MtoM Mag - Le journal de l'MtoM.

Cohesity, leader de la sécurisation des données alimentée par l’IA, publie les résultats européens d’une étude sur la posture de cybersécurité des entreprises, révélant des écarts importants entre la France et les autres pays de la région EMEA. Alors que le coût annuel de la cybercriminalité est évalué à plus de 100 milliards de dollars (environ 119 milliards d’euros) en France, les ransomwares devraient à eux seuls atteindre 75 milliards de dollars d’ici 2031 dans le monde. Face à ces menaces croissantes, Cohesity révèle pourtant que la majorité des employés européens ne comprend toujours pas les risques que leurs actions (ou inactions) font peser sur leur entreprise. Une tension d’autant plus palpable en France malgré une prise de conscience généralisée des COMEX.

Interrogeant 4 500 employés en France, en Allemagne, aux Émirats Arabes Unis et au Royaume-Uni, l’enquête met en lumière une réalité préoccupante : les entreprises laissent involontairement la porte ouverte aux cybercriminels. Cette situation non seulement facilite les intrusions, mais ralentit aussi drastiquement le temps de réaction désorganisations, avec des dommages potentiellement conséquents à long terme.

« Les entreprises ont fait des progrès significatifs pour renforcer leur posture de cybersécurité ces dernières années. Mais aujourd’hui, l’enjeu est de combler les vulnérabilités les plus critiques liées au facteur humain en menant des évaluations pour identifier les lacunes et agir en conséquence. La sensibilisation et la formation ne sont plus des options et doivent être intégrées à des cycles de formation continus pour s’aligner sur l’évolution des menaces, notamment liées à l’IA. » déclare Olivier Savornin, VP EMEA chez Cohesity

La formation, maillon faible de la cyber-résilience dans les entreprises européennes

Alors que 68 % des employés interrogés en Europe ont reçu une formation aux mesures de cybersécurité de base au cours de l’année écoulée, ils sont moins de la moitié en France (45%). Par conséquent, un employé sur trois (32% en Europe, 38% en France) n’a bénéficié d’aucune formation ou ressource, faisant de la sensibilisation une des principales lacunes en matière de cyber-résilience.

N’ayant pas été acculturé aux mesures de cybersécurité de base, ils sont incapables d’identifier les indicateurs d’une attaque par ransomware quand bien même leur nombre et leur complexité augmente.

Plus inquiétant encore, certains ignorent encore leur existence, baissant davantage le niveau de vigilance, notamment en France où seuls 30% des employés déclarent avoir « une vague idée » de ce qu’est un ransomware, bien en-dessous de la moyenne européenne (74%).

Face à un incident, le signalement n’est pas un réflexe L’étude Cohesity révèle que lorsque les employés réalisent qu’ils ont pu être victimes d’une attaque par ransomware, beaucoup ne notifient toujours pas leur organisation de la bonne manière. Trop souvent, ils considèrent que "ce n’est pas leur problème". Une culture organisationnelle encourageant une communication transparente et rapide de ces menaces n’a pas été établie.

Même dans les entreprises ayant implémenté un protocole de signalement précis, certains employés décident encore de ne pas signaler une activité suspecte : parmi les 72 % d’employés européens s’estimant confiants dans leur capacité à identifier si leur organisation était la cible d’une cyberattaque malveillante, environ 43 % ont indiqué qu’ils n’informeraient pas l’équipe de cybersécurité. Un ratio d’autant plus alarmant en France, moins de la moitié manque de confiance pour identifier une attaque et la majorité (52%) n’informerait pas les équipes de sécurité.

Cette situation s’explique en partie par le fait que les employés choisissent de ne signaler les problèmes qu’à leur supérieur hiérarchique. Toutefois, ils sont aussi 7 % (8% en France) à déclarer qu’ils ne diraient rien à personne s’ils suspectaient une attaque. Un silence pouvant sérieusement entraver les efforts de réponse aux incidents.

Un manque de discernement latent chez les employés

De nombreux répondants nourrissent également des croyances erronées sur la cybersécurité : environ un tiers estime que les équipes IT et de cybersécurité sont les seules responsables de la protection de l’organisation contre les attaques malveillantes (respectivement 29 % et 39 % en Europe ; 34% et 38% pour la France). Seulement 18% des employés européens réalisent qu’il s’agit d’une responsabilité partagée, et ils ne sont qu’un dixième en France à le comprendre.

D’autres mythes persistent puisqu’un tiers des répondants en Europe pense que seules les grandes organisations sont ciblées, avec des Français plus réalistes (15%).

Enfin, si l’email a été correctement identifié comme un point d’entrée majeur des cyberattaques, d’autres passerelles courantes restent sous-estimées, notamment les plateformes collaboratives telles que SharePoint et Google Drive ou les serveurs Wi-Fi. Et alors que le mobile est de plus en plus visé par les cybercriminels, une majorité alarmante (56 % en Europe et 62% en France) a écarté les téléphones portables comme point d’entrée.

« Si l’étude confirme qu’en matière de ransomware, l’humain est le maillon faible, il ne reste qu’une partie de l’équation et sera toujours une porte d’entrée potentielle. Chaque seconde compte pour répondre à une attaque, restaurer les données et rétablir les opérations rapidement afin de limiter l’impact. La planification, les processus, la technologie et les compétences seront toujours des piliers essentiels pour bâtir cette résilience. » ajoute déclare Olivier Savornin.

https://www.cohesity.com