Selon le dernier rapport de l’éditeur de solutions de cybersécurité CyberArk consacré aux menaces avancées dans le monde « Global Advanced Threat Landscape Report 2018 », près de deux tiers (61 %) des entreprises françaises modifient rarement leur stratégie de sécurité de manière significative, même après avoir été victimes d’une cyberattaque. Basé sur une enquête réalisée par Vanson Bourne dans 7 pays auprès de 1.300 décideurs en matière de sécurité IT, développeurs et décideurs métiers, le rapport indique une situation bien plus préoccupante dans l’Hexagone qu’ailleurs, le pourcentage, tous pays confondus, étant de 46%.
Il apparaît que de nombreuses entreprises de l’Hexagone n’ont aucune stratégie en matière de cybersécurité et n’ont pas la capacité à repousser ou maîtriser les cybermenaces, ainsi que les risques induits, ainsi, 57 % des personnes interrogées affirment que leur entreprise est incapable d’empêcher les tentatives d’intrusion dans son réseau interne. Ils sont tout aussi nombreux à admettre que les données confidentielles, ou les informations personnelles identifiables (IIP), de leurs clients sont potentiellement menacées parce que leurs données ne sont pas protégées au-delà du minimum légal. Tout aussi inquiétant, 53 % d’entre elles indiquent que les identifiants administrateurs sont enregistrés dans des documents Word ou Excel sur les ordinateurs de l’entreprise.
Pour les responsables interrogés, les plus grandes menaces auxquelles sont actuellement confrontées les entreprises françaises en matière de cybersécurité, sont, dans l’ordre, les attaques ciblées par hameçonnage (53 % des répondants), les comptes à privilèges non sécurisés (49 %), les menaces internes (44 %), les données non sécurisées stockées sur le cloud (31 %) ainsi que les ransomwares et logiciels malveillants (28 %).
Ces répondants ont également indiqué que la proportion d’utilisateurs qui disposent de privilèges administratifs locaux sur leurs terminaux est passée de 65 % en 2016 à 90 % en 2018. « Cette progression de 25 % indique peut-être que les exigences des employés en matière de flexibilité l’emportent sur les bonnes pratiques de sécurité », estime CyberArk. Or, les comptes à privilège et les identifiants compromis constituent pour les cybercriminels un tremplin idéal pour accéder à des données sensibles. Bien que de plus en plus conscientes de ce risque, les entreprises continuent d’adopter une approche laxiste en matière de sécurité sur le cloud. Ainsi, l’étude réalisée par CyberArk révèle que plus de quatre entreprises françaises sur cinq (81 %) confient la sécurité à leur prestataire de services cloud et s’appuient sur des capacités de sécurité intégrées, alors que 53% des organisations interrogées estiment que leur prestataire de services cloud ne leur assure pas une protection appropriée. Par ailleurs, plus de la moitié (56 %) des entreprises françaises n’a aucune stratégie de sécurité sur le cloud pour les comptes à privilèges.
« Face à cette situation, l’inertie en matière de cybersécurité doit devenir un élément central de la stratégie et du comportement des entreprises, et non plus être dictée par des besoins commerciaux contradictoires », commente CyberArk qui livre encore quelques chiffres inquiétants. En effet, si 77 % des répondants français estiment que la sécurité devrait faire l’objet de discussions régulières au niveau des membres de direction, seulement 36 % d’entre eux déclarent féliciter ou récompenser les employés qui contribuent à empêcher les failles de sécurité IT, contre 74 % aux États-Unis. Enfin, à peine 10 % des entreprises effectuent continuellement des exercices de simulation d’attaques menées par une « Red Team », afin d’identifier les vulnérabilités critiques et de définir des réponses efficaces.
« Tandis que les pirates informatiques continuent de perfectionner leurs tactiques, les entreprises sont confrontées à leur propre passivité en matière de cybersécurité, ce qui fait pencher la balance en leur défaveur », commente Jean-François Pruvot, Regional Director West & South Europe chez CyberArk. « Il est plus urgent que jamais de renforcer la résilience de la cybersécurité face aux attaques que subissent les entreprises. Il importe avant tout de comprendre comment la surface d’attaques des comptes à privilèges s’élargit, et comment elle met les entreprises en danger. Pour lutter avec succès contre l’inertie, les entreprises doivent faire preuve d’un solide leadership, assumer certaines responsabilités, ainsi que déployer des stratégies de sécurité clairement définies et communiquées correctement, tout en essayant de se mettre à la place des hackers. »