Alors que les cyberattaques touchent toujours autant les entreprises, le Cloud et le Règlement sur la protection des données personnelles (RGPD) compliquent le travail des RSSI des entreprises, selon un sondage OpinionWay pour le CESIN, le Club des experts de la sécurité de l’information et du numérique.
Afin de mieux cerner l’état de l’art et la perception de la cybersécurité et de ses enjeux au sein des grandes entreprises françaises, le CESIN (Club des experts de la sécurité de l’information et du numérique) publie aujourd’hui la 3ème édition de son baromètre annuel avec OpinionWay. Comment évolue les cyberattaques ? Les solutions techniques utilisées sont-elles efficaces? Quelles perspectives pour l’avenir avec les enjeux de la transformation numérique ? Quel impact du RGPD sur la gouvernance cyber dans les entreprises ? L’enquête a interrogé 142 grandes entreprises françaises (industries, ministères et entreprises, dont CAC40 et SBF120).
Le ransomware en première ligne des attaques
Sans surprise, il ressort que la majorité des entreprises sont touchées par des cyberattaques (8 sur 10).
Les plus fréquentes sont celles de ransomwares, loin devant les attaques virales générales et la fraude externe ou les vols d’information. Dans le même temps, deux types d’attaques diminuent : les attaques par déni de service et la défiguration de site web. Le social engineering et les vulnérabilités résiduelles permanentes touchent une entreprise sur deux et viennent compléter le tableau des cyber-risques auxquels les entreprises sont les plus exposées.
Face à ces risques, les solutions techniques implantées (outre les antivirus et pare-feux, les dispositifs de VPN, filtrage web et antispam forment le Top 3) sont complétées, de plus en plus fréquemment, par des cyberassurances : 40 % des entreprises y ont souscrit (+14 points par rapport à l’an dernier), 15 % sont en train de le faire et 22 % l’envisagent à plus long terme.
Globalement, le sondage OpinionWay pour le CESIN met en lumière que les solutions techniques sont jugées plus efficaces, mais restent perfectibles et pas totalement adaptées à l’actualité des cyberattaques. L’augmentation des budgets et des effectifs ainsi que la mise en place de nouvelles solutions techniques sont envisagées par la majorité des entreprises sondées, alors que malgré la prégnance des cyberattaques, la sécurité représente moins de 5 % du budget IT dans presque deux tiers des entreprises.
Pour s’informer sur la cybersécurité, les RSSI des entreprises mobilisent tout un écosystème d’acteurs, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) étant considéré, de loin, comme le plus légitime (88%) devant la Direction générale de la sécurité intérieure (DGSI), la Commission nationale de l’informatique et des libertés (CNIL) et la Brigade d’enquêtes sur les fraudes aux technologies de l’information (BEFTI).
BYOD, RGPD et Cloud compliquent la tâche
Les entreprises doivent chercher et mettre en place des outils de sécurisation spécifiques pour le Cloud, et en particulier le Cloud hybride, de plus en plus répandu (87 % des répondants stockent leurs données dans le Cloud, public, privé ou hybride). Les pratiques des salariés mettent aussi à mal la cybersécurité, notamment le BYOD. Les failles de sécurité sont ainsi le premier défi à relever dans l’IoT en entreprise. Dans ce cadre, les salariés sont plutôt bien sensibilisés aux cyber-risques, mais peu proactifs. Plus de la moitié des entreprises (62 %) a ainsi mis en place des procédures pour tester l’application des recommandations par les salariés.
Le Règlement sur la protection des données personnelles (RGPD) est bien perçu par les entreprises, qui y voient un réel moyen de renforcer la protection des données. Mais si les premières étapes de la mise en conformité avec le règlement ont été mises en place dans plus d’un tiers des entreprises, il reste beaucoup à faire d’ici mai 2018 : étude d’impact, organisation de procédures internes et dossier prouvant la conformité. Car pour 9 entreprises sur 10 (89%) , la mise en œuvre du RGPD apporte une charge supplémentaire aux RSSI, mais aussi un coût supplémentaire non négligeable pour les entreprises : elles sont 94 % à l’indiquer.
