Je suis à la tête d’un cabinet comptable et responsable de son administration. Je partage dans cet article les meilleurs pratiques (best practice) que j’ai pu développer pour être prêt à gérer sereinement toutes les démarches qui s’imposent après une cyberattaque. Ces cyberattaques dans des cabinets comptables deviennent de plus en plus possibles depuis le dernier incident chez un hébergeur français, considéré de gravité « maximale » par la Gendarmerie chargé de l’enquête.
Au moment de sa publication l’article sera aussi partagé sur les réseaux sociaux.
Si vous avez des questions n’hésitez pas à laisser vos commentaires.
Pourquoi un cabinet comptable peut être touché par une cyberattaque ?
Avec l’entrée des experts-comptables dans l’ère numérique ils ont endossé une nouvelle responsabilité : Celle du gardien des données clients. Le cabinet comptable moderne est devenu une plaque tournante de données économiques plus ou moins sensibles.
Depuis toujours l’expert-comptable est le confident du chef d’entreprise, mais aujourd’hui il est en plus gardien des données professionnelles de son client. Il gère pour ses clients les informations comptables certes, mais en réalité ce sont des données économiques. Si le comptable parle de la balance client, il a aujourd’hui en réalité un « fichier client » enrichi par des soldes des créances.
La profession est sans cesse poussé à se digitaliser et alors la balance client n’est plus une simple liste, imprimé sur du papier et rangé dans le classeur du client dans des interminables rangées d’étagères du cabinet. Non, aujourd’hui un cabinet se veut « sans papier » et donc « 100% digitalisé ». Il travaille maintenant main dans la main avec ses clients en mode « collaboratif » sur des plateformes dans le cloud.
La balance client qui jadis était bien rangé dans un classeur est aujourd’hui éparpillé sur le net dans différentes formes :
🗂️ Dans l’interface entreprise de la solution de comptabilité cloud
🗂️ Dans le fichier de virements bancaires de l’espace en ligne de la banque du client
🗂️ Dans le logiciel de facturation spécifique au métier du client
🗂️ Dans le logiciel qui calcule les prévisionnels et le plan de trésorerie
🗂️ Dans la plateforme de mailing du client
🗂️ Dans l’application de gestion de stock
🗂️ Sur la boutique d’e-commerce du client
🗂️ …
Si vous regardez votre propre cas vous pouvez certainement prolonger cette liste d’encore 2 ou 3 lignes sans grande difficulté, tellement les données de nos clients sont aujourd’hui éparpillées dans tous les directions. Celui qui veux mettre la main sur ces données économique a l’embarra du choix. Il va forcément se diriger vers le logiciel le plus vulnérable pour se procurer les informations qu’il recherche.
Comme c’est maintenant souvent le cabinet qui a conseillé telle ou telle solution, qu’il alimente parfois par ses collaborateurs et prend peut-être même en charge l’abonnement de la solution, parce qu’elle lui procure un gain de temps considérable, il est en première ligne quand un de ces solutions est attaquée.
Au cabinet Engler + associés, nous utilisons régulièrement des solutions cloud. C’est donc la raison qui nous amène à vous présenter ici les nouveaux risques auxquels notre profession est dorénavant confrontée.
Quels risques prend le cabinet comptable dématérialisé ?
Tout le monde pense d’abord à la cyberattaque directe sur l’installation informatique du cabinet comptable. Comme tous les cabinets, nous avons d’abord renforcé notre infrastructure, formé notre personnel aux bons réflexes et installé des directives pour sécuriser nos mots de passe. Ce risque est donc maitrisable et souvent très bien maitrisé.
Mais ce n’est qu’une petite partie de la surface d’attaque qu’un cabinet offre aux hackers aujourd’hui. On ne parle pas pour rien de l’or moderne quand on parle du lac des données (Data Lake) à la disposition des comptables. Nous manipulons aujourd’hui des données qui ont une valeur marchande, comme un billet de banque. Ça me fait penser au métier de fiducie en version dématérialisée.
Petit rappel de sa définition :
La fiducie est un acte qui consiste à confier temporairement la gestion d’un patrimoine à une tierce personne pour l’atteinte d’objectifs allant au profit d’un bénéficiaire.
Oui nos clients nous confient leurs données temporairement pour accélérer leur gestion administrative. Et sans que cela est dit clairement nous endossons la responsabilité de la protection de ses données sur tous les échanges électroniques. Une cyberattaque peut donc se produire chez un « sous-traitant de sous-traitant » de données. L’incident se déroule alors à des endroits où nous n’avons même pas la possibilité d’intervenir.
En même temps nous heurtons à des « Conditions générales d’utilisation » très bien formulées par des juristes payés par ces plateforme pour écarter tous les risques majeurs pour le prestataire. J’ai lu des passages ridicules comme : « Le prestataire dédommage l’utilisateur pour le préjudice subi. » – jusqu’ici ça semble encore équitable, mais la clause continue : « Dans tous les cas le montant de l’indemnisation est plafonné au montant de l’abonnement dû pour la période pendant laquelle l’utilisateur n’avait pas la possibilité de se servir du logiciel. Pour un logiciel abonné à 49 euros par mois, le blackout du logiciel comptable pendant une semaine autour du 15 décembre sera indemnisé 49 euros / 31 * 7 jours = 11,06 euros !
Les risques cachés sont devenus nombreux et il faut se prémunir avec beaucoup de bon sens.
Comment une cyberattaque impacte le cabinet comptable ?
Dans la récente attaque de l’hébergeur français de nombreux collaborateurs dans plus de 1 200 cabinets comptables se sont trouvé devant un écran 404 « erreur – server introuvable »
⛈️ Le premier impact concret et très couteux est la mise au chômage technique du personnel du cabinet. D’ailleurs les assurances cyber actuellement disponible sur le marché et notamment celui proposée par les partenaires de l’ordre ne couvrent pas ces frais.
