La cyber-résilience passe encore beaucoup par l’humain

La résilience en sécurité informatique passe par un équilibre délicat entre humain, organisation et technique. C’est du moins l’une des conclusions que l’on peut être tenté de tirer d’une étude réalisée par l’institut Ponemon pour IBM auprès de 3655 professionnels de l’IT et de la cybersécurité en Allemagne, en Australie, au Brésil, au Canada, aux Etats-Unis, en France, en Inde, au Japon, au Moyen-Orient, au Royaume-Uni, et dans quelques pays du sud-est asiatique.
Pour la France, l’échantillon consiste en 298 personnes, soit tout juste moitié moins que pour les Etats-Unis.

Selon les résultats, 54 % des sondés revendiquent un niveau élevé de « cyber résilience », contre 48 % en 2017, et 32 % en 2016.  

Près de la moitié des répondants – 44 % – estiment que la cyber résilience de leur organisation s’est améliorée au cours des 12 derniers mois. En 2016, ils n’étaient que 27 % à observer des progrès en la matière.

L’institut fait ressortir trois composantes de la résilience : prévention, détection et réponse. La situation progresse légèrement sur trois ans dans la première : 53 % des sondés estiment disposer d’une capacité élevée à prévenir une attaque informatique, contre 40 % en 2016. Il en va de même pour la seconde composante : 53 % des sondés estiment « élevée » leur capacité à rapidement détecter une attaque (contre 49 % en 2016). Mais ils ne sont que 49 % à estimer pouvoir la contenir (53 %), et 53 % à savoir y répondre, soit un point de moins qu’en 2017.

Pour améliorer leur cyber résilience, les sondés ont en priorité misé sur l’embauche de personnel qualifié, devant l’amélioration de la visibilité sur les actifs informationnels et celle des pratiques de gouvernance de l’information. L’ajout de nouvelles technologies et notamment d’automatisation n’est pas oublié, mais n’arrive qu’en quatrième position. D’ailleurs, ce n’est pas cela qui semble le plus faire la différence. Les ressources humaines et la préparation apparaissent essentielles.

Ainsi, 55 % des sondés les plus résilients disposent d’un plan de réponse à incident de sécurité bien appliqué à toute l’échelle de l’organisation. Seulement 9 % de ces sondés se contentent d’un plan ad hoc, et 5 % n’en ont tout simplement pas. A l’échelle de l’ensemble de l’échantillon, 23 % des répondants indiquent avoir un tel plan déployé de manière cohérente dans toute l’organisation, et 24 % ne pas en avoir du tout. Qui plus est, 92 % de ceux qui se disent les plus résilients, croient en l’importance de disposer de personnel qualifié, contre 79 % pour l’ensemble de l’échantillon.

La coopération apparaît également jouer un rôle important. Plus de la moitié des sondés indique ainsi participer à un programme de partage de renseignements sur les menaces avec son gouvernement ou ses pairs. Les bénéfices attendus sont nombreux, à commencer par l’amélioration de la capacité à détecter les menaces et à y répondre et donc sans surprise à améliorer la résilience. Et 69 % des sondés les plus résilients indiquent partager des renseignements sur les brèches avec les autorités locales et / ou leurs pairs.

En outre, 51 % des plus résilients indiquent rapporter formellement à leur direction sur leur posture de cyber-résilience, contre 40 % pour tout l’échantillon. Et seulement 30 % de ces champions ne rapportent pas sur le sujet, contre 39 % pour l’ensemble des répondants.

Si les facteurs humains et organisationnels s’avèrent importants, les facteurs techniques ne sont pas oubliés. Pour 60 % des sondés aux organisations les plus résilientes, le principal frein tient à la multiplication des solutions de sécurité distinctes – 48 % à l’échelle de l’échantillon complet. Le manque de ressources humaines n’arrive qu’en troisième position des freins identifiés, à 41 % pour les plus résilients (30 % au total).

Une très large majorité des sondés estime que l’automatisation contribue fortement à l’amélioration de la résilience. Les sondés les plus résilients assurent à 48 % avoir une utilisation modérée de l’automatisation – autant qu’à l’échelle de l’ensemble de l’échantillon. Mais ils sont 34 % à indiquer en avoir un usage « significatif »… contre seulement 23 % pour l’ensemble des sondés.