cybermenaces mais ç'est un leurre ! ça n'est que partiellement vrai car seule une politique globale de sécurité s'avère vraiment efficace à l'échelle de l'entreprise.

• La sécurité physique des infrastructures : On parle là des datacenters, ces bâtiments comportant des milliers de serveurs dont l'accès est très sécurisé et qui proposent un niveau de disponibilité exceptionnel de leurs services (jusqu'à 99,99% pour un datacenter labellisé Tier 4)
• La sécurité des serveurs et des réseaux : Il s'agit de disposer d'une barrière impénétrable entre le monde extérieur et les équipements internes du datacenter (serveurs, systèmes de stockage, applications et bases de données ...)
• La gestion sécurisée des identités et des accès aux plates-formes logicielles : C'est un des points essentiels de la sécurité qui touche spécifiquement aux droits et capacités d'accès des utilisateurs habilités à se connecter à un service cloud quel qu'il soit
• La sécurité des applications et des plateformes : On regroupe ici l'ensemble des systèmes de sécurité applicatifs inhérents aux éditeurs de solutions logicielles (comme EIC) comme aux éditeurs de systèmes d'exploitation (Microsoft pour Windows...).
• La sécurité des données : Cet aspect de la sécurité est au coeur de la préoccupation des entreprises et des citoyens au travers du RGPD. On touche ici spécifiquement à la gestion sécurisée des bases de données, des sauvegardes et autres fichiers de données si nombreux au sein d'une entreprise.

La solution logicielle de déclaration des revenus DR, en mode SaaS  s'inscrit parfaitement dans cette exigence de sécurité attendue par les experts-comptables pour leur permettre de gérer leurs nombreux dossiers fiscaux en toute sérénité.

Des partenaires techniques forts accompagnent EIC

EIC s'appuie sur 2 partenaires importants pour héberger et maintenir les services Cloud de ses clients :

et HEXANET qui assurent l'hébergement en France de l'ensemble de nos services Cloud.

HEXANET est un opérateur d'infrastructures IT, filiale du groupe ISAGRI qui vient récemment d'obtenir le label de sécurité numérique Expert Cyber de la part de l'état. Ce label certifie les entreprises expertes  sur les domaines suivants :

• la sécurité des systèmes d'information
• la sécurité de la téléphonie
• la sécurité et la protection des sites Internet

Au-delà de la qualité et du niveau de sécurité apportés par les infrastructures techniques et les applications utilisées au sein du cabinet, quelques règles simples peuvent éviter un incident de sécurité préjudiciable pour le cabinet et ses clients :

1. la sécurité est l'affaire de tous, c'est pourquoi l'entreprise se doit d'inculquer une véritable culture de la sécurité à tous ses collaborateurs afin de les sensibiliser à la cybersécurité au bureau mais également en télé-travail à la maison. Utilisation de mot de passes robustes, ne pas utiliser de codes d'accès de tiers par simplicité font partie des bonnes pratiques simples à appliquer au quotidien ...
2. L'entreprise doit s'assurer impérativement de maintenir son système d'information parfaitement à jour pour garantir le meilleur niveau de sécurité possible (patchs de sécurité des systèmes d'exploitation, patchs applicatifs et de sécurité fournis par les éditeurs comme EIC...)
3. Adopter une gestion rigoureuse et limitée des droits d'accès aux différents outils et aux données de l'entreprise, limitée au strict nécessaire particulièrement lorsqu'il s'agit des dossiers client du cabinet