Il est important de montrer sa capacité de galvaniser ses troupes et soutenir ses collègues dans des moments de mise en question personnel considérable. Il n’est pas rare que l’un ou l’autre carrière de vos collaborateurs fidèles s’arrête brusquement par un démission parce qu’il est rongé par une culpabilité souvent subjective.
⛈️ Ensuite l’expert-comptable engage directement sa responsabilité processionnelle. Selon la date à laquelle le partenaire cloud devient inaccessible, le cabinet ne peut plus tenir des date limite de dépôt de déclarations et son client encours des pénalités de retard. On devrait dorénavant insister auprès de nos collaborateurs pour ne pas repousser les déclarations au dernier jour avant la date limite.
⛈️ Le troisième point, la capacité de reconstruire son environnement de travail à partir des sauvegardes est largement négligé. Souvent on est contrainte et forcé de « faire confiance » à son prestataire cloud. Il va vous montrer fièrement son label ISO « bla, bla, bla » (qu’on ne connais pas) et vous promettre monts et merveilles !
Mais regardons l’expérience du récent incident. Les experts de cybersécurité ont pris la gestion de la crise en main. Ils ont de suite décidé l’arrêt total : « Pour prévenir tout risque supplémentaire de contagion de l’installation … » Ils ont volontairement coupé le cordon avec Internet et cela malgré que techniquement on aurait pu remonter les sauvegardes intactes en quelques heures. Donc tous les beaux scénarii de reconstitution en 2, 4 voire 24 heures sont vains si la Gendarmerie décide de stopper les programmes pendant autant de jours que nécessaire !!
⛈️ Quatrièmement il incombe au cabinet comptable de piloter l’après cyberattaque. Ce travail très chronophage et forcement non rémunéré, consiste à informer les clients, les avertir des nouveaux risques immanents suite à des éventuels fuites de données piratés pendant le déroulement de la cyberattaque. La fuite qu’on doit « endosser » moralement au moins, a eu lieu sur des serveurs lointains, administrés par des personnes sur lesquels l’expert-comptable n’a aucune influence. Nous les connaissons tous, ces datacenters avec une très bonne réputation, qui affichent des certifications HDS, ISO 27001 et d’autres encore, mais ils ne sont malheureusement pas infaillibles quand même.
⛈️ A ça s’ajoute un cinquièmement risque TRES élevé de devenir cible de toute sortes d’ingénierie sociale. C’est une spécificité des données économiques dérobées. Le cabinet et TOUS les clients du cabinet sont brusquement exposés au phishing, le harponnage etc. Grace à ces données précise sur les entreprises piratées, l’arnaque au président et tout autre scénario devient beaucoup plus facile et difficilement détectable.
Dans un autre incident récent des listes des portefeuilles de certains cabinets comptable ont fuités et des hackers ont commencé à appeler les entreprises client des cabinets pour leur demander de verser les honoraires comptables sur des nouveaux, mais faux, comptes bancaires du cabinet. Le bluff a été presque parfait. Les hackers ont pu utiliser le vrai nom du collaborateur comptable qui a le contact avec le client. Ils connaissaient aussi les montants et tous les détails des notes d’honoraires.
🐍
Mon astuce ici :
Ne pas fermer les yeux sur les risques qui existent et partager les solutions avec ses partenaires.
💡 Face aux cyberattaques dans des cabinets comptables nous sommes TOUS logés à la même enseigne et la meilleure défense est de cultiver un esprit d’équipe avec ses clients et ses prestataires.
Pour résumer :
Cet article permet :
- De se rendre comptes des nouveaux risques auxquels l’expert-comptable est dorénavant confronté s’il se digitalise
- De débuter ses propres réflexions au : « Comment vous pouvez développer vos capacités pour gérer une cyberattaque sur votre cabinet comptable. »
D’avoir des listes avec des choses à réaliser « en cas où… » est une bonne façon de commencer.
Vous voulez aller plus loin ? Je vous conseille de se rendre sur
le site d’ASSISTANCE ET PRÉVENTION DU RISQUE NUMÉRIQUE
Cette plateforme répond à trois objectifs :
➕ Prévenir et sensibiliser les internautes à la cybersécurité,
➕ Assister les victimes d’actes de cybermalveillance et
➕ Accompagner les professionnels dans la sécurisation de leur système d’information.
J’accompagne l’évolution des solutions dans le cloud depuis 2016. D’abord utilisateur de Quickbooks , je suis un utilisateur de la première heure sur Pennylane.
Pour moi, la solution « tout-en-un » qui a été inventé par Pennylane, mais qui est repris depuis par tous, est à ce jour (décembre 2023) la meilleure réponse aux défis de la digitalisation du métier des comptables. Mais c’est aussi mon rôle de souligner toutes les aspects qui font qu’une solution devient un outil excellent pour notre profession.
L’importance est sur le mot « aujourd’hui ». Je vous invite à lire mon article sur la comptabilité conversationnelle qui va, à mon ample avis, bientôt prendre des parts de marché significatives et alors de nouveaux défis en matière de cybersécurité vont émerger !
Mon cabinet ENGLER + associés propose l’accompagnement sur mesure pour tous les logiciels actuellement sur le marché. Prenez un premier rendez-vous sans engagement quelconque pour toutes questions sur le logiciel « tout-en-un » et/ou son fonctionnement ou contactez-nous !
Partager sur les réseaux sociaux :
Stefan Engler
Expert-comptable depuis 30 ans, je suis spécialisé dans l’accompagnement des entrepreneurs & des freelances.