Les dirigeants manquent de visibilité sur les cybermenaces

Les dirigeants des entreprises n’ont pas une idée claire de qui sont leurs adversaires, en matière de cybersécurité, et de comment les combattre. C’est du moins ce qui ressort d’une étude d’IBM.

Alors, certes, la cybersécurité est l’une des principales préoccupations pour 68 % des plus de 700 dirigeants sondés dans 28 pays, et 75 % d’entre eux estiment qu’un programme complet de sécurité est important. Pour autant, il semble que les dirigeants doivent être plus impliqués avec leur RSSI, au-delà des aspects de préparation, pour prendre un rôle plus actif.

Ainsi, 70 % des cadres dirigeants pensent que l’essentiel de la menace provient d’individus malveillants isolés… alors que 80 % des attaques informatiques sont le fait de cercles criminels hautement organisés où données, outils et expertise sont largement partagés, selon un rapport des Nations Unies. Ces cercles du crime organisé ne sont toutefois pas oubliés – ils constituent une préoccupation pour 54 % des dirigeants sondés. Mais à peu près autant, donc, que leurs concurrents (50 %).

Mais le résultat le plus préoccupant de l’étude est peut-être celui-ci : plus de la moitié des Pdg estiment que la collaboration est nécessaire pour combattre la cybercriminalité… mais seulement un tiers sont prêts à partager avec des tiers les informations sur les incidents dont ils sont victimes. De quoi mettre en évidence – une fois de plus, serait-on tenté de dire – les résistances à une réelle approche collaborative de la lutte contre la cybercriminalité. Et ce n’est pas faute d’appels répétés.

Récemment encore, l’Agence européenne pour la sécurité de l’information et des réseaux (Enisa) soulignait l’importance du renseignement sur les menaces. Une table ronde organisée lors de l’édition 2015 du Forum International de la Cybersécurité avait par ailleurs été l’occasion d’insister sur l’importance de ce partage. Car en attendant, les attaquants améliorent continuellement leurs capacités de partage d’information sur les vulnérabilités et autres faiblesses des systèmes qu’ils visent.

Pour Caleb Barlow, vice-président, IBM Security, « le monde de la cybercriminalité évolue rapidement, mais de nombreux dirigeants n’ont pas encore actualisé leur compréhension des menaces. […] Les RSSI et le conseil d’administration peuvent fournir des outils et des recommandations appropriés, mais les cadres du marketing, des ressources humaines et de la finance – certains des départements les plus sensibles et consommateurs de données – devraient être plus proactivement impliqués dans les décisions de sécurité avec le RSSI ».

De fait, selon l’étude, environ 60 % des cadres responsables des finances, des ressources humaines et du marketing reconnaissent ne pas avoir été activement impliqués dans les stratégies de sécurité et leur réalisation. Par exemple, seulement 57 % des responsables des ressources humaines indiquent avoir lancé un programme de formation des collaborateurs de l’entreprise aux questions de cybersécurité – une étape pourtant régulièrement présentée comme essentielle.

Et c’est presque sans surprise que seulement 17 % des sondés se sentent préparés et capables de répondre à un incident informatique significatif… alors même qu’ils prévoient que leur entreprise y soit confrontée d’ici moins de deux ans.

Avec nos confrères de ComputerWeekly (groupe TechTarget).