Cyber-résilience

L’inquiétante incapacité des entreprises à répondre aux incidents de cybersécurité

Voilà qui n'est pas pour rassurer. L’étude annuelle d’IBM sur la cyber-résilience montre que malgré l’augmentation du nombre d’attaques, de leur force et les contraintes qui arrivent (RGPD), les entreprises ne sont toujours pas prêtes à affronter les incidents de cybersécurité.

(Source: gorodenkoff / iStock.com)
(Source: gorodenkoff / iStock.com)

Une étude réalisée par le Ponemon Institute pour IBM révèle que 77% des entreprises n’ont toujours pas de plan de réponse prédéfini en cas d’incident de sécurité. La moitié des 2800 professionnels de la sécurité et de l'informatique interrogés autour du monde (États-Unis, Royaume-Uni, France, Allemagne, Brésil, Asie-Pacifique, Moyen-Orient et Australie) pour cette enquête déclare que leur plan d'intervention en cas d'incident est soit informel, soit complètement inexistant.

S’intéressant principalement à la cyber-résilience, c’est à dire «la capacité d'une organisation à maintenir son objectif principal et son intégrité face aux cyberattaques», cette troisième étude annuelle commanditée par IBM montre que les années passent mais le constat demeure. Entre 2016 et 2017, la part des répondants affirmant avoir “un plan de réponse appliqué de façon uniforme dans l'ensemble de l'entreprise” est passé de 26 à… 27%. Dans le même temps le pourcentage d'entreprises n'ayant «pas de plan de réponse en cas d'incident de cybersécurité» est passé de 23 à 24 %. La moitié restante se situe donc entre les deux, avec des plans d’intervention un peu flous ou non consistants.

Manque d'investissement

L’étude remarque aussi que les efforts financiers consentis par les entreprises pour lutter contre les les menaces cyber se font pour moitié dans la prévention et un quart pour la détection, ce qui ne laisse qu’une faible part du budget pour contenir un incident, y remédier et gérer ses conséquences (graphique ci-dessous). Or, le Règlement général sur la protection des données (RGPD) qui entrera en vigueur en Europe en mai 2018 et exige que les organisations disposent d'un plan de réponse complet en cas d'incident.

 

L’argent étant aussi le nerf de la cyberguerre, les professionnels du secteurs (60%) pointent le manque d'investissement dans l'intelligence artificielle et le machine learning. Seuls 31% d’entre eux considèrent disposer d'un budget adéquat pour leur cyber-résistance et 77% regrette la difficulté qu’ils ont à recruter et retenir du personnel qualifié. Un manque de moyen qui est sans doute à l’origine de délais de résolution plus longs suite à un cybercrime (57%, voir graphique ci-dessous) alors qu'une large majorité des professionnels interrogés déplore des attaques de plus en plus nombreuses (64%) et de plus en plus sévères (65%).

 

Webcode
DPF8_86625