Le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) vient de publier la quatrième édition de son baromètre annuel réalisée avec OpinionWay auprès de ses 174 membres, à 84% des RSSI (Responsables de la Sécurité des Systèmes d’Information) de grands groupes français. Cette enquête annuelle permet de mieux cerner la perception et la réalité de la cybersécurité et ses enjeux au sein des entreprises membres du CESIN.
Les cyberattaques les plus fréquentes et leurs impacts
Au cours de ces 12 derniers mois, bien que le nombre des attaques tend à se stabiliser, 80% des entreprises interrogées ont été victimes d’au moins une cyberattaque, et les conséquences sur le business (arrêt de la production, site internet indisponible, perte de CA…) sont plus importantes qu’en 2017.
En moyenne, chaque année, les entreprises font face à 5 types de cyberattaque.
Parmi les attaques subies, le phishing est la plus fréquente avec 73% des entreprises qui ont été touchées, suivi par l’arnaque au Président avec 50% des répondants puis en troisième position se trouvent le ransomware et l’infection par un malware.
Concernant les risques cyber, le Shadow IT est le risque le plus fréquemment rencontré, 64% des RSSI interrogés estiment qu’il s’agit d’une menace à traiter. En effet l’installation et l’utilisation d’applications non approuvées et souvent gratuites peuvent échapper au contrôle de la DSI.
Cloud et IoT : L’impact de la transformation numérique sur la sécurité des systèmes d’information
Pour 98% des entreprises, la transformation numérique a un véritable impact sur la sécurité des systèmes d’information et des données et accroît le périmètre des cyberattaques. Tout particulièrement par le recours important au Cloud, utilisé par 87% des entreprises dont 52% stockent leurs données dans des Clouds publics.
Cette utilisation du Cloud représente un risque fort en raison d’un manque de maîtrise par rapport à l’accès aux données de l’entreprise par les hébergeurs (via les administrateurs ou autres) ou par rapport à la chaîne de sous-traitance utilisée par l’hébergeur ou encore par rapport au non-effacement des données. Pour 89% des RSSI, ces enjeux impliquent le recours à des outils de sécurisation complémentaires à ceux proposés par le prestataire de service afin de sécuriser les données stockées dans le Cloud.
En ce qui concerne l’IoT (Internet of Things), la course à l’innovation et l’usage de plus en plus répandu des objets connectés ont fait apparaître de nouvelles menaces en matière de cybersécurité, notamment en raison des failles de sécurité présentes dans ces équipements.
Une cyber-résilience à développer
Pour faire face à ces risques cyber, les RSSI déploient de multiples solutions techniques.
Cependant malgré toutes ces solutions, les RSSI se disent moins confiants par rapport à l’année dernière quant à la capacité de l’entreprise à faire face à ces cyber-risques, et moins d’un sur deux estime que son entreprise est préparée à gérer une cyberattaque de grande ampleur. Et pourtant, seulement 12% ont mis en place un véritable programme de cyber-résilience, il est en cours pour 33% et 34% l’envisagent.
Trois enjeux essentiellement humains pour l’avenir de la cybersécurité
- Sensibilisation des utilisateurs
Selon 61% des RSSI interrogés, l’enjeu principal pour l’avenir de la cybersécurité est la formation et la sensibilisation des utilisateurs aux questions de cybersécurité. Selon les répondants, « même si les salariés sont sensibilisés, ils restent peu impliqués en ne suivant pas forcément les recommandations. Un important travail de pédagogie reste à faire ».
- Gouvernance de la cybersécurité
Pour 60% des interrogés, il faut placer la gouvernance de la cybersécurité au bon niveau. Bien que la mise en conformité RGPD a permis de sensibiliser les entreprises aux enjeux de la protection des données, la confiance en la capacité de leur COMEX à prendre en compte les enjeux de la cybersécurité reste très inégale suivant les secteurs d’activité.
- Ressources humaines
La pénurie de profils en SSI observée par 91% des RSSI, est un réel défi pour les entreprises alors que 50% d’entre elles prévoient d’augmenter les effectifs alloués à la cybersécurité.
