Pour le Clusif, la sécurité des systèmes d’information des entreprises a cessé de progresser

L’inquiétante question des budgets

Près d’un tiers des entreprises ne savent pas identifier ce budget qui ne représente que moins de 3 % du budget informatique total de près d’un quart des entreprises. Surtout, ce budget sécurité stagne ou recule dans près de la moitié des entreprises. Il n’y a guère que dans le monde des services bancaires et financiers qu’il augmente dans une large part des entreprises, 48 %. Et pour 28 % d’entre elles, cette augmentation est supérieure à 10 %.

Les principaux freins à la progression des budgets sécurité sont les contraintes organisationnelles et… le manque de moyens financiers, « dont nous n’avons pas fini de nous alarmer », précisent les auteurs du rapport.

Des politiques de sécurité mises à la trappe ?

Les politiques de sécurité commencent à être bien diffusées dans les entreprises, à commencer par les plus grandes : elles sont définies dans 66 % des entreprises de plus de 1000 salariés, 59 % entre 500 et 999 salariés, et 50 % en dessous. Mais, dans 45 % des cas, cette politique ne s’appuie sur aucune norme.

Surtout, elle n’est que relativement suivie de ses prolongements logiques. L’analyse globale des risques liés à la sécurité du SI n’est conduite en totalité que dans 30 % des cas. L’analyse des risques pour les nouveaux projets n’est systématique que dans 36 % des cas. Les trois quarts des entreprises ne disposent pas d’un tableau de bord de sécurité.

La proportion d’entreprises dotées d’une charte de sécurité à destination des salariés n’évolue plus, restant à 50 % en moyenne. Surtout, les moyens de sensibilisation semblent bien inadaptés, reposant principalement sur une démarche volontaire des salariés. En outre, aucune métrique n’est là pour mesurer l’impact des opérations de sensibilisation.

Qui plus est, 40 % des entreprises ne disposent toujours pas d’un plan de continuité de l’activité (PCA). Heureusement, lorsqu’il existe, le PCA est testé et mis à jour au moins une fois par an dans 72 % des cas.

Globalement, Laurent Bellefin tend à considérer que les entreprises se sont lancées dans des « démarches de sécurité trop larges et mal pilotées. » Et de recommander une analyse des risques en amont puis le lancement d’opérations de traitements des risques majeurs, en priorité, « et de les traiter jusqu’au bout ! »

Des technologies limitées

Le constat n’est pas plus reluisant du côté des technologies mises en œuvre pour sécuriser le système d’information. L’anti-virus, l’anti-spam et le pare-feu sont bien, voire très bien implantés, mais c’est tout. Les dispositifs de détection d’intrusion sont ignorés par 53 % des entreprises ; les IPS (Intrusion prevention system) par 62 % ; le chiffrement par 60 % ; le contrôle des clés USB par 64 %...

Le contrôle des accès logiques est encore largement négligé : 52 % des entreprises n’ont pas recours à l’authentification par certificat logiciel ; 71 % ignorent l’authentification par support physique ; 72 % font l’impasse sur les mots de passe à usage unique ; 77 % n’utilisent pas la biométrie ; 59 % laissent de côté l’habilitation par rôle ou profil métier ; 73 % et 80 % des entreprises n’ont pas recours aux SSO et SSO Web, respectivement.

Les auteurs de l’étude soulignent tout de même l’avance des secteurs financiers et des services en matière d’authentification forte. L’effet Kerviel ?

Omerta sur les incidents

Et malgré tout, les incidents existent. 56 % des entreprises reconnaissent en avoir rencontré au moins 1 dans l’année écoulée ; 7 % en aurait rencontré plus de 50. Mais à 91 %, elles n’ont pas porté plainte. Pire, à 72 %, elles n’ont pas évalué l’impact des incidents rencontrés. Et 60 % des entreprises ne disposent pas de cellule dédiée ou partagée pour la collecte et le traitement des incidents d’origine malveillante.

Pas étonnant dans ces conditions que les impacts des incidents ne soient pas évalués et que les mesures de prévention restent aussi limitées.