7ème édition du baromètre annuel du CESIN
Enquête exclusive sur la cybersécurité des entreprises françaises
Le Club des Experts de la Sécurité de l’Information et du Numérique
dévoile les résultats de sa septième grande enquête OpinionWay pour le CESIN.
Paris, le 17 janvier 2022 – Afin de mieux cerner l’état de l’art et la perception de la cybersécurité et de ses enjeux au sein des entreprises françaises, le CESIN publie depuis 2015 son baromètre annuel avec OpinionWay. L’association dévoile aujourd’hui les résultats de cette nouvelle enquête indépendante et exclusive menée auprès de ses membres, Directeurs Cybersécurité et Responsables Sécurité des Systèmes d’Information (RSSI) des entreprises françaises. Ce sondage OpinionWay pour le CESIN porte sur un échantillon de 282 répondants, membres du CESIN.
En 2021 plus d’une entreprise sur deux déclare avoir subi entre une et trois attaques cyber au cours de l’année. Ce chiffre tient compte uniquement des attaques réussies, ayant eu des répercussions flagrantes pour les victimes (cf : définition de Cyber-attaque pour l’enquête CESIN OpinionWay 1).
Il faut souligner que l’ampleur et la virulence des attaques ne cessent d’augmenter. En effet 6 entreprises sur 10 ont connu un impact sur leur business, avec pour principaux retentissements une perturbation de la production (21%), et/ou une compromission d’information (14%), et/ou une indisponibilité du site web pendant une période significative.
Le Phishing reste le vecteur d’attaque le plus fréquent. 73% des entreprises déclarent le phishing comme vecteur d’entrée principal pour les attaques subies. Les autres moyens de transmission sont, l’exploitation des failles (53%), et en augmentation, l’attaque par rebond via un prestataire (21%). Ce dernier axe s’est illustré ces derniers mois par des incidents retentissants comme le piratage de SolarWinds ou encore la faille d’Apache, Log4J.
Les attaques par ransomware ont touché 1 entreprise sur 5 parmi les répondants. Face à cette déferlante, on note en corollaire l’augmentation des campagnes de sensibilisation auprès des utilisateurs, le déploiement d’EDR (+16 points) et le durcissement de l’AD (+9 points). Par ailleurs, 4 entreprises sur 10 ont recours à des programmes d’entrainement à la crise cyber, et 47% déclarent que c’est en projet.
1 Cyber-attaque – Définition donnée pour cette enquête : « La cyber-attaque est le fait de subir un acte malveillant envers un dispositif informatique portant atteinte de manière significative à la confidentialité et/ou à l’intégrité de l’information de l’entreprise ou encore à la disponibilité du système d’information entrainant des pertes financières significatives et/ou une atteinte à l’image de l’entreprise et/ou des efforts significatifs de défense pour contenir et traiter l’attaque. Nous ne comptons pas les tentatives d’attaques qui ont été arrêtées par les systèmes de prévention. »
De surcroît, les entreprises ont dû revoir massivement leurs dispositifs de sécurité dans le contexte de crise sanitaire et d’intensification du télétravail. 63% d’entre elles ont généralisé le recours à l’authentification multi-facteurs (MFA) et 70% ont mené des campagnes de sensibilisation liées aux risques de ce nouveau mode de travail pour beaucoup de salariés.
Avec l’adoption manifeste du cloud le RSSI doit faire face à des dizaines de sujets qu’il n’avait pas à traiter avec des solutions sur site. Les principaux facteurs de risques induits par l’adoption du Cloud concernent la non maîtrise de la chaîne de sous-traitance de l’hébergeur pour 48% des répondants, et des difficultés de contrôle d’accès déclarées par 43%. En outre, 40% indiquent des risques liés à la rareté de l’expertise parmi les architectes et les administrateurs, et une mauvaise visibilité de l’inventaire des ressources dans le cloud pour 38%. 8 RSSI sur 10 estiment encore que la sécurisation des données stockées dans le cloud requiert des outils spécifiques, et dans la plupart des cas (63%) il est nécessaire d’utiliser d’autres dispositifs que ceux proposés par le fournisseur de cloud.
6 entreprises sur 10 se disent préoccupées par les sujets de souveraineté et de cloud de confiance. Ce qui suppose une attente forte autour des perspectives de potentiels rééquilibrage des forces avec le développement des solutions dites de confiance annoncées en France et en Europe.
La question du cyberespionnage a été abordée pour la première fois lors du précédent baromètre. Plus d’une entreprise sur deux considère que le niveau de menaces en matière de cyberespionnage est élevé (55%). Un score édifiant qui corrobore de nombreux rapports et les observations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Cette menace croissante demande une vigilance accrue car elle devrait encore s’intensifier.
69% des répondants affirment avoir souscrit une cyber-assurance. Après plusieurs années d’engouement, les premiers bilans révèlent un moindre taux de satisfaction pour ceux qui ont eu recours. D’autre part, la majorité des entreprises ont un avis négatif sur l’usage des services d’agences de notation. Lors de récentes réunions des membres du CESIN, nombre d’entreprises se sont déclarées hésitantes à un renouvellement de leur contrat, ce qui pose question sur l’avenir de ce marché. Le CESIN note globalement une hausse exponentielle des tarifs, pour une baisse des couvertures et des niveaux d’exigences de la part des assureurs, quasiment inatteignables.
