Les cyberattaques en quelques chiffres
92% DES ENTREPRISES FRANÇAISES ONT SUBI UNE OU PLUSIEURS CYBERATTAQUES EN 2019
Le CESIN vient de rendre son analyse de la cybersécurité des grandes entreprises françaises. Etat de l’art et enjeux, les RSSI reviennent sur l’évolution des cyberattaques, l’efficacité des solutions, les perspectives, la GDPR, la gouvernance, et considèrent l’ANSSI comme l’entité la plus légitime pour conseiller les entreprises
Si en 2018, l’enjeu demeure plus humain que technique, mieux former et sensibiliser, placer la gouvernance au bon niveau et allouer plus de budget constituent le Top 3 des enjeux de la cybersécurité. Retour sur le sujet avec Alain Bouillé, Président du CESIN.
Les cyber-assurances au cœur du business
Les cyberattaques augmentent (+ 48%) et touchent de plein fouet le business des entreprises : 92% ont été attaqués une ou plusieurs fois. Si le ransomware reste l’attaque la plus fréquente (73%), les impacts sur le business sont concrets(49%) : indisponibilité du site internet, arrêt de la production, perte du CA, retard sur la livraison.
Deux types d’attaques diminuent : les attaques par déni de service et la défiguration de site web, alors que le social engineering et les vulnérabilités résiduelles permanentes touchent une entreprise sur deux.
Sur ce point, Alain Bouillé, Président du CESIN précise « La cyber-assurance existe depuis plus de 15 ans mais le marché a véritablement décollé récemment avec deux phénomènes. Le premier est, bien évidemment, une conséquence de l’augmentation de la cybercriminalité visant les entreprises avec des conséquences de plus en plus dramatiques pouvant aller jusqu’à leur disparition pour les plus vulnérables. Le second phénomène est lié au renforcement de la réglementation et en particulier, le GDPR qui va obliger les entreprises à être plus transparentes en matière de fuite ou de vol d’informations à caractères personnelles. La cyber-assurance ne remboursera pas l’amende mais pourra compenser les frais connexes à l’attaque dont aura été la cible l’entreprise ».
Des risques démultipliés
La révolution numérique impacte la gestion des données.
- Cloud d’une part,
avec la question de la confidentialité des données (53%), du contrôle des accès et audits (49%), du stockage dans les datacenters à l’étranger (48%) qui requièrent des outils de sécurisation spécifiques (94%)
- Pratiques des collaborateurs, d’autre part
avec le BYOD qui augmente le risque de la cybersécurité (93%), les multiples devices (76%) et l’usage personnel des devices (62%)
- Enfin, côté IoT, les failles de sécurité restent le défi N° 1 à relever par les RSSI
Si les salariés sont sensibilisés à la cybersécurité, ils se montrent peu pro-actifs selon 73% des RSSI et 62% des entreprises ont mis en place des procédures pour tester l’application des recommandations
La GDPR secoue la gouvernance
La GDPR pointe son nez et génère un coût financier (94%) et une charge supplémentaire pour les RSSI (89%). Le COMEX est sensibilisé aux enjeux à hauteur de 66% … peut mieux faire !
Or, si le chantier de la mise en conformité est essentiel, la désignation d’un DPO d’ici mai 2018 est une étape importante (mis en place 36% – en projet 57%) : 39% estiment que cette fonction peut être assurée par un RSSI, tout comme la cartographie du traitement des données personnelles (mis en place 43% – en projet 56%) et l’identification des actions à mener (mis en place 47% – en projet 51%).
Alain Bouillé commente « Il y a déjà des RSSI, membres du CESIN, qui ont endossé la responsabilité de DPO. Ces métiers ne semblent pas incompatibles mais dans beaucoup de grandes entreprises, ces rôles sont exercés par deux personnes différentes souvent rattachés à des entités également différentes. Compte-tenu des sujets à traiter, où la sécurité de l’information est très prégnante, il faut que ces rôles soient très proches car les sujets de coopération sont fréquents. Quant à nommer un DPO à l’échéance de mai 2018, ça sera sans doute la tâche du programme qui sera la plus facile à traiter dans les délais ! »
Dans son ensemble, la GDPR semble bien perçue, puisque la protection des données en sera renforcée (83%). La mise en conformité accélère la prise en compte des enjeux par le COMEX (71%) et refonde la gouvernance de la cybersécurité : pour 52% des RSSI, la démarche de conformité a déjà modifié la gouvernance de l’entreprise (protection de l’information).
Les actions cybersécurité envisagées sur 2019 sont claires :
- acquérir de nouvelles solutions techniques
- augmenter les budgets alloués à la protection
- accroître les effectifs liés à la cyberprotection
Etude CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) menée par OpinionWay