D’après une étude de Wavestone, 30% des grandes entreprises interrogées (23 sur 78) sont encore trop fragiles pour face à la menace des ransomwares. Sur la base de critères établis par les normes internationales NIST CSF Framework & ISO 27001/2, près d’un tiers du panel étudié n’obtient pas la note minimum de 40/100 et 46% a un faible niveau de maturité en matière de cybersécurité.

Sans réelle surprise, le secteur le plus vulnérable est le secteur public, qui manque de budget, tandis que le secteur financier est le mieux paré pour faire front. Notons que les hôpitaux et administrations ont été particulièrement visés par les rançongiciels ces deux dernières années.

En moyenne, les entreprises du panel consacrent 6,1% de leur budget informatique à la cybersécurité mais il existe un fossé entre les différentes organisations, allant de 1 à 13%. Celles qui consacrent 13% de leur budget IT à la sécurité ont déjà été touchées par un incident cyber, selon l’étude.

« La matérialisation d’une crise permet une mobilisation à haut niveau du coté exécutif ; elle engendre également les mécaniques permettant des niveaux d’investissements très forts », commente Gérôme Billois, le directeur de la division cybersécurité du cabinet de conseil.

En ce qui concerne les effectifs, moins d’une personne est dédiée à la cybersécurité pour 1.500 employé.e.s environ. Selon Wavestone, ce chiffre est trop faible pour faire face aux enjeux actuels. Notons qu’une autre étude récente menée par Yerbo a révélé que 2 employé.e.s de la tech sur 5 étaient au bord du burn-out.

La réglementation a un impact positif selon le rapport : les infrastructures critiques obtiennent une note de 55.4 en moyenne comparé à 43.3 pour celles non réglementées.

Enfin, l’étude relève que, si la sensibilisation quant à la sécurité des terminaux des employé.e.s est élevée, en revanche, la sécurité des données stockées dans le cloud peut laisser à désirer.

« De manière instinctive, on pense que le cloud est sécurisé. C’est vrai pour ce qui est de la responsabilité des fournisseurs, mais beaucoup d’actions restent de la responsabilité des organisations utilisatrices… et sont malheureusement souvent oubliées ! C’est un point majeur pour la sécurité des nouvelles applications », affirme Gérôme Billois.