Les budgets alloués à la cybersécurité sont encore en hausse cette année. 70% des entreprises confirment cette tendance, contre 57% en 2020. Elles sont 56% à vouloir allouer plus de ressources humaines à leur organisation. 84% vont acquérir de nouvelles solutions techniques, tandis que 62% d’entre elles ont recours aux offres innovantes issues de start up.
En parallèle la prise en compte des enjeux de cybersécurité au sein du COMEX progresse. 79% des répondants sont confiants sur l’engagement de leur comité exécutif. Une tendance en adéquation avec une récente étude publiée par le CESIN sur la relation du RSSI avec son Comité Exécutif.
Cybersécurité et postes de travail : vers une stricte limitation aux usages professionnels ?
Tribune de Sébastien Viou, Cyber-évangéliste chez Stormshield
À quelques exceptions près, en particulier dans les secteurs les plus sensibles, l’habitude est souvent prise d’utiliser son poste de travail professionnel pour certains (si ce n’est tous) usages personnels. D’autant plus lorsqu’il s’agit d’un poste portable. Or, ce sont ces postes qui constituent le vecteur le plus « efficace » des malveillances à l’encontre du SI des organisations. Dès lors, peut-on imaginer un monde aux usages numériques professionnels et personnels strictement étanches ?
Postes de travail : une porte ouverte vers l’ensemble du SI
Par principe, les attaques malveillantes à l’encontre des entreprises ou administrations ont généralement deux objectifs, bien souvent couplés : l’argent et l’information. Et dans tous les cas, elles sont menées via des méthodes industrielles, assurant efficacité et reproductibilité aux assaillants.
Parmi ces méthodes, le piratage de réseaux WiFi non protégés est efficace, mais il nécessite un accès physique. Les attaques de serveurs mal protégés peuvent créer des dégâts, mais ils restent souvent circonscrits à leurs environnements applicatifs. Il est aussi possible de s’attaquer au VPN-SSL de l’organisation lorsque celui-ci est vulnérable. Mais rien n’est comparable à la réussite du ciblage utilisateurs, par mail (phishing) ou surf (implantation de logiciels malveillants sur les postes via des sites web corrompus).
Même bien protégé, le poste utilisateur reste de loin le plus vulnérable car, par définition, il est connecté à l’Active Directory de l’entreprise (l’outil d’annuaire le plus représenté sur le marché). Et cette solution, malgré l’effort des développeurs, reste sujette à de nombreuses vulnérabilités permettant l’accès distant et l’élévation de privilèges depuis un compte utilisateur. C’est la porte ouverte au fameux « admin access » et à l’ensemble des données de l’entreprise.
Une cybersécurité proactive et transparente pour l’usager
Pour se prémunir au maximum de ces risques, rien de plus simple a priori : en plus des logiciels de cybersécurité dédiés, il suffirait de maintenir ses postes de travail à jour, pour éviter l’exploitation de failles connues. Certes, mais c’est encore sans compter sur les failles Zero Day, sur lesquelles les cyberattaquants sont de plus en plus productifs.
Pour contrer ces risques, la mise en œuvre de solutions capables de bloquer des actions non habituelles des applications ou du système demeure une pratique efficace, car proactive. Par essence en effet, les logiciels malveillants ont des comportements très spécifiques, cherchant tout type d’ouverture pour s’introduire et modifier les systèmes.
Dans tous les cas en revanche, ces outils doivent être le plus transparent possible pour l’usager, afin qu’il puisse accomplir sereinement ses tâches quotidiennes et ne pas perdre en productivité du fait de blocages permanents. Ce qui ne doit en rien l’empêcher de rester vigilant pour autant !
Au-delà des chartes d’utilisation, vers un usage strictement professionnel des postes de travail ?
En dehors de quelques secteurs manipulant des données sensibles où les postes de travail sont très verrouillés et limitent au strict minimum les usages, nombreux sont les utilisateurs à se servir de leur poste de travail pour leurs usages personnels. Allant souvent même jusqu’à autoriser leurs enfants à s’en servir, ou jouer en réseau avec. Une situation sans doute encore exacerbée avec l’accélération du télétravail, quand ce n’est pas l’entreprise qui demande au collaborateur d’utiliser sa machine personnelle pour ne pas avoir à payer une machine professionnelle
Si un certain nombre d’organisations ont mis en place des chartes d’usages et des outillages informatiques mis à disposition de leurs collaborateurs, dans les faits, peu d’entre elles appliquent des sanctions en cas de comportements imprudents, même s’il en résulte des situations particulièrement graves pour l’ensemble du système d’information (perte, vol de données ou ransomwares, etc.).
Avec le développement de l’informatique domestique (smartphones, tablettes, PC, accès internet), associé à des risques numériques toujours plus importants pour les organisations, peut-être est-il temps pour ces dernières de limiter strictement aux usages professionnels les outils numériques de l’entreprise mis à disposition de leurs collaborateurs.
Dans ce cas, on parlerait d’outils numériques de service (uniquement à usage professionnel) et non plus d’outils numériques de fonction (à usage « global » du salarié). Cela ne résoudra pas tous les problèmes en matière de cybersécurité, mais pourrait a minima contribuer à cyber-responsabiliser les collaborateurs et ainsi à l’amélioration des usages.