En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies pour vous proposer des contenus et services adaptés à vos centres d’intérêts. En savoir plus et gérer ces paramètres. OK X
 
 

 

 

Dossiers

Rapport Pulse Secure et CyberRisk Alliance

Publication: Décembre 2020

Partagez sur
 
Les entreprises minées par l’usurpation d’identité, l’exposition des applications cloud, les équipements vulnérables et les accès non autorisés...
 

D’après l’indice CRAE (Cybersecurity Resource Allocation and Efficacy) du troisième trimestre, malgré la hausse des dépenses en cybersécurité, les entreprises ont perdu en efficacité sur ce terrain par rapport aux initiatives centrées sur le télétravail et la continuité d’activité des trois mois précédents.

Pour plus de la moitié des entreprises (52 %), les attaques de phishing ou les vols d’identifiants/l’usurpation d’identité constituent la principale source d’inquiétude au troisième trimestre 2020. C’est ce qui ressort d’une nouvelle étude réalisée par Pulse Secure (acquis par Ivanti) leader des solutions d’accès sécurisé Zero Trust, et CyberRisk Alliance, un cabinet de business intelligence spécialisé dans la cybersécurité. En outre, plus d’un tiers de tous les sondés (38 %) font état d’accès abusifs ou non autorisés à leurs ressources, applications ou données. Sur le plan géographique, les entreprises d’Amérique du Nord (39 %) sont bien plus nombreuses à avoir été victimes d’un trafic suspect/malveillant et d’exfiltrations de données associées que leurs homologues européennes (26 %).

Créé par CyberRisk Alliance (CRA) et réalisé pour Pulse Secure, l’indice CRAE (Cybersecurity Resource Allocation and Efficacy) est un indicateur trimestriel de l’orientation générale des activités de cybersécurité des entreprises européennes et nord-américaines, de leurs dépenses dans ce domaine et des progrès perçus au fil du temps. Un indice supérieur à 50 est synonyme d’augmentation des dépenses ou de l’efficacité, tandis qu’un indice inférieur à 50 indique une baisse.

Par rapport au trimestre précédent, l’allocation des ressources et les dépenses globales en sécurité informatique ont augmenté (66,5 en T2 contre 66,7 en T3), tandis que l’efficacité globale a connu une baisse sensible (75,8 en T2 contre 74,2 en T3). En d’autres termes, la hausse des dépenses ne s’est manifestement pas traduite par une amélioration de la sécurité perçue. En Amérique du Nord, si le niveau des dépenses n’a pas changé d’un trimestre à l’autre (66,5), les entreprise ont investi davantage dans des solutions de sécurité réactives que proactives. Par contraste, l’indice CRAE des entreprises européennes montre une augmentation des lignes budgétaires et dépenses trimestrielles consacrées aux solutions plus proactives (68,4 en T3 contre 66,5 en T2), mais aussi une réduction de l’efficacité du même ordre (74,4 en T3 contre 74,9 en T2). L’indice européen domine de 1,9 point celui de l’Amérique du Nord, probablement porté par les efforts de mise en conformité au Règlement général sur la protection des données (RGPD).

Santé : forte hausse des ressources et dépenses allouées à la cybersécurité

Au troisième trimestre, les établissements de santé ont augmenté leurs dépenses et ressources allouées à la cybersécurité de 5,8 points, pour un indice CRAE en forte progression à 69,6 points. On doit cette hausse au bond de 8,7 points des mesures de protection (programmes de sensibilisation et de formation à la cybersécurité, création de processus de sécurisation des ressources physiques et numériques, achat ou implémentation de technologies de cybersécurité) qui font progresser l’indice à 75,2 en T3. D’autre part, l’indice d’efficacité du volet « Protection » a gagné 7,6 points pour atteindre un score de 80,6, signe que les établissements de santé ont de plus en plus confiance dans l’efficacité de leurs ressources et investissements depuis le deuxième trimestre.

Comme au trimestre précédent, les sondés de ce secteur ont également cité les contraintes budgétaires comme principal obstacle à la lutte contre la prolifération des menaces et à l’élimination des risques que des collaborateurs négligents et mal formés font planer sur leurs données ultrasensibles. Parmi les problématiques de cybersécurité de ces trois derniers mois, les établissements de santé estiment que les attaques de phishing et le vol d’identifiants/l’usurpation d’identité ont eu le plus d’impact (54 %), de même que les événements d’audit et de conformité externes (33 %) et les problèmes de sécurité de l’IoT et des terminaux (32 %) dans une moindre mesure.

Finance et assurance : cap sur les plans de reprise d’activité

Les entreprises de services ont revu leurs dépenses et allocations de ressources à la baisse, passant de 68,2 en T2 à 67,4 en T3, tandis que l’indice d’efficacité connaissait un net recul de 3,2 points (de 77,3 à 74,1 points ce trimestre). Ces chiffres reflètent un ralentissement des dépenses en même temps qu’un fléchissement de la confiance dans l’efficacité des mesures de sécurité au troisième trimestre. Seule exception : le volet « Reprise d’activité » de l’indice d’efficacité, qui couvre la conception/l’exécution des plans et procédures de reprise, la coordination de la communication au cours de ces procédures et l’implémentation d’améliorations post-incident. De fait, les personnes interrogées font état d’une hausse de l’efficacité de la réponse, avec à la clé une progression de 2,9 points de l’indice. On peut donc en déduire une confiance accrue dans les plans de reprise et les améliorations futures.

Dans le secteur des services financiers, les problématiques du troisième trimestre tournent autour des menaces externes, de la perturbation des activités, du vol et de l’altération des données, des fuites et du manque d’innovations système. Principale menace de cybersécurité : le phishing (59 %), suivi par les attaques sur les applications web et cloud (48 %) et les événements d’audit et de conformité internes (41 %).

Industrie : confiance renforcée dans les nouvelles stratégies et règlementations

Dans l’industrie, l’indice des dépenses a augmenté de 1,2 point pour atteindre 67,8. Côté efficacité, on constate un bond de 2,3 points pour atteindre 75,1 au troisième trimestre. Le volet « Réponse » enregistre une hausse supérieure à la moyenne (+3,8 points), preuve que les industriels se concentrent sur le développement de contrôles, politiques et stratégies de réponse dans une optique de prévention de futures attaques. Sur le volet « Identification », le bon score d’efficacité (+3,7 points) va dans le sens d’une confiance accrue dans l’amélioration des plans de gestion des ressources, des stratégies de gestion du risque et des programmes de gouvernance de ce secteur.

À l’heure où la pandémie a contraint les industriels à basculer en télétravail, les personnes interrogées sont nombreuses à constater une amélioration des politiques de sécurité dans leur entreprise. Malgré ces changements positifs, les attaques de phishing et le vol d’identifiants/l’usurpation d’identité représentent la principale menace de cybersécurité (52 %) dans l’industrie. Les événements d’audit et de conformité internes (45 %) et les menaces sur l’IoT et les terminaux (42 %) arrivent respectivement en deuxième et troisième position.

Hautes technologies et services aux entreprises : deux secteurs à la traîne

Évalué à 64,1 seulement, l’indice des dépenses dans les secteurs de la tech et des prestataires de services aux entreprises a perdu 3,8 points, tandis que celui de l’efficacité a connu une forte chute de 7,3 points à 72,4. Les participants à l’enquête font état d’un ralentissement des dépenses et des gains d’efficacité en T3, et ce sur les cinq éléments du framework NIST évalués. Avec 12,3 points d’indice en moins, le volet « Protection » (qui regroupe formation/sensibilisation à la cybersécurité, développement de processus de sécurisation des ressources physiques et numériques, et achat ou implémentation de technologies de cybersécurité) enregistre la plus forte baisse.

Si les sondés signalent des attaques de plus en plus vastes, nombreuses, polymorphes et sophistiquées, ces deux secteurs sont à la traîne toutes branches confondues, ce qui atteste d’un ralentissement des achats et investissements en cybersécurité. Autre information à retenir : les attaques de phishing sont le moindre de leurs soucis (42 %), derrière la sécurité de l’IoT et des terminaux (46 %), les attaques sur les applications web ou cloud (45 %) et les menaces internes et comptes utilisateurs suspects (44 %) leurs trois préoccupations principales.

Autres conclusions

D’après le rapport consacré à cette enquête : « Dans l’ensemble, trois des cinq éléments du framework NIST (identification, protection et reprise d’activité) ont enregistré des hausses d’indice au troisième trimestre. Concrètement, les entreprises ont déclaré avoir alloué davantage de ressources et de budgets à des approches de cybersécurité proactives comme l’amélioration des processus, les mises à jour logicielles et système, et la formation/sensibilisation des collaborateurs. Les sondés ont également perçu des gains d’efficacité à travers quatre des cinq éléments du framework, même si ces progrès connaissent un léger essoufflement en T3. L’efficacité de la reprise d’activité connaît une hausse plus franche en moyenne, preuve d’une confiance accrue des personnes interrogées dans leurs PRA post-compromission et post-événement de sécurité. »

« Cette enquête sur la cybersécurité offre aux responsables informatiques et sécurité des éclairages concrets sur leurs pairs et leur secteur », explique Mike Riemer, Chief Security Architect chez Ivanti. « Les résultats de cette étude montrent que les entreprises continuent d’investir dans des technologies de sécurité proactive à l’heure où la généralisation du télétravail élargit leur surface d’attaque. Ils laissent également supposer que les professionnels de la sécurité doivent se concentrer davantage sur l’optimisation des processus et des contrôles pour redonner confiance dans leur efficacité. »

http://www.pulsesecure.net/

Suivez MtoM Mag sur le Web

 

Newsletter

Inscrivez-vous a la newsletter d'MtoM Mag pour recevoir, régulièrement, des nouvelles du site par courrier électronique.

Email: