Sécurité : les grands groupes se réorientent sur la réponse aux incidents

Les approches et les mentalités changent. C’est du moins ce que l’on est tenté de penser à la lecture des résultats d’une étude menée par Pierre Audoin Consultants (PAC) pour FireEye, HP, Telefonica et Resilient Systems au printemps, auprès de 200 DSI et RSSI d’entreprises européennes de plus de 1000 salariés.

De fait, les sondés semblent majoritairement prêts à faire évoluer leurs politiques d’investissement, augmentant la part du budget sécurité alloué aux solutions de détection et de réaction aux incidents de sécurité de 25 % à 40 % d’ici à deux ans. En parallèle, la part allouée à la prévention et à la protection, aujourd’hui de 75 %, doit être réduite en proportions.

Selon PAC, les entreprises tiennent là compte « du fait que les cyber attaques sont désormais inévitables » et qu’elles prennent trop de temps à les détecter et à répondre.

De fait, 67 % des sondés reconnaissent avoir subi une attaque informatique en 2014. Mais toutes reconnaissent avoir été dans cette situation un jour ou l’autre. Surtout, 69 % des attaques ne sont découvertes qu’entre 1 et 6 mois après qu’elles se sont produites. Et les entreprises mettent autant de temps, après découverte, pour récupérer complètement.

Reste que l’investissement dans la détection et la réaction semble effectivement nécessaire. Ainsi, 39 % des entreprises – 52 % dans l’Hexagone – n’ont pas de plan de réponse aux incidents de sécurité informatique. Et parmi les plus vertueuses, 65 % ne testent ce plan qu’une fois par trimestre. C’est donc sans surprise que 22 % des entreprises sondées n’utilisent aucune solution de réponse aux incidents.

En temps normal, les entreprises – confiantes dans leur préparation à 86 % – préfèrent ne pas recourir à l’externalisation pour leur sécurité informatique. L’approche change face à un incident : 69 % des sondés reconnaissent alors recourir là à l’aide de partenaires externes.