Cybersécurité : l’impréparation pénalise la résilience des entreprises

La situation ne s’améliore pas. C’est du moins ce qu’affirme l’institut Ponemon dans une étude réalisée pour IBM auprès de deux mille entreprises aux Etats-Unis, au Royaume-Uni, en France, en Allemagne, en Australie, aux Emirats Arabes Unis, et au Brésil.

Selon ses résultats, 32 % des participants revendiquent un niveau élevé de « cyber résilience »… contre 35 % en 2015. Pire, seulement 27 % des sondés estiment que leur situation a progressé en un an – dont 9 % « significativement ».

L’institut fait ressortir trois composantes de la résilience : prévention, détection et réponse. La situation progresse légèrement sur un an dans la première : 40 % des sondés estiment disposer d’une capacité élevée à prévenir une attaque informatique, contre 38 % l’année dernière. Il en va de même pour la seconde composante : 49 % des sondés estiment « élevée » leur capacité à rapidement détecter une attaque (contre 47 % en 2015), et 53 % à la contenir (52 %). Mais seulement 34 % des participants jugent élevée leur capacité à revenir à une situation normale après attaque, soit 4 points de moins que l’an passé.

Les experts s’accordent pour souligner l’importance de la préparation pour répondre aux incidents. Pour autant, 66 % des sondés considèrent que le manque de préparation et de planification en amont constitue le principal obstacle à une meilleure résilience. Et si 79 % des participants reconnaissent que disposer d’un plan de réponse aux incidents, un CSIRP, seulement 25 % indiquent en avoir un ! Et ils sont 41 % à indiquer que les délais de réponse aux incidents ont augmenté en un an. Un peu moins d’un tiers assurent toutefois que ces délais ont reculé.

La complexité des processus IT et métiers n’aide pas : celle des premiers est mentionnée par 46 % des sondés comme un obstacle à une meilleure résilience, contre 52 % pour celle des seconds. De quoi, peut-être, plaider en faveur de l’automatisation – 58 % des sondés ayant fait état de progrès dans leur résilience l’ont porté au crédit d’une telle plateforme –, mais aussi, sinon surtout, en faveur encore une fois de la préparation.

Mais même s’il peine à donner sa pleine valeur, le renseignement sur les menaces apparaît clé pour améliorer la posture de sécurité informatique de l’entreprise. Yann Fareau, de Cisco, et Laurance Dine, de Verizon Enterprise Solutions, le soulignaient d’ailleurs récemment dans nos colonnes. De fait, 53 % des sondés indiquent participer à un programme d’échange de renseignements sur les menaces et 81 % d’entre assurent que cela a amélioré leur posture de sécurité. Pour 75 %, cette participation a en outre contribué à accélérer la réponse aux incidents.

D’autres facteurs sont également cités comme clé pour améliorer la résilience cyber : définir des règles de sécurité claires, avoir un plan de sauvegarde et de restauration, mais aussi limiter l’accès de terminaux non sûrs aux équipements de sécurité, empêcher l’accès non autorisé aux données sensibles et aux applications critiques, contrôler les terminaux, ou encore sécuriser les données en mode Cloud.

Pour John Bruce, patron et co-fondateur de Resilient Systems, racheté en début d’année par IBM, « les organisations ne sont pas encore préparées à gérer et contenir une cyberattaque. Les responsables de la sécurité peuvent contribuer à des améliorations significatives en faisant de la réponse à incident l’une de leurs premières priorités – en se concentrant sur la planification, la préparation, et le renseignement